Windows Server 2012 R2によるガバナンス強化

468 Views

June 03, 15

security windows server

スライド概要

2015年6月3日(水)に名古屋で開催された無料セミナーのプレゼンテーション

ヨコヤマ(横山哲也)

@yokoyamat

スライド一覧

トレノケート株式会社で、Windows ServerとAzureを中心に技術者向けトレーニングを担当

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

ダウンロード

ダウンロード(pdf - 1.96MB)

関連スライド

今さら聞けない! Active Directoryドメインサービス入門

adds active directory windows server

ヨコヤマ(横山哲也) 2.8K

今さら聞けない! Windows Server 2016 Active Directoryドメインサービス入門

adds active directory

ヨコヤマ(横山哲也) 1.5K

Azure AD DSドメインに仮想マシンを参加させる

azure active directory azure ad

ヨコヤマ(横山哲也) 1.2K

Azure Active Directory Domain Services(Azure ADDS)キホンのキ

azure active directory

ヨコヤマ(横山哲也) 844

Microsoft Azureを使った災害復旧の基礎

windows backup cloud azure hyper-v dr microsoft azure

ヨコヤマ(横山哲也) 607

Hyper-V、オンプレミスでもコンテナを

windows container hyper-v docker

ヨコヤマ(横山哲也) 403

各ページのテキスト

Windows Server 2012 R2によるガバナンス強化グローバルナレッジネットワーク株式会社横山哲也

自己紹介  2003年～マイクロソフトMVP (Directory Services)  2012年のみ「Virtual Machines」  好きなガバナンス機能  グループポリシー  最近の著書・雑誌記事  プロが教えるWindows Server 2012システム管理(監修・共著) アスキーメディアワークス  グループポリシー逆引きリファレンス厳選92(監修・共著) 日経BP  ソーシャルメディア  ブログ: ヨコヤマ企画(http://yp.g20k.jp)  その他 Twitter & Facebook 2 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

http://yp.g20k.jp/

はじめに 目標  想定するリスクに対して、適切なクライアント管理計画を選択する  想定するリスクに対して、適切なサーバーの障害・災害対策を選択する 個人的なお勧め度合い    ……ぜひ導入しましょう ……コスト(費用と手間)がかかりますがお勧め ……要件を満たせばお勧め 簡単なデモは随時入れていきます 3 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

クライアント管理計画        機能制限・自動設定更新プログラムの自動構成 WiFiアクセスポイントアクセス許可の拡張ファイルの分類管理ファイルの暗号化ネットワークの暗号化

機能制限・自動設定: グループポリシー グループポリシー  コンピューターの構成の自動化(強制)  ユーザーの構成の自動化(強制)  Active Directory必須グループポリシーオブジェクト GPO ドメイン GPO OU GPO サイト OU 5 GPO Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

機能制限・自動設定: グループポリシーの利用 グループポリシーオブジェクト  関連するポリシーの集合体  例: [スクリーンセーバーの強制]と[パスワード保護] ポリシー数  コンピューターの構成: 約2,000  ユーザーの構成: 約1,500 グループポリシーの[基本設定]  Windows Server 2008からの新機能  従来のグループポリシーでできなかったことが簡単に - 例: デスクトップにファイルを配布自動設定したいことがあれば、まずグループポリシーを探す 6 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

更新プログラムの自動構成: 注意点 インターネット接続…WSUSにのみ必要 ネットワーク回線…BITSを使うので効率が良い  Background Intelligent Transfer Services ディスク容量…配布したいものだけをダウンロード 承認作業…条件を指定した自動承認可能 注意何らかの不具合があり、マイクロソフトが取り下げてもそれがWSUSに反映されるまではインストールが可能 8 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

WiFiアクセスポイント: グループポリシーで自動化 透過的でセキュアな無線 LAN 環境を構築  ユーザーは一切の設定が不要  暗号化通信を強制 (暗号鍵の自動更新)  Windows認証または電子証明書による強固な認証証明機関グループポリシー Active Directory ・接続先 SSID 認証・暗号化方式・認証方式・証明書の自動発行/更新 WAP 証明書 9 暗号化通信 RADIUS (NPS) 認証情報の転送 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

10.

