Azure Files AD DSを使ってみる

1K Views

November 28, 24

#microsoftentra #azure #active directory #Azure Files #クラウドストレージ #オンプレミス連携 #認証認可 #Azure AD

スライド概要

Azure Files AD DSのしくみや設定方法を説明しています。

chaboon

@chaboon

スライド一覧

Microsoft Most Valuable Professionals 表彰をいただいております。

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

（ダウンロード不可）

関連スライド

あえてMicrosoft Entra Application Proxyを使ってみる

chaboon 39.2K

Microsoft Entra Internet Accessを使ってみる

microsoftentra azure

chaboon 10.9K

Microsoft Entra External IDを整理する

microsoftentra azure

chaboon 9.5K

Azure FilesでMicrosoft Entra Kerberosを使ってみる

microsoftentra azure kerberos active directory

chaboon 7.7K

Azure Files 移行を考える

azure microsoftentra kerberos active directory

chaboon 4K

.NETlab_MEPA

microsoftentra azure

chaboon 3.2K

各ページのテキスト

.NETラボ 2024 11月勉強会小鮒通成

自己紹介です  都内Sierに勤務し、Windows/MEID認証基盤のコンサル・設計・トラブルシュート・ブログ公開などをやっています。  Microsoft Q&Aで、ときどき回答しています。  商業誌でWindows記事の寄稿を行うことがあります。  MSMVP Directory Services→Enterprise Mobility →Securityを受賞しています(MVP受賞回数22回+α)。  秋葉原によく現れます。最近は48型有機ELディスプレイを買いました…。

クラウドリフトとクラウドシフト  クラウドリフトは「移動」  Serverのバーチャル化  ネットワークのクラウド化  物理位置の移動  クラウドシフトは「変換」  Server機能のPaaS化  ネットワークのエンドポイント化(オンプレミス含む)  Server機能の解体と再編成

認証と認可のPaaS化  認証のPaaS化  比較的やりやすい  業界標準仕様によるコモディティ化  異種システム間の連携は考慮ずみ  認可のPaaS化  かなりやりづらい  リソース・アプリケーションへの依存度が高い  業界標準仕様はOAuthぐらい(認可プロトコル)  OAシステムからの認可PaaS化は「やりづらい」

Azure Filesとは  Windows File ServicesのフルマネージドPaaS  SMB(Server Message Block)  NFS(Network File System)  使用目的として  オンプレミスのファイルサーバーの置換または補完  アプリケーションの "リフトアンドシフト"  クラウド開発の簡略化(ログデータやInsight情報を取り出しやすくする)  コンテナー化

Azure Filesの認証  IDベース認証 (Kerberos)  オンプレミス Active Directory Domain Services  Microsoft Entra Domain Services  ハイブリッド ID 用の Microsoft Entra Kerberos  Linux クライアントの SMB 経由の Active Directory 認証  共有キー認証 (NTLMv2)  Azure ストレージアカウントキー  ホストベース認証 (UNIX)  公開ホストキー

Azure Filesのプロトコル  SMB (445/tcp)  SMB 3.1.1 / 3.1 /2.1  NFS (2049/tcp)  NFS 4.1  SMB over QUIC (443/udp)  Azure Files Sync + Windows Server 2022 Azure Edition またはWindows Server 2025 (Preview)  Windows ServerにAzure Filesのキャッシュを置くことで間接的に実現可能

Azure Filesの暗号化  SMB  SMB 3.1.1 / 3.1 はサポート  SMB 2.1 は未サポート  NFS  NFS 4.1 は未サポート  パブリックエンドポイント  暗号化は必須  サービスエンドポイントの非暗号化はサポート  オンプレミス・リージョンまたぎの非暗号化は未サポート  プライベートエンドポイント  暗号化・非暗号化通信はサポート

Azure Filesのストレージ  ストレージアカウント  Standard (汎用v2)  Premium (FileStorage)  冗長性  ローカル冗長ストレージ (LRS)  ゾーン冗長ストレージ (ZRS)  Geo 冗長ストレージ (GRS)  Geo ゾーン冗長ストレージ (GZRS)  暗号化  マネージドキーによる暗号化  NTFS  NTFS固有機能(8.3形式・NTFS圧縮・代替データストリーム等)は未サポート

10.

Azure Filesの基本構成  共有アクセス許可  既定の共有レベルのアクセス許可 SMB共有の共同作成者  SMB共有の管理者特権の共同作成者  SMB共有の閲覧者   特定のユーザーまたはグループに対するアクセス許可  ポータルからファイル共有のIAMでロールを追加する  NTFSアクセス許可  ドメインベースのACL設定が可能  管理時はストレージ共有キーでのアクセスを推奨

11.

Azure Files ADDSとは  オンプレミスドメイン環境からファイルサーバーをクラウドに切り出すしくみ  ドメインコントローラーへの接続が必須  オンプレミスまたはハイブリッド環境どちらでもOK  Azure Filesをドメインに参加させることで、オンプレミス Kerberos認証が可能になる  ドメイン参加はコンピューターアカウントまたはサービスログオンアカウントのどちらかで行う

12.

Microsoft Entra Kerberosとの違い  Kerberos認証は変わらないが、ドメインコントローラーからのみのTGT発行  Entra Connectは基本的に不要。ユーザー・グループで共有アクセス許可を設定したい場合は、ハイブリッド必須。  オンプレミス環境前提で、以下が可能。  Active Directory信頼関係でのアクセス(フォレスト信頼)  Aliasによるカスタムドメイン名での利用  非ドメイン参加マシンからのアクセス(Kerberos認証)  NTFSアクセス許可が見えない点に注意(SID→UPN名前変換ができないため)

13.

検証環境  Windows Server 2025 ドメインコントローラー(Insider)  Windows 11 Insider クライアント  Azureポータルでカスタムドメイン名を構成  Microsoft Entra Hybrid Joinを構成

14.

Azureでのカスタムドメインの構成  Azureポータルでカスタムドメイン名を構成。オンプレミス ADのDNS名と同一のモノをAzure DNSに設定。

15.

オンプレミス環境の構成  ドメインコントローラーの構成。Microsoft Entra Connect を追加インストール。  クライアントの構成。

16.

ストレージアカウントの作成  Azureポータルからストレージアカウントを作成  Standardで通常は問題ない  パブリックアクセスで構成

17.

ファイル共有の作成  ストレージアカウントの[データストレージ]ブレードからファイル共有を作成  ストレージごとに1つのファイル共有が推奨  複数作る場合は、高負荷と低負荷を組み合わせるようにする

18.

AzFilesHybrid 実行環境  以下モジュールをWindows 11にインストール  .NET Framework 4.7.2以降(インストール済み)  Azure PowerShell 2.8.0以降  Az Storage 4.3.0以降  PowerShellGet  Active Directory PowerShellモジュール  Get-WindowsCapability –Name RSAT.ActiveDirectory.* Online | Add-WindowsCapability -Online

19.

Azure Files ADDS有効化  Join-AzStorageAccountの実行  AzFilesHybrid PowerShellモジュールのダウンロード  Releases · Azure-Samples/azure-files-samples  Join-AzStorageAccountスクリプトの実行  Azure Files の AD DS 認証を有効にする | Microsoft Learn  コンピューターアカウントができている  AES256パスワード暗号化を使いたくない(RC4暗号化のみ)場合はSet-AzStorageAccountによる手動構成が必要  Azure Files の AD DS 認証を有効にする | Microsoft Learn

20.

共有レベルのアクセス許可の設定  [IDベースのアクセス]から[認証されているすべてのユーザーとグループについてアクセス許可を有効にする]  SMB共有の共同作成者:変更  SMB共有の管理者特権の共同作成者:+ACL変更権取得  SMB共有の閲覧者:読み取りと実行  設定後利用可能になるのは、「数時間後」なので注意！

21.

NTFSアクセス許可の設定  ストレージアカウントの共有アクセスキーでのネットワークドライブ接続  net use Z: \\<SA名>.file.core.windows.net\<共有名> /user:localhost\<SA名> <共有アクセスキー>  操作マシンがドメインコントローラーと直接通信できること  フルコントロールが可能  「管理者特権の共同作成者」でも新規構築は可能だが、移行環境で問題がでることがある

22.

GPOの設定(MEKとの併用のみ)  [ホスト名からKerberos領域へのマッピングを定義する]ポリシーを有効にする  クライアントコンピューターに適用する  Azure Filesホスト名とADDS Realmのマッピングを行う

23.

オンプレミスでのアクセス  問題なくアクセスが可能  シングルサインオン  ACLに添ったアクセス結果

24.

インターネットでのアクセス  アクセスするが、サインインは不可  ドメインコントローラーに接続できないため

25.

インターネットのセキュリティ  アクセスキーを使って、外部からSMB接続できてしまう  セキュリティプロファイルを「最大のセキュリティ」に  サービスエンドポイント・プライベートエンドポイントで接続

26.

KDCチケットはどうなっている？  オンプレミスでは「プライマリTGT」「CIFS」のチケットを保持

27.

まとめ  ドメインに参加するAzure Filesというところで、アーキテクチャがシンプルで理解しやすいソリューションかと。運用面でもオンプレミスとあまり変わらない使い方ができるので、基本的にはお奨めの構成ではあります。  設定が以外と大変です。 AzFilesHybridモジュールが使える環境構築の手間が、結構かかります。AzureとADDS の両スクリプトにアクセスする必要があるので。  セキュリティには十分注意しましょう。意識しないと外部からSMB経由で突破されてしまいます。

28.