ゼロトラストに向けての下地作り、Azure AD Connectの構築

はじめに

こちらはバイセルテクノロジーズ Advent Calendar 2022の 18日目の記事です。

昨日は飯島さんによる「OSS コミットのすすめ - TypeScript ESLintを事例に」という記事でした。

こんにちは。テクノロジー戦略本部情報システム部の天野です。

今期情報システム部ではゼロトラストアーキテクチャに向けて、いくつかのシステム導入を行いました。

そこで今回の記事ではバイセルの情報システム部の取り込みについて知ってもらえればと思います。

はじめに
そもそもゼロトラストアーキテクチャに移行する背景
今期取り組んだこと
Azure AD Connectの構築
まとめ

そもそもゼロトラストアーキテクチャに移行する背景

そもそもゼロトラストアーキテクチャに移行する背景について軽く箇条書きで触れたいと思います。

ここではゼロトラストアーキテクチャ自体について詳しく説明はしません。

詳しく知りたい方は経済産業省が出しているデジタルプラットフォーム構築事業報告書やクラウドネイティブさんが出している動画を参考にしてみてください。

ゼロトラストアーキテクチャに関する正式な文書としてはNIST SP800-207があるようです。

現行の閉域網かつUTM機器によるネットワーク観点でのセキュリティ（境界型防御）というものはかなり難しくなってきている
- 守りたいデータが社内ネットワーク（オンプレ）にある場合だったら有効なセキュリティ手法であったがすでに守りたいデータというものは社外（SaaS）にあることが多く、社外に対してどうやって認証・認可を行っていくか考えなければいけない
- 攻撃者の攻撃手法の変化に対応するため（APT攻撃などネットワークでの防御が難しい攻撃手法）、セキュリティの境界を端末まで下げる必要性が出てきた
ユーザーの利便性とセキュリティを追求したIT基盤を構築したい
- ユーザーに場所と時間に縛られない働き方を提供したい

今期取り組んだこと

今期情報システム部としてゼロトラストアーキテクチャに向けて具体的に取り組んだことは下記になります。

Azure AD Connectの構築
MDM製品の導入
- Windows端末：Intune
- Mac端末：Jamf
EDR製品の導入
SIEM製品の導入

すべてのことを詳しく書くと1記事に収まらないので今回はAzure AD Connectについて詳しく書きます。

Azure AD Connectの構築

今期「Azure AD Connect」の構築を行いました。

といわれてもそもそも「Azure ADとはなんぞや？」と思われる方もいるかもしれませんので軽くそこから触れていきたいと思います。

Azure ADとは？

Azure AD （Azure Active Directory）は、IDaaS(Identity as a Service)と呼ばれるクラウドベースの ID およびアクセス管理サービスになります。

Azure Active Directory とは - Microsoft Entra | Microsoft Learn

従来、企業の認証・認可の中心といえば「Active Directory」が主役でした。認証方法はケルベロス認証。一度Active Directoryで認証を行っていればイントラネットのシステムに関してはSSOが可能であり非常に便利なシステムです。いまでも使っている会社さんは多いと思います。

ただ、クラウドサービスの台頭によって状況が変化していきます。

Active Directoryはあくまでイントラネットのシステムに関してのみの認証であり、クラウドサービスに対しては認証をかけることができません。

なのでユーザーとしては利用するクラウドを切り替えるごとにIDとパスワードを打ち込む必要があり利便性が低下しました。また、管理者としてはユーザーのIDとパスワードの管理が一元的にできなくなることやサービスごとにアクセス制限を考えないといけないなど様々な問題が発生してきます。

そこで登場してきたのがIDaaS(Identity as a Service)になります。

IDaaSはクラウドサービスに対して認証・認可を行います。

認証方法はSAMLやOIDCなどです。

IDaaSを導入することによってクラウドサービスに対して認証・認可をActive Directoryのように行うことができユーザーの利便性アップやセキュリティの向上が期待できます。

ちなみにIDaaSの製品には下記のようなものがあります。

Azure AD
Okta
Onelogin
Ping Identity
Auth0
Cloud Identity(Google)

SaaSの利用が当たり前になってきている今IDaaSの導入は利便性・セキュリティの観点からほぼほぼ必須の状況になってきています。
※BetterCloud社の「The 2021 state of SaaSOps Report」によると70%の企業で平均79のSaaSが利用されており、先進的な15%の企業では平均212ものSaaSが利用されているそうです。

IDaaSはゼロトラストアーキテクチャのコアとなるシステムでありここから手を付け始める会社さんが多いと思います。

Azure AD Connectとは？

ここまででIDaaSの重要性が分かっていただけたと思います。

さてここからAzure AD Connectについて軽く触れていきます。

まず前提条件として弊社の状況を箇条書きします。

現状IDaaSはOneloginを利用している
- ただし、もろもろの理由がありAzure ADへの移行を検討している
Active Directoryが社内ネットワークに存在しており、現役で活躍している

来期Azure ADを導入するとなるとAzure AD とActive Directoryという二つのディレクトリサービスを持つことになります。

ここで考えなければいけないことが発生します。それはディレクトリ間での連携になります。

ディレクトリ間での連携がない場合、管理者は二つのディレクトリを管理しなければいけなくなります。具体的に例を挙げると、Azure ADでAというユーザーを作成した場合、都度都度Active DirectoryにもAというユーザーを作成する必要があります。また、PCにログインするパスワード(認証はActive Directory)とSaaSにログインするパスワード（認証はAzure AD）が異なる事象が発生するため、ユーザー視点でも問題が発生します。

つまり管理者としても、ユーザーとしてもディレクトリ間の連携ができていてほしいのです。2つのシステムのパスワードは一致していてほしいし、Active Directoryでユーザーを作成したらAzure ADにも自動でユーザーを作成してほしいのです。

そこで登場するのがAzure AD Connectになります。

Azure AD Connect および Connect Health とは - Microsoft Entra | Microsoft Learn

Azure AD Connectを構築することによってActive Directory⇔Azure AD間のディレクトリ連携が可能になります。

Azure AD Connectを構築する上での注意点やアドバイス

Azure AD Connectを構築する上での注意点やアドバイスを共有できればと思います。

Azure AD Connectの同期方法、冗長化

Azure AD Connectの同期方法は3通りあります。

「パスワードハッシュの同期」「パススルー認証」「フェデレーション認証」

Azure AD ハイブリッド ID ソリューションでの認証 - Microsoft Entra | Microsoft Learn

自社の要件にあった認証方法を選ぶべきですが基本的には「パスワードハッシュの同期」を選択すれば比較的簡単に構築が進むと思います。

ですが、以下の考慮事項があるため選択する際には注意が必要です。

現在、パスワードハッシュ同期では、オンプレミスのアカウントの状態の変化はすぐには適用されません。このような状況では、ユーザーは、Azure AD にユーザーアカウントの状態が同期されるまで、クラウドアプリにアクセスできます。組織がこのような制限を回避する方法の 1 つは、管理者がオンプレミスのユーザーアカウントの状態を一括更新した後に、新しい同期サイクルを実行することです。たとえば、アカウントを無効にします。

また、冗長構成（プライマリのAzure AD Connect サーバーが落ちたら勝手にセカンダリサーバーに自動で切り替わる）はできませんのでスタンバイ構成のステージングモードで展開を行う必要があります。

ステージングサーバーのすゝめ | Japan Azure Identity Support Blog