アクセス許可の拡張 集約型アクセス制御  Windows Server 2012 ファイルサーバー  Windows Server 2012 Active Directory 要求の種類リソースプロパティ集約型アクセス規則集約型アクセス規則集約型アクセスポリシー集約型アクセス規則 ファイル分類管理 (FCI)  リソースプロパティの自動構成 10 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

11.

デモ: 集約型アクセス制御 管理者: Active Directory管理センター  要求の種類の確認  リソースプロパティの確認  集約型アクセス規則の作成  集約型アクセスポリシーの作成 管理者: グループポリシー  集約型アクセスポリシーの展開 利用者  アクセス許可の指定 11 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

12.

アクセス許可の拡張: 集約型アクセス制御の利点と課題 従来のアクセス許可の課題  利用者はビジネスを知っているがACLは分からない 集約型アクセス制御の利点  管理者がアクセス許可ポリシーを集中管理  利用者はアクセス許可ポリシーを1つ選ぶだけ 集約型アクセス制御の課題 12  設定階層が深い  従来のNTFSは無効にならない(累積する)  Windows Server 2012/Windows 8以降のみ利用可能 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

13.

ファイルの分類管理 (FCI: File Classification Infrastructure) Step 1: 保存ファイルに属性を追加  フォルダーやファイル内容に対するルール設定 Step 2: 追加した属性を参照して実行  指定したフォルダーに移動  AD RMSによる暗号化  任意のコマンドを実行 利用例 1. 特定のフォルダーのファイルに[個人情報]の属性追加 2. [個人情報]ラベル指定のファイルをAD RMS暗号化保存分類 13 管理 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

14.

ファイルの暗号化アプリケーション AD RMS…Office製品ファイルシステム EFS…個人ファイルの保護ディスク装置 BitLockerドライブ暗号化…内蔵 BitLocker to Go…メディア EFS…Windows 2000以降  目的: 個人ファイルの暗号化  欠点: 構築や回復手順が面倒(実質的に証明機関必須) その他…集中管理が困難  Officeパスワード暗号化は回復用の準備を忘れずに  ZIPパスワード 14 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

15.

ファイルの暗号化の利用例: AD RMS 適用アプリケーション  Word/Excel/PowerPoint/Outlook 利用可能なユーザー  社内ユーザー…社内RMSサーバーで認証  社外ユーザー…公開Web経由で認証 機能  暗号化 + 操作制限 = 権利制御 (印刷不可、再配布不可) 具体的には  メニューの無効化  クリップボードの無効化 15 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

16.

ファイルの暗号化の利用例: BitLockerドライブ暗号化 BitLockerドライブ暗号化  目的: ドライブ盗難による情報漏えいリスクを軽減 利用形態  TPMのみ…PCごと盗まれた場合は無力  TPM + パスワード…手軽・長いパスワードは利用困難  TPM + USBメモリキー…安全・USBメモリ必須 回復キー  正常時に保存しておく(印刷したものを金庫に保管)  Active Directoryに保存可能 付加機能  TPMによる起動システムの整合性確認(改ざん防止) 16 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

17.

18.

ネットワークの暗号化アプリケーション層プレゼンテーション層 SMB暗号化 …共有フォルダー S/MIME …電子メールなどセッション層 18 TLS (SSL) トランスポート層 …アプリケーション対応 IPセキュリティインターネットワーク層 …プロトコルごとの選択 WiFi暗号化データリンク層 …AESなど物理層 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

19.

ネットワークの暗号化の利用例 共有フォルダーのアクセスを自動的に暗号化  Windows Server 2012からの新機能  サーバーマネージャーで構成 IP Security  持ち込みPCを許可するが、サーバーアクセスを拒否 - Webプロキシーなど暗号化の例外設定も可能  暗号化キーをグループポリシーで配布 - ドメインに参加するだけで設定が完了  例: 2004年札幌市 http://download.microsoft.com/download/3/6/d/ 36d1fb59-0ff0-420f-80e1-c87fb7f66ceb/4059-MT1.pdf 19 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

http://download.microsoft.com/download/3/6/d/

20.

