Windows Server のEOSに向けたADFSの対処について

1. System Center User Group Japan 勉強会
Active Directory Federation Service
EOS に向けたTips
2019年7月20日

2. Microsoft MVP Office Apps & Services (2015～）
宮川 麻里 Mari Miyakawa
Office 365 / EMS / Active Directory など
企業様向けカスタマイズトレーニングや技術支援実施
Blog
MCT’s NoteBook http://www.mnote365.com/
System Center User Group Japan 所属

3. 従来の Office 365 に代表される SaaS SSO 構成
3
⚫Windows Server 2008 / 2008 R2 ・・・・2020年1月14日
⚫Windows Server 2012 / 2012 R2 ・・・・2023年1月10日
延長サポート終了期限
Active Directory Active Directory Federation Service

4. 従来の Office 365 に代表されるクラウドサービスの SSO 構成
4
ADFS 2.0 Office 365 SSO 社外からの Web アクセス
AD FS によるシングルサインオン環境構築 ステップバイステップガイド 引用

5. EOS対策
5
⚫Windows Server 2008 / 2008 R2
方法1：Windows Server アップグレード
⚫Windows Server 2016 / 2019
トークン署名証明書更新
Office 365 証明書利用者信頼情報の更新
スキーマ更新
2 段階のバージョンアップ
一旦 2012 を経由

6. EOS対策
6
方法2：サードパーティ製品 (アドオン）による認証
⚫コスト (費用）は下がる場合が多い
⚫導入難易度もそれほど高くない
★利用する拠点が対応されているか
要確認
★利用する ID 数が実績としてあるか
★トークン有効期限問題

7. EOS対策
7
https://www.youtube.com/watch?
v=o_MCm_0n2Jo&feature=youtu.be
方法3：Azure AD に置き換える
⚫ADFS の懸念点
コストが高い：サーバ冗長化・OS運用
⚫Azure AD に置き換えるメリット
セキュリティ対策をMicrosoft へ
危険なサインイン検知 / 監査ログ / アクセスコントロール
Azure AD Premium P1 / P2
Azure AD P1 ¥672 ユーザー/月 2019.07現在

8. ADFSからAzure AD (条件付きアクセス）に置き換えられないこと
8
クレームルールでしか制御できないようなクレームが書かれている
証明書やスマートカードによる認証
場所の制御でプライベートIPを指定する
ブラウザの種類による制御
などなど・・・・
クラウドに即した形にした対応が必要

9. 条件付きアクセスでどのようなセキュリティポリシーを
作成したらよいか？
9
ADFSAzure AD
そもそもADFS でセキュリティ対策できていましたか？

10. 条件付きアクセスでセキュリティポリシーを作成しよう
10
Azure AD P1 ライセンス 不要！
はじめの一歩

11. まとめ
11
⚫Windows Server EOS は Azure AD へ移行する良いきっかけ
⚫クラウドの方が機能更新は早い
⚫セキュリティリスク をきちんと考慮することで、「お金をかける価値」
があることが理解できる