[クラウド分解辞典−Microsoft Azureの実像に迫る]

クラウドで重要な認証に向けたAzureのIDaaS【第5回】

2016年9月5日(月)山根 隆宏(アバナード クラウドマーケットユニット グループマネージャー)

米Microsoftが開発し提供するクラウドサービスである「Microsoft Azure」(以下、Azure)の全体像に迫る本連載。前回はAzure仮想ネットワーク(VNet)の説明とその利用方法について紹介した。今回は、AzureにおけるID管理およびアクセス管理のサービスについて紹介する。

 前回は、仮想ネットワークを利用したクラウドシステムとオンプレミスシステムのセキュアな連携方法などについて説明した。企業情報システムのプラットフォームにクラウドを利用することで、従来のオンプレミスのアプリケーションと比べて、より柔軟で拡張性の高いシステムを利用できる環境が整ってきたといえる。

 しかし、企業がクラウドを導入する際には、セキュリティをいかに担保するかが課題になっている。クラウド上での企業情報システムの利用や、オンプレミスと連携したハイブリッドシステムの実現、さらにはOffice365やGoogle Apps、Salesforce.comに代表されるSaaS(Software as a Service)アプリケーションの利用といったシナリオにおいて、シングルサインオン(SSO)の実現やID認証の統合といったセキュリティ機能は重要な検討要素である。

 これらのシナリオに対し、Microsoft Azureは、ID管理およびアクセス管理のための2つのサービスを提供している。1つは、AzureにおけるID管理/アクセス管理のコアとなる「Azure Active Directory(以下、Azure AD)」だ。もう1つは、「Multi-Factor Authentication(多要素認証)」でAzure ADと組み合わせて利用できる。2016年8月末時点ではさらに、2つのプレビュー版のサービスが利用できる(表1)。

表1:Azureが提供するID管理とアクセス管理のサービス表1:Azureが提供するID管理とアクセス管理のサービス
拡大画像表示

Azure ADはWindows Server ADと使い分ける

 Azure ADは、AzureやOffice 365などMicrosoftのクラウドサービスに対する認証サービスやID管理機能を提供する。Google AppsやSalesforce.comといったMicrosoft以外が提供するクラウドサービスに対してもシングルサインオンを実現できるよう設計されている。

 Azure ADの利用において重要になるのは、企業がオンプレミスで使用しているWindows ServerのActive Directory(以下、Windows Server AD)との住み分けだ。Windows Server AD は、ローカルネットワークに参加するコンピュータシステムへのユーザー認証と、そのID管理を実現している。企業や組織のドメインに結び付き、シングルサインオンを可能にするほか、これらに対するアクセス制御や複雑なポリシーの適用、リソース管理ができる。

 このように、Azure ADとWindows Server ADでは、本来のコンセプトが異なるため、両者は目的に応じて使い分ける必要がある。だが両者を連携させれば、高い相乗効果を得られる。まずAzure ADに組織ドメインとインターネット上のクラウドアプリケーションの認証ハブの役割を担わせる。そのうえで、フェデレーション機能を用いてWindows Server ADと連携し、かつ組織のディレクトリとの同期を図る。これにより、Azure ADが各種のSaaSアプリケーションに対するIDプロバイダーとなり、組織IDを用いたシングルサインオンが実現できる(図1)。

図1:Azure AD によるクラウドアプリケーション認証の統合(出所:『Azure - Security Privacy Compliance Deep Dive』、マイクロソフト)図1:Azure AD によるクラウドアプリケーション認証の統合(出所:『Azure - Security Privacy Compliance Deep Dive』、マイクロソフト)
拡大画像表示

Azure ADへのユーザー登録時にもセキュリティの考慮が必要

 ID管理をAzure ADで実施するには、ユーザー(アカウント)を登録する。最も単純な方法は、Azureポータル上のAzure ADの「ユーザー管理」のタブからユーザーを登録することだ。だが企業ユースでは、数百~数万に及ぶユーザーを1つひとつ手で入力するのは現実的ではない。

 作業効率を高める方法の1つが、ファイル等からの一括登録である。csvファイルをアップロードするといった方法だが、セキュリティの観点とアカウント情報の更新時における同時性の観点から実運用には適さない。企業の実環境では、社内にある既存のWindows Server ADとAzure ADを同期させる方法が一般的に利用されている。

バックナンバー
クラウド分解辞典−Microsoft Azureの実像に迫る一覧へ
関連記事

クラウドで重要な認証に向けたAzureのIDaaS【第5回】米Microsoftが開発し提供するクラウドサービスである「Microsoft Azure」(以下、Azure)の全体像に迫る本連載。前回はAzure仮想ネットワーク(VNet)の説明とその利用方法について紹介した。今回は、AzureにおけるID管理およびアクセス管理のサービスについて紹介する。

PAGE TOP