21.

サーバーの障害・災害対策      システム管理者のパスワードポリシー強化ブランチオフィスのドメインコントローラー管理ファイルサーバーの障害対策 Hyper-VレプリカによるBCP AzureバックアップによるDR

22.

システム管理者のパスワードポリシー強化 従来のパスワードポリシー  ドメイン単位 きめ細かなパスワードポリシー  Windows Server 2008以降  セキュリティグループまたはユーザー単位のポリシー  Windows Server 2012からGUI設定可 22 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

23.

ブランチオフィスのドメインコントローラー管理: 課題 ブランチオフィス(地方拠点)の問題点  低速WAN回線  少ないサーバーリソース  比較的低い物理セキュリティ  専任のシステム管理者不在 ブランチオフィスの現状  ドメインコントローラー兼ファイルサーバー  パートタイムシステム管理者  DC盗難によるディレクトリ情報流出  不慣れなファイルサーバー管理者がドメインを破壊 23 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

24.

ブランチオフィスのドメインコントローラー管理: 解決策 読み取り専用ドメインコントローラー (RODC) パスワードを原則保存しない  ブランチ勤務の一般ユーザーのみ保存するように構成 DC盗難によるディレクトリ情報流出が最小限  ブランチ勤務の管理者のパスワードを保存する場合はパスワードポリシーを強化すること サーバー管理者とドメイン管理者を分離不慣れなファイルサーバー管理者からドメインを保護 24 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

25.

26.

27.

28.

ファイルサーバーの障害対策: サーバー障害対策(1/2) 分散ファイルシステム  DFS名前空間  DFS-R (複製) DFS ルート複製 DFS ルート共有複製共有フォルダフォルダ 特徴共有複製共有  差分圧縮転送フォルダフォルダ  スケールアウト可能(LAN/WAN)  データの一貫性を保証しない - 読み取り専用DFSも検討 28 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

29.

ファイルサーバーの障害対策: サーバー障害対策(2/2) 従来の高可用性ファイルサーバー  アクティブなノードは1台  Active / Passive クラスター スケールアウトファイルサーバー  メタデータの更新を特定のノードで管理  データ転送は複数のノードから行う  Active / Active 特徴  データの一貫性クラスター  スケールアウト可能(通常はLAN内)  透過フェールオーバー(SMB 3.0) メタデータのみ  汎用サーバーには向かない特定ノードが管理 (仮想マシンやSQL Server用) 29 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

30.

Hyper-VレプリカによるBCP Hyper-Vへの複製 Microsoft Azureへの複製プライマリVM 複製レプリカVM 差分を複製 複製先のTCP/IP構成  DHCPクライアントとして構成  Hyper-V管理ツールで固定アドレスを割り当て 30 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

31.

Hyper-VレプリカによるBCP: 利用パターン 複製間隔…30秒 / 5分 / 15分…常に差分複製 回復方法…いずれも手動状況操作対象データ損失フェールオーバープライマリ停止非計画停止レプリカ可能性あり計画フェールオーバープライマリ停止計画停止プライマリなしテストフェールオーバー正常稼動並行稼動レプリカなし ※テストフェールオーバーでは、仮想マシンの複製が別の仮想ネットワークを使って起動 BCP状態からの復元方法…いずれも手動以前の状態に戻したいそのまま使いたい取り消し反転計画フェールオーバー計画フェールオーバー N/A(操作不要) テストフェールオーバー中止(テスト仮想マシン削除) N/A(想定外) フェールオーバー 31 Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

32.

33.

34.

本日のまとめ

35.

まとめ: 主なテクノロジー クライアント管理  グループポリシー  WSUS  集約型アクセス制御  ファイルの分類管理  AD RMS  BitLocker  SMB暗号化  IP Security 35 サーバー管理  RODC  以前のバージョン  記憶域プール  DFS-R  スケールアウトファイルサーバー  Hyper-Vレプリカ  Azureバックアップ Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.

36.

http://www.globalknowledge.co.jp/reference/ms/

37.