概要

「ひと目でわかるAzure Active Directory 第３版」を読んで、自分なりに理解したことや調べたことをまとめておく。

主に、次のキーワードについて学んだ。

Azure AD Connect

Azure AD ConnectでオンプレADのID、パスワードをAzure ADに同期させることができる。
これにより、オンプレのActive Directory側のアカウントだけを管理すればOKになる。
AzureADConnect.msiをダウンロードして、オンプレのドメインに参加しているWindows Serverにインストールする必要がある。このサーバをAzure AD Connectサーバーと呼ぶ。
Azure AD Connectサーバーでは、Azure AD Connect同期サービスが起動し、ディレクトリの同期を行う。
ディレクトリの同期は、HTTPSで行われる。既定では、30分間隔でオンプレADからAzure ADに同期される。
Azure AD Connectのデータ領域には、ローカルまたはリモートのSQL Serverを使用する。
ディレクトリ同期には3つのアカウントが必要になる
- オンプレAD：AD DSコネクタアカウント
- Azure AD Connectサーバー：ADSyncサービスアカウント
- Azure AD：Azure ADコネクタアカウント
オンプレADからAzure ADへの同期には次の4つのフィルターをかけることができる。
- グループベースのフィルター
- ドメインベースのフィルター
- 組織単位（OU）ベースのフィルター
- 属性ベースのフィルター

Azure ADにIntuneを展開し、デバイスをIntuneに登録すると、登録されたデバイスに対して、ポリシーを適用でき、組織の方針にもとづいてデバイス管理ができる。
Intuneのポリシーの１つにコンプライアンスポリシーがあり、デバイスが組織のセキュリティ基準、コンプライアンス基準に準拠しているかを判断できる。

アプリケーションをAzure ADにつなぐことで、Azure ADで認証されたユーザーがSSOでアプリにアクセスできるようになる。
また、認証でだけでなく、アクセス制御をAzure AD上で行うことができる。
アプリケーションのAzure AD統合には以下の種類がある。
- App Service
- オンプレのWebアプリ
- サードベンダーのSaaSアプリ（Saleforce, Twitterなど）
- アプリの登録

Azureのアプリケーションプロキシというリバースプロキシ機能により、オンプレのWebアプリをAzure ADと統合できる。
Azureのアプリケーションプロキシ経由で、インターネットから安全にオンプレのWebアプリにSSOでアクセスできる。
オンプレのWindowsサーバーに、アプリケーションプロキシコネクタをインストールすると、Azure ADのアプリケーションプロキシ機能を有効ができる。
有効化したら、オンプレのWebアプリをAzure ADに追加し、Webアプリを使用するユーザーにアクセス許可を割り当てる。
オンプレのADから同期してきたAzure ADのユーザに対してアクセス許可を割り当てるので、Azure AD Connectによるディレクトリ同期が行われていることが前提。

書籍に記載されているわけではないが、Azure ADを使用して、Windows VMにログインする方法が気になって調べた。

↓のリンクの通り、VMログインに対してAzure AD認証を適用させることが可能。