Azure Ad Connect（AACD）移行についてご紹介

情報漏洩対策として有用なAzure Ad Connectを活用すれば、ログイン時に必要なIDとパスワードを効率よく管理できます。この記事では、Azure Ad Connectの概要と導入するメリット、移行の手順について詳しく解説します。

Azure Ad Connectとは

Microsoft社が提供するAzure Ad Connectは、Windowsサーバーが搭載するActive DirectoryとAzure Ad間でアカウントの情報を同期し、1つのID・パスワードで各システムへのアクセスを可能にするツールです。オンプレミスとクラウドの双方にアクセスできるIDはハイブリッドIDと呼ばれ、ユーザーの利便性と生産性の向上が見込めるとして、導入を進める企業は増加傾向にあります。

Azure Ad Connectを使用したアカウントの一括管理は、情報漏えいのリスク低減にも有用です。退職者のアカウントが削除されていないままで放置されてしまうと、不正アクセスや情報漏えいの被害にもつながりかねません。このようなリスクを低減させるためには、徹底したID管理が必要です。情報システム管理者の負担を軽減しながら、適切なアカウント管理をサポートしてくれるツールとして、Azure Ad Connectが注目されています。

Azure Virtual Desktop はセキュリティも万全？Microsoft × TIS が推奨するセキュアなテレワーク実現に向けたベストプラクティス

Azure Ad Connectに移行するメリット

Azure Ad Connectを使用してオンプレミスとクラウドのアカウントを連携すると、どのようなメリットが期待できるのでしょうか。クラウドサービスを活用するうえで、セキュリティ対策は非常に重要な課題です。Azureでは、AIによる24時間体制の監視であらゆるサイバー攻撃を防御するなど、セキュリティ性に優れた環境でのID管理を可能にします。ここでは、Azure Ad Connectを導入した際の代表的なメリットを解説します。

情報漏洩リスクが低減する

Azure Ad Connectを使用すれば、単一のIDでさまざまなサービスにログインできるため、情報漏洩のリスクが低減と業務効率アップに有用です。重要な個人情報やデータを扱う企業にとって、情報漏洩はもっとも避けなければならない事態です。情報漏洩のリスクは、取り扱うデータの量が増えるほど高くなります。

サイバー攻撃による被害は、増加の一途をたどっているため、企業の信頼を保守するためにも対策を万全にしておく必要があります。近年では、クラウド化の推進により、複数のクラウドサービスを利用している企業も少なくないでしょう。オンプレミスとクラウドでそれぞれ異なるID・パスワードを入力していると、ユーザーの手間が増え、業務の効率は下がります。

また、全てのID・パスワードを記憶しておくのが困難なため、ログイン情報をメモして机上に放置してしまう従業員もいるかもしれません。適切なID・パスワードの管理を実現するには、第三者に情報を持ち出されない環境作りの徹底が何よりも大切だといえるでしょう。

情報システム担当者の工数削減

Azure Ad Connectは、アカウント管理の効率化に大きく貢献するサービスです。これまでシステム管理者は、サービスごとにユーザーのID・パスワードを関連付ける必要がありました。利用するサービスとユーザーが増えるほど、ID管理は煩雑になりがちです。

ユーザーがそれぞれ異なるIDを使用してサービスを利用していると、ログインの際にIDやパスワードを取り違えるケースもあります。ロックがかかってしまった場合には、情報システム担当者が、状況を確認して解除するための作業に工数を費やさなくてはなりません。

Azure Ad Connectは、アカウント情報の一元管理が可能なため、情報システム担当者の工数削減に有効です。また、適切なアカウント管理は、セキュリティが脆弱になるのを回避し、重要なインシデントの発生を未然に防ぐ効果もあります。

Azure Ad Connectの移行に必要なもの

Azure Ad Connectのインストールを行うには、一定条件を満たしたサーバー環境が必要です。Azure Ad Connectの同期は、オンプレミスからAzure Active Directory(Azure AD)の一方向で行われるため、Azure Ad Connectと同期する前に、不必要な情報を整理してきちんと削除しておくようにしましょう。

サーバー環境の条件

Azure Ad Connectをインストールするには、Azure Active Directoryと同期させたいオンプレミス上の Active Directoryドメインに参加していることと、Windows サーバー2012以降のバージョンが必要です。なお、Active Directory Federation Service(ADFS)、Webアプリケーションプロキシがインストールされているサーバーであれば、Windows Server 2012 R2以降といった条件が求められます。

Azure Ad Connectのインストール

Azure Ad Connectのインストールを実行する際の手順を解説します。インストールを開始する前に、ドメインの検証など前提条件を確認しておきましょう。Azureでは、ユーザーやアプリケーションなどをテナントと呼ばれるグループにまとめて管理します。Microsoft 365をすでに利用しているのであれば、Azureテナントも作成されているはずです。なお、環境によってはテナントを必要としないケースもあります。

Azureポータルにアクセスして[Azure Active Directory]を開き[カスタムドメイン名]をクリックすると、ドメインの一覧が表示されます。状態が確認済みとなっていて、一度の認証ですべてのサービスが利用できるフェデレーションドメインとなっているかどうかの確認も済ませておきましょう。

【Azure Ad Connectインストールの手順】

ダウンロードセンターからAzure Ad Connectのインストーラーをダウンロードします。インストーラーを起動して、ライセンス条項・プライバシーに関する声明にチェックを入れたら続行をクリックしてください。

[簡単設定] [カスタマイズ]のいずれかを選択します。[簡単設定]を選択した場合の認証方式には、不規則な文字列に置換して処理するハッシュ同期が適用されます。

[カスタマイズ]では、より細かいセットアップが可能です。既存のSQLサーバーなど必要な機能にチェックを入れて[インストール]をクリックすると、自動で必須コンポーネントのインストールが開始されます。

[Azure ADに接続]の画面で、Azure ADグローバル管理者の情報を入力したら[次へ]をクリックしてください。 [AD DSに接続]にエンタープライズ管理者のユーザー名・パスワードを入力して[構成の準備完了]と表示されたら内容を確認して[インストール]をクリックします。

構成は自動で行われます。[構成が完了しました]と表示されたら[終了]をクリックしてインストールは完了です。利用する機能によってどのアカウントに権限を付与するのかを判断し、実行しましょう。

Azure Ad Connectの注意点

Azure Ad Connectで同期する際に自動で作られたユーザーやグループは、Azure Ad上での変更・削除ができません。変更・削除を実行する際は、オンプレミス側から行う必要があるため注意が必要です。

アカウント情報は、SQL Serverデータベースに保存されます。データベースは、SQL Server Expressの簡易バージョンである「SQL Server 201d2 Express LocalDB」がAzure Ad Connectと一緒にインストールされますが、10万件までしかデータを保存できません。あらかじめ、保存したいデータの件数を把握して、データベースのスペックを選択するようにしましょう。