SE

Azure ADって必要なのでしょうか？クラウドサービスには必要ない気がします。

PM

そうですね。従来のADでは、クラウドサービスには不向きです。しかし、ユーザー管理したいのであれば、やはりAzure ADの導入が必要になってきます。

クラウドサービスで使えるAzure ADとは

通常のオンプレミスで利用するADには、シングルサインオンというシステムが導入されています。このシステムはユーザーIDとパスワードを利用して、ユーザーが1回のサインオンでアクセス可能な範囲を定義することができます。

クラウド環境であるAzureで従来のADを利用すると、ユーザーがクラウド上に展開するアプリケーションにアクセスする度に、ユーザー認証をする必要が発生します。

これではシングルサインオンの概念が崩れてしまいますので、この現象を解消すべく登場したのが「Azure AD」です。使用することでクラウド上のアプリケーションへの認証を一元管理することが可能になります。

Azure ADクラウドを導入するメリット3選

Azure ADクラウドは、使用者の用途にあわせたサーバーインシデントの拡張と縮小を簡単に行うことが可能です。

Azure ADクラウドはクラウドサーバーのためオンプレミスサーバー機器の不具合や故障、災害時や物理的な損傷による復旧など管理作業を削減し、初期費用や保守運用コスト面もあわせて管理者への負担が軽減できます。

Azure ADクラウド導入のメリットを詳しくご紹介します。

Azure ADクラウドを導入するメリット1：拡張と縮小が簡単に行える

Azure ADクラウドは変化に合わせて送信元から通信相手まで経路（メトリック）の自動スケールが簡単に行えます。

Azure ADクラウドのCloudServices、MobileServices、VirtualMachinesおよびWebsitesの機能で、アプリが需要の変更に合わせ良好なパフォーマンスを実現できます。例えばトラフィックの急激な増加によりアプリのサイトダウンを防ぐことができます。

Azure ADクラウドを導入するメリット2：管理者への負担が軽減できる

AzureADの管理者は、IDタスク管理をする管理者から権限が高くなるグローバル管理者など段階があります。

特定のロール（関連する権限のグループに名前を付けたもの）ユーザーに権限の管理と制御をすることができます。使用可能なロールを割当て、リスクコントロール管理の設定や制御をすることで各管理者の負担が軽減できます。

AzureADのポータルでは管理者ロールのすべてのメンバーを表示して管理できます。

Azure ADクラウドを導入するメリット3：コストを削減できる

AzureADでは使用しないサービスや機能をパッケージとして販売されることがなく、必要なものだけを選択して使うことができます。そのためコストを削減することができます。

また開発やテスト段階のときは稼働時間に合わせて、日中は稼働させ夜の使用しない時間帯にはシャットダウンするなど、使用容量の拡大や縮小を調整できコスト効率を高めることが可能です。

そしてオンプレミスサーバーのように社内にサーバー購入や管理コストを削減します。

Azure ADクラウドの主な機能6選

クラウド上にある様々なアプリケーションをAzure ADに登録することで、クラウドサービスのアカウントをまとめて管理することができます。いつでもどこからでもシングルサインオンでアクセスすることが可能になります。

ID管理機能に関しても、2段階認証、生体認証、デバイス認証を利用することができます。Azure ADを導入することで、ユーザー管理が簡単にできます。オンプレミスと違い、クラウドサービスは様々なデバイスからいつでもどこからでもアクセス可能です。

大事な資産を守るためにも、現在Azureを使用しているのならば、Azure ADの導入をおすすめします。

Azure ADクラウドの主な機能1：アプリケーションの制御ができる

AzureADはアプリケーションの制御ができます。アプリケーションの複数の条件付きアクセスポリシーは組織のルールに沿ったアプリケーションの割当や制御の設定をします。

アクセスのブロックやアクセス権の付与を、各ユーザー別にアプリケーションアクセスを制御します。組織のセキュリティを守り、各ユーザーのアクセス権限レベルを段階的に設定し生産性を高める機能です。

各ユーザーの条件付きアクセスには多要素認証(MFA)の実行が必要です。

Azure ADクラウドの主な機能2：ユーザーやグループの管理ができる

AzureADを使用するにはユーザーアカウントの登録が必要です。各ユーザー管理を、ユーザーが所属する部署や役職などでグループ管理することができます。

セキュリティグループは、アクセス権限をセキュリティーレベルに合わせて管理することが可能です。

Microsoft365グループは情報共有に使用できる共有メールボックス、カレンダー、ファイル、SharePointサイトなどへのアクセス権限をグループごとに割振ります。

Azure ADクラウドの主な機能3：セキュリティの強化

AzureADは組織のセキュリティ権限を階層ごとの管理下に設定でき、特権管理者ロールユーザーを割当てセキュリティ環境を構築します。

オンプレミスやクラウドやハイブリッドの環境下のユーザーアクセス保護が必要になり、プロセス、管理作業、ナレッジ管理、ホスト防御、アカウントの保護、ID管理などの技術的な構成要素や部品に関してもセキュリティの強化の設定ができる機能があります。

以下では2段階認証やデバイス認証、生体認証についてお伝えします。

2段階認証

2段階認証とはユーザーアカウントを使ってログインする時に、セキュリティ強化のため本人を確認するセキュリティ認証の項目を、ユーザー名、パスワードと、任意のユーザー本人が確認できる通常用とバックアップ用のメールアドレスや電話番号の組合せを使用します。

2段階認証有効の場合はセキュリティ強化ができます。パスワードを忘れた場合など万一に備えて、3種類のセキュリティ情報をアカウントに関連付けておくことを強くお勧めしています。

デバイス認証

デバイス認証とは、事前に管理者が登録したデバイスのみアクセスを許可する認証方法です。Azure ADでは、Microsoft Intuneなどのツールを使用して管理します。

Azure AD登録済みデバイスやAzure AD参加済みデバイス、またはハイブリッド Azure AD参加済みデバイスにより、デバイスベースの条件付きアクセス基盤となりセキュリティ環境のもと使用ができる仕組みです。

生体認証

生体認証とは、指紋や静脈、声など、身体の一部やそれに準ずる要素を使って本人を特定する認証方法です。AzureADではパスワードレス認証のオプションとして生体認証があります。

Windows Hello for Businessは、自分専用デバイスを使用する際に最適で、生体認証またはPIN資格情報をPCに直接関連付けるため、他人がデバイスにアクセスすることを防止できます。

Azure ADクラウドの主な機能4：デバイスの管理が楽になる

Azure ADの機能には、クラウドサービスの認証を管理でき、オンプレミス上の社内IDもクラウドIDもすべて一括管理できる機能があります。

クラウド上の様々なアプリケーションを登録するとシングルサインオンでアクセスができます。オンプレミス上の社内ID管理などに必要なデータセンターやドメイン管理のための負担が軽減され、クラウド接続環境上でデバイス管理ができる機能です。

Azure ADクラウドの主な機能5：同期が楽になる

Azure ADクラウドの機能のAzure AD Connectは、アカウント情報を同期してオンプレミスとクラウドのID統合や、グループ情報の同期ができる機能です。

同期された一つのユーザーIDで、オンプレミスからクラウドサービスのOffice365などのアプリケーションにアクセスして使うことができます。

Azure AD Connect Healthには、信頼性のある同期環境なのかを確認する監視サポート機能もあります。

Azure ADクラウドの主な機能6：アクセスログの管理が楽になる

AzureADクラウドのアクセスログを長期間記録できデータ分析情報を得られます。監査ログとサインインログがあり各ユーザーがいつどんな作業をしたのか記録管理ができます。

Azureサブスクリプションは無料ですが、アーカイブ使用時のストレージなどAzure リソースの利用料金が発生します。

アーカイブされるストレージ容量は使用規模によって差があるのでAzure Monitor ログの管理機能を活用してコスト管理も可能です。

Azure ADクラウドの料金プラン4選

Azure ADの機能や4つの料金プランをご紹介します。有料のPremium P1、Premium P2、Office365アプリと無料のFreeプランの4タイプがあり用途に合わせて選択できます。

Freeプランは外部ファイルに対するアクセス権限をユーザーごとに細かく設定するディレクトリオブジェクト制限があります。

導入前にどのプランが適しているのか特徴に合わせた選択をしましょう。

Azure ADクラウドの料金プラン1：Premium P1

Premium P1(AzureAD Premium Edition) の月額利用料金は税込672円(2020年12月現在)で年間契約が必要です。

法人組織などに向けた機能として、Core ID とアクセスの管理、外部ID、Office365アプリの IDとアクセスの管理、Premiumの機能、ハイブリッド ID、高度なグループアクセス管理、条件付きアクセスが利用できます。

ID 保護、Identity Governanceは対象外です。

Azure ADクラウドの料金プラン2：Premium P2

Azure AD Premium P2は法人向けや組織に向けた機能で、ディレクトリオブジェクトの制限がなく、ユーザー毎に月額税込み1,008円(2020年12月現在)で年間契約が必要です。

Premium P1の機能に加え、ID 保護、Identity Governance全機能が使用できます。アカウントのリスク管理など、よりセキュリティレベルが高い機能を備えた料金プランです。

Azure ADクラウドの料金プラン3：Free

Azure ADのFreeプランは、無料で利用できるコスト面にやさしいプランです。ただし作成できるオブジェクトディレクトリの数は500,000個と制限されています。

シングルサインオンに追加できるサービスの数は1ユーザー10個までと制限があるので注意しましょう。

その他はCore IDとアクセスの管理が対象ですが、外部IDやOffice 365アプリのIDとアクセスの管理、Premiumの機能などは対象外です。

Azure ADクラウドの料金プラン4：Office 365アプリ

Microsoft 365アプリは、デバイスからクラウドファイルの保存やOffice機能を使用できる機能です。一般法人向けに4つの料金プランがあり、何れもオブジェクト制限なく年契約でユーザー毎に税抜き月額料金がかかります。

法人プランはBusinessBasic540円、Apps900円、 BusinessStandard1360円、BusinessPremium2180円(2020年12月現在)が用意されています。

オンプレミスActive Directoryとの違う点4選

Azure ADとオンプレミスActive Directoryの違いについてお伝えします。Active Directoryは同じですがAzureとオンプレミスによって違いをしっかり理解しておきましょう。

主な4つの違いについてご紹介します。

違う点1：機能の追加する際の容易さが異なる

Azure ADでの機能の追加は、クラウドサービスのAzure portal管理で追加したい機能を有効に設定するだけで作業はとても容易です。

オンプレミスActive Directoryの機能を追加したい場合は、追加機能毎に専用のサーバーを構築するため時間や労力がかかります。

違う点2：使用する目的が異なる

Azure ADクラウドの使用目的は、AzureADによるID管理サービスでデバイスからクラウドサービスMicrosoft365ログインなどアプリケーションを利用でき、オンプレミスの環境とクラウドサービスを統合させて利用することも可能です。

オンプレミスActive Directoryは、Windows2000から実装されたオンプレミス(自社運用)サーバーのユーザー認証機能でサーバー内のアプリケーションを使用できます。

違う点3：認証方法が異なる

Azure ADとActive Directoryの接続経路や認証プロトコル(コンピューター間の通信手順や規格)は異なります。

Azure ADはクラウドサービスのため、インターネットからSAMLプロトコルで認証し、シングルサインオン(SSO)ができるユーザー管理機能です。

Active Directoryは、アカウント管理をオンプレミスサーバーの社内ネットワーク上で使用しKerberosプロトコルを利用します。

違う点4：管理する方法が異なる

AzureADはデバイス管理設定時に、AzurePortalからIntune(モバイルアプリケーション管理)へ情報を登録することができ、組織所有のデバイスと個人用デバイスの使用を設定できます。

オンプレミスActive Directoryでは組織のルールに沿ったポリシー機能を使用してデバイスの管理をします。

SE

クラウドサービスだとしても、Azure ADはやっぱり導入した方が良さそうですね。

PM

そうですよ。Azure ADを導入することで、ユーザー管理が簡単にできます。オンプレミスと違い、クラウドサービスは様々なデバイスからいつでもどこからでもアクセス可能です。大事な資産を守るためにも、現在Azureを使用しているのならば、Azure ADの導入をおすすめします。

しばらくはADとAzure ADの共存を

Azure ADがあれば従来のADが不要になるかといえば、そうではありません。同じADでも機能に違いがあるため、それぞれメリットとデメリットがあります。運用に合わせた使い分けが今後も必要になってくるでしょう。

もっと具体的なAzure ADの使い方が知りたい場合は、「Azure Active Directoryを使ってグループの作成と管理をする方法」のページも参考にしてみてください。