Azure Managed Service Column <Azure運用コラム>

ドメインサービスの基本、Azure Active Directory Domain Services(Azure AD DS)とは?

Category: 入門編

2021.07.01

はじめに

Azure Active Directory Domain Services (以下、Azure AD DS)は、ドメインコントローラーの機能がAzure上でPaaSとして提供されているものです。

Azureのコンソールからデプロイするだけで簡単に利用できるようになります。オンプレミスとクラウドのハイブリッド環境でも利用でき、また、ドメインコントローラーの管理に関わるコスト削減にも有効です。

この記事では、Azure AD DSがどのようなものであるのか、特徴や価格、注意事項などをご紹介します。

1.Azure Active Directory Domain Services(Azure AD DS)とは?

Azure AD DSは、ドメインコントローラーをAzure上に構築し、ドメインサービスを提供するサービスです。ドメインコントローラーとは、ドメイン参加やグループポリシーなどのドメインサービスを提供し、ドメイン内の端末やユーザーなどの情報を集中して管理する機能を指します。

Azure AD DSを用いることで、Azure上でユーザーのドメイン管理を実現したりグループポリシーを利用できるほか、既存のオンプレミス環境と接続すれば、オンプレミスで使用していたドメインユーザーをAzure AD DSに同期させることもできます。いわばActive Directory Domain Services(以下AD DS)のAzure版です。

また、Azure AD DSが管理するドメインはマネージドドメインと呼ばれ、ドメインコントローラーを機能としてMicrosoftが提供します。オンプレミスのようにOSも含めたドメインコントローラーをデプロイするのではなく、ユーザーはドメインコントローラーのOS自体やそのアップデート対応などを意識する必要が無い仕組になっています。

仮想マシンやドメインコントローラーの管理は、企業の情報システム部門の負荷が大きいものです。しかしマネージドドメインサービスを利用することで、ドメインコントローラーの管理の手間を軽減させることができるのです。

2.Azure Active Directory Domain Servicesの特徴

Azure AD DSには、次のような特徴があります。

2.1 AD DSと互換性があり、同じ機能がある

Azure AD DS は、AD DSと互換性があります。マネージドドメインサービスであるドメイン参加、LDAPS(LDAP over SSL/TLS、Secure LDAPとも呼ばれます)、グループポリシー、DNSの管理などが使用可能です。ただし一部使えない機能もあります(後述)。

2.2 Azure ADと自動的に同期

Azure AD DSは、Azure Active Directory(以下、Azure AD)と自動的に同期されます。これによりAzure ADと同じユーザー・パスワードでAzure AD DSのドメインにサインインできます。また、Azure ADにて新規作成・変更されたユーザーやグループ、属性はAzure AD DSに自動的に同期されます。ただし外部ディレクトリのアカウントは、Azure AD にリンクされていたとしても使用はできません。

2.3 オンプレミスとも同期可能

オンプレミスのActive Directory(以下、AD)とも同期が可能で、ADのユーザー・パスワードを使ってAzure AD DSにアクセスできます。

オンプレミスの AD とのハイブリッド環境では、Azure AD Connect を用いることでユーザーを同期します。Azure AD Connect によってオンプレミスのADユーザーが Azure AD と同期された後、Azure AD DSと同期される…という流れです。この場合もユーザー、グループ、属性は自動的に同期されます。

2.4 デプロイ操作の簡略化

Azure AD DSに関わる操作にはAzure Portalを利用します。そのためAzure AD DSをAzure ADに対して有効化する「デプロイ操作」を比較的簡単に行えます。

2.5 Kerberos/NTLM認証

Azure AD DSでは、NTLM と Kerberos の認証がサポートされています。Azure ADではこれらの認証がサポートされていないため、Azure AD DSを利用すれば、Windows統合認証を利用するアプリケーションをデプロイできます。

3.Azure AD DS利用の例

Azure AD DSは特にAzure AD のアカウントでのドメイン参加や Kerberos 認証、LDAPS 接続ができるため、このような利用が想定されています。

3.1 Azure 上の仮想マシンにオンプレミスから Kerberos/NTLMを用いてシングルサインオンをする

Kerberos認証もしくはNTLM認証を用いれば、通信のセキュリティを強化しながらシングルサインオンが行えます。オンプレミスのシステムをAzure上の仮想マシンに移行して、その仮想マシンにKerberos認証もしくはNTLM認証でシングルサインオンをしたい場合は、Azure AD DSを使用して実現することになります。パスワードハッシュ同期が必要となるため、Azure AD Connectも構成することが必要です。

また、企業のセキュリティの要件として、オンプレミスのADとAzure ADのパスワードハッシュ同期ができない制約があるもののシングルサインオンをしたい、という場合にもAzure AD DSが使えます。その場合はネットワークにExpress Route もしくは VPNを使うことになります。

3.2 Azure AD に対してLDAPS接続をする

セキュリティ対策のひとつであるLDAPS接続を用いれば、通信を暗号化することが可能です。Azure ADではLDAPS接続は直接サポートされないため、AzureでLDAPS 接続を行いたい場合は、Azure AD DSを用います。

4.Azure AD DSを使用するために必要なもの

Azure AD DSを使用するためには、下記が必要となります。

  • Azureサブスクリプションおよび「共同作成者」権限
  • サブスクリプションに関連付けられたAzure AD テナントおよびAzure ADの「全体管理者」権限
  • オンプレミス環境がある場合は、必要に応じてAzure AD Connect

5.Azure AD DSの料金

Azure AD DSの導入に事前コストはなく、必要なのはランニングコストのみです。導入後は使用量が計算され、時間単位で課金されることとなります。Azure AD DSの料金体系は下記の3つです。

  • Standard:¥16.80/時間/セット
  • Enterprise:¥44.80/時間/セット
  • Premium:¥179.20/時間/セット

料金体系について詳しくは、Microsoftのサイトをご参照ください。 また、解約する場合の手数料は不要です。

6.Azure AD DSの注意点

AD DSで可能であって、Azure AD DSで使用できない機能もあるため注意が必要です。

6.1.スキーマ拡張はできない

スキーマ拡張とは、管理しているユーザーやコンピューターなどのオブジェクトに変更を加えることです。AD DSで可能である「スキーマ拡張」は、Azure AD DSではできません。

6.2.ドメイン管理者/エンタープライズ管理者の権限が与えられない

Azure AD DSにはドメイン管理者およびエンタープライズ管理者の権限は与えられていません。利用するアプリケーションにこれらの権限が必要な場合は、Azure AD DSは使えないということになります。

6.3.一度作成したマネージドドメインは移動できない

Azure AD DSで作成できるドメインは1つだけです。作成したドメインは、別のリソースグループや仮想ネットワーク、サブスクリプションなどへ移動できません。したがって、ドメイン参加するオブジェクトの確認や導入の際の設定が肝心となります。

6.4.Microsoft 365との認証はできない

Microsoft 365の認証はAzure AD DSではできず、Azure ADの範疇となります。

まとめ

Azure AD DSについて、特徴や必要なもの、価格、注意事項などをご紹介しました。細かな制約はあるものの、Azure AD DSを用いれば自前でドメインコントローラーを構築する必要がなく、Azure Portal上で管理・運用することによって工数やコストが削減できます。人的コストや費用、セキュリティポリシーも勘案して、要件に合うかどうか検討してみてください。

Azure設計・構築を任せたい

Azure構築サービス

Azure構築サービス

Microsoft Azureを利用したシステムの設計・構築を代行します。お客様のご要件を実現する構成をご提案・実装いたします。

Tag: Azure Active Directory Domain Services Azure AD DS

Contactお問い合わせ

お見積もり・ご相談など、お気軽にお問い合わせください。

single.php