Comments
Transcript
【WS08R2簡易提案書】Active Directory 使い倒し術 (AD)
Windows Server 2008 と 2008 R2 をズバっと知りたい方、必見！ CHAPTER 1 File Server CHAPTER 2 Active Directory CHAPTER 3 Server Virtualization “Hyper-V 2.0” CHAPTER 4 Thin Client “Remote Desktop Serivices” CHAPTER 5 Network Access Protection CHAPTER 6 Rights Management Services RTM 対応版 Windows S ® erver 2008 R2 Active Directory 使い倒し術 CHAPTER 2 本資料では、Windows Server 2008 と 2008 R2 のさまざまな使い方をご紹介しています。それぞれの資料をお読みいただくと Windows Server 2008 と 2008 R2 の特徴と使い 方をズバッと理解いただけます。技術的な要素はできる限り排除し、どのような課題が解決できるのかをわかりやすく紹介します。 Windows Server 2008 R2 Active Directory 使い倒し術 CONTENTS Active Directory の利用と活用 フゔル サーバーのユーザーを一ケ所で管理 実現！ クラゕント PC の統制 簡単！グループ ポリシー活用でコスト削減 Active Directory のユーザー復元を容易に Active Directory のログ取得 Active Directory の構成確認と運用監視を簡単に 社外から社内ネットワークへ安全 / 簡単ゕクセス Windows 標準機能でデジタル証明書、使い放題！ Windows 標準機能で LDAP サーバーを構築 ID 管理の自動化 複数システムの ID / パスワードを統一！ もう怖くない！人事異動！ Active Directory の新機能 参考構成例、導入事例、関連リソース、サポート期間 © 2009 Microsoft Corporation. All rights reserved 2 フゔル サーバーのユーザーを一ケ所で管理 課題: フゔル サーバーのユーザー管理が大変 A サーバのユーザー B サーバのユーザー ユーザー数やフゔル サーバーの増加に より ID 管理は限界！！ ID を一元管理し、適正なゕクセス権を 付与できないだろうか？ 個々のフゔル サーバーでそれぞれ ID が管理されている システム管理者 解決策: Active Directory でユーザーの一元管理を実現 フゔル サーバー ：読み取り専用：Takada ：編集可能：Yamazaki ：参照不可：Sato 認証 ユーザー Active Directory ユーザーの一元管理が行え、 フゔル サーバーのフォルダなど 様々な共有リソースに対し適正な ゕクセス管理を実現 また、各リソースへの認証基盤 として利用が可能 ：Takada ：Yamazaki ：Sato Active Directory に登録された ID で ゕクセス権を指定 © 2009 Microsoft Corporation. All rights reserved 3 実現！ クラゕント PC の統制 New 課題: クラゕント PC を一台一台管理するのが大変 PC の設定が バラバラで皆、 やりたい放題… パスワードの設定 がバラバラだよ… システム管理者 壁紙 / スクリーン セーバーが すごいことに… 「○×を設定して」って 言ってるのに… 情報漏洩？？ 内部統制？？ そんなこと、 言われても… 解決策: グループ ポリシー / 基本設定の利用による一括設定 設定の一括適用！ グループ ポリシーで パスワード ポリシーや壁紙な どの設定も強制できる！ グループ ポリシーに似ているが、 設定は強制されず、変更可能！ 初期設定やこれまでバッチで実行していた 処理の設定に便利！ xx.bat グループ ポリシー ドメンのコンピューター、ユーザーに 設定を一括適用 / 設定の強制 © 2009 Microsoft Corporation. All rights reserved 基本設定 コンピューター、ユーザーに 設定を一括適用！ もう、面倒くさいバッチは 不要！ 4 簡単！グループ ポリシー活用でコスト削減 New 課題: 情報漏えい対策や PC の電力に掛かるコスト、またそれに伴う展開コストを削減したい この PC に設定ができてない 各 PC への 展開が大変 PC 台数の増加で電力料金も 気になる 情報漏洩対策 ソフトの導入 新たに製品導入はもちろん、 各 PC にンストールや 電源設定を行うと、 予想以上にコストが かかってしまう。 解決策: USB デバスのポリシーによる情報漏えい対策 / 電源管理ポリシーによる一括省電力設定 USB デバイスのポリシーによる制御 一切使用不可 読み取りのみ許可 書き込み NG！ 電源管理ポリシーによる一括省電力設定 消費電力 グループポリシー で一括展開 A メーカー B メーカー 特定デバス のみ利用可能！ USB デバイスの制御ポリシー USB デバスの使用に制限を設定できる！ 読み取りのみ許可するなど柔軟に管理可能！ 電源管理ポリシー 社内 PC の電力設定を統一し、消費電力を抑えること ができる！ Windows XP は グループポリシー”基本設定”で対応 © 2009 Microsoft Corporation. All rights reserved 5 Active Directory のユーザー復元を容易に New 課題: 誤って削除された Active Directory ユーザーの復元が大変 バックゕップデータから Active Directory の復元は大変・・・ Active Directory のユーザーを 誤って削除してしまった！ ・復元手順は ？ ・復元するバックゕップデータは ？ ・DC の再起動のタミングは ？ GUI での操作は簡単だが、オペレーション ミスが発生しやすい・・・ 復元 バックゕップ データ 解決策: 削除されたオブジェクトも簡単復旧 / PowerShell を利用して管理を自動化 削除されたオブジェクトも簡単復旧 PowerShell のコマンド 「 Restore-ADObject 」 を実行 バックゕップデータ からの復元は不要 PowerShell を利用して管理を自動化 Active Directory 内 定型業務を スクリプト化 し、バッチで 実行 ごみ箱から復元 オブジェクト 情報の取得 Recycle Bin による削除オブジェクト の復元 削除されたオブジェクトも PowerShell で簡単に復元できる！ © 2009 Microsoft Corporation. All rights reserved Active Directory オブジェクトの管理 が 自動化できる！また、ADSI より簡単！ ・有効期限が切れたユーザー の取得 ・一定期間ログンされてい ないユーザーの取得 ・ユーザーの一括登録 ・エクセルへグループ情報の エクスポート など PowerShell Active Directory モジュール ユーザー情報の編集など管理する上で発生する 定型作業を簡単にスクリプト化でき、ミスなく 作業ができ、さらに作業コストの削減ができる！ 6 Active Directory のログ取得 New 課題: Active Directory の操作を「誰が」「いつ」「どのように」行ったのかわからない… いつのまにか、Active Directory の ユーザーが削除されている 解決策: Active Directory の監査ログの取得 グループポリシーから設定 Active Directory の 監査ログなら ・「誰が」 ・「いつ」 ・「どこから」 ・「何を」 ・「どのように」 変更したのかを確認可能 新しいベント ビューゕ (強化された監査ログ) Active Directory の監査機能 「誰が」、「いつ」、「どこから」、「何を」、「どのように」といったