Directoryのコラムを担当している新井です。Directoryの必要性や、ワークグループとドメインの違いについて解説しました。Directoryを管理していく上で「キホン」となる概念やキーワードについて解説してきます。その「キホン」となるキーワードはボリュームが多いため、2回に分けて解説していきますので、次回のコラムと併せてお読みいただければと思います。今回は、「ドメイン」、「フォレスト」、「信頼関係」という3つについてピックアップして解説します。Directoryの「オブジェクトを管理する単位」です。オブジェクトの管理方法などについては次回以降の連載で解説しますが、現時点ではオブジェクトは「アカウントなどの総称」として捉えていただければと思います。同士が複製の仕組みを使用して同じオブジェクトの情報を共有します。逆にドメインが分かれている場合にはオブジェクトの管理も分かれるということになります。下の図のようにAドメインとBドメインがある場合、保有するオブジェクトはそれぞれ別物であるということになります。Plusのレポート機能を使用した場合の効率的な運用方法についてご紹介します。Office365の利用を開始する際、多くの組織は、業務の中で使用することが予想される数を見積もった上で、ライセンスを購入します。正確に見積を出した場合でも、時がたつにつれて組織で必要となるライセンス数は変動するものです。従業員の退職や、組織内の特定のチームから外れたりした場合などは余剰ライセンスが発生します。このような例は往々にして起こり得るため、未活用のライセンスが発生しやすく、適切な管理のためには、企業は常日頃からライセンスの利用状況を正しく分析する必要があります。組織変更の都度、管理者が手動でライセンスを再配置することは殆ど不可能なことだといえます。ライセンスの配置を効果的に実施するためには、管理者はライセンス/ユーザー/グループの情報を「正確」に把握する必要があります。デフォルトで利用可能なツール「Office365管理センター」には、包括的に情報を表示できるようなレポートが用意されていません。自動的なライセンス管理をPowerShellスクリプトの実行により実現しようとした場合、一定の技術が必要となり、時間もかかります。そこで、管理者がOffice365をより効率的に可視化するためのツールが必要となります。Plus」では、Office365におけるライセンス/ユーザー/グループといった包括的な情報をレポート化する機能が備わっています。Plusが搭載しているレポートの一部をご紹介します。Office365のすべてのユーザー、非アクティブなユーザー、一度もログオンしていないユーザーなどを表示することができ、ユーザーに対するライセンスの付与/除外を行う際に有用です。Office365のライセンス情報を確認し、さらにライセンスが付与されているユーザー、付与されていないユーザーを抽出することが可能です。管理者はこのレポートを使用して、ライセンスの付与状況が適切かどうかを判断することができます。Directoryのセキュリティを強化するためには、適切なメンバーに対して特権が付与されている状態を、しっかりと保つことが大切です。グループに所属するメンバーの情報を取得すること自体は、複雑な作業ではありません。「継続的に」メンバーの情報を取得すること、そして「権限が昇格されたグループ」まで正しく把握することは、決して簡単なことではありません。そこで、本ブログでは、グループに所属するメンバーの一覧を効率的に取得し、レポート化するための方法について案内します。Directoryにて特権が付与されているグループの一覧を列挙します。Directoryで管理されているグループは、大きく以下の3つに分けられるかと思います。企業には、必ず一つ以上のアカウントが存在します。それはサービス、アプリケーション、開発や一般的な従業員など、様々な用途で使用されており、企業は、アカウントがロックアウトされていないか、パスワードが更新されているかなどを、きちんと監視する必要があります。サービスやアプリケーションに紐づけられているアカウントの有効期限が切れた場合、ログオンができず、動作に影響する恐れもあるため、特に注意が必要です。パスワードの有効期限を管理しているプロパティ情報は、ユーザーオブジェクトの属性に含まれています。Directoryユーザーとコンピューターなど)からは直接確認することができず、「ユーザーとコンピューター」のカスタムクエリを使用しても、簡単には抽出できません。Plus』についてご紹介します。Directoryのユーザー、コンピューター、ファイルサーバーといったリソースを、WebベースのGUIから管理し、レポート化することができるツールです。本ツールには、パスワードに関するレポートも豊富に用意されており、それぞれワンクリックで生成可能です。Directoryのセキュリティ対策における、現在の自分たちの立ち位置を正確に把握することが挙げられます。Directoryに関する情報を広範囲にわたり収集することが大切です。現在行われているセキュリティ設定の中でコンプライアンスに準拠しないもの、または全体のセキュリティ要件を満たさないものを洗い出し、対策をとることが求められます。都内の中小企業サイバーセキュリティ対策を行う際の支援の一環として、必要な設備等の導入経費の一部を助成する旨を発表しました。当助成金制度は、本日(2017年9月1日)より申請の受付が開始されました。受付締切は9月29日に設定されており、スケジュールとしてはタイトです。弊社の確認では、助成金の財源は東京都で、このような実施は今年度(2018年3月末まで)では今回限りとのこと。来年度以降については、検討予定だが未定だそうです。セキュリティ対策を実施したくとも予算面に限りがある企業にとっては大きなチャンスですが、一方で、申請期限や財源枠について考えると狭き門でもあります。ご検討中の方は、ぜひ迅速な申請をお勧めいたします。以下で、助成金を申請するにあたって知っておきたいポイントをまとめます。助成金の対象となっている「中小企業」とは、中小企業基本法(昭和38年法律第154号)第2条に規定する中小企業者のことで、業種によって定義が異なります。これについては、下記をご参照ください。ちなみに、大企業が株主となっているような以下のケースは含まれませんので、ご留意ください。東京都内に登記をしていることも重要な条件です。本店だけでなく、登記簿上に支店が含まれている場合も該当するようです。東京都内で開業届または青色申告をしている個人事業主も含まれます。助成金の対象となる製品やサービスの情報は以下の通りです。この情報は様々なWebページでも出回っています。Directoryのドメイン管理者アカウントが狙われるケースが多数報告されています。Directoryのドメインコントローラーとローカルの管理者権限が奪われました。Directoryのドメイン管理者アカウントは、業務用端末や各種サーバーへの横断的なアクセスが可能なため、攻略できればマルウェアの感染拡大や機密情報の流出が容易に行えます。このため、攻撃者の攻略目標となりやすいのです。攻撃の兆候は、ログを定期的に監査することで事前に検知できると言われています。)からも対策方法を解説した資料が公開されました。Directoryのセキュリティ対策と言っても、具体的にはどのような対策を実施すればいいのでしょう。以下で、その内容を簡単にまとめます。Directoryデータベースには少なくとも1つのユーザーアカウントが作成されていますが、1度もログオンしていないアカウントが存在している可能性もあります。利用者がログオンしないことは、様々な要因が考えられます。ログオンされていないアカウントが存在するのは問題です。それがなぜ問題なのかと思うかもしれません。そこでユーザーアカウントの作成時のいくつかの一般的な設定の流れを振り返ってみます。これらの設定が行われているため、攻撃の起点として使用される可能性のあるユーザーアカウントになっているということを認識しておく必要があります。既知の共通したパスワードを持つユーザーアカウントが存在するという事は、重大なセキュリティ懸案事項であるため、ログオンしていないユーザーアカウントは何らかの方法で対処する必要があります。本ブログでは、こういったアカウント情報を収集する方法をご紹介します。ADUCは普段、アカウント作成やOU変更などADを運用する際に通常利用する画面になりますが、ADUCは、事前に定義した条件に一致するオブジェクトを繰り返し表示する方法として、「クエリを保存」するオプションがあります。期限が設定されていないパスワード、n日間ログオンしていないユーザーアカウントなどを表示するためのクエリが事前に定義されています。図1のようなカスタムクエリを作成して、ログオンしていないユーザーアカウントを表示することも可能です。この方法は、定期的に確認する際に、効率よく確認できます。この方法を使用する場合、致命的な問題があります。ログオンしていないアカウントかどうかを知ることは重要ですが、同時にアカウントの作成時期を知ることも重要です。これにより、管理者は、アカウントがログオンを待っている期間についての洞察を得ることができます。数日または数週間であれば、ユーザーは引き続きアカウントを使用する可能性がありますが、アカウントが1か月以上前に作成された場合、アカウントが使用される可能性は低くなります。致命的な問題というのは、この保存したクエリからは、各ユーザーの作成日を同時に取得するのは困難であるということです。Directoryの代表的なオブジェクトには、「ユーザーアカウント」「グループアカウント」「コンピューターアカウント」などがありますが、この記事ではまず初めに作成するであろう、「ユーザーアカウント」の代表的な作成方法を、3つご紹介していきたいと思います。ユーザーアカウントを作成する際に、おそらく最も多くの方が使用している方法が、Microsoft提供の管理ツールなのではないでしょうか。Server2012R2から追加された[管理センター]の2つがあります。VPN接続ができないといった経験はないでしょうか。Plusを使用した場合のパスワードリセットにかかる時間について紹介いたします。紙ベースでの申請・問い合わせがおこなわれます。この問い合わせこそ、もっとも時間がかかります。1点が、実際にリセットを実行するヘルプデスク担当者や管理者のおこなうリセット作業の時間です。以下の実行手順の場合、2分弱の時間を要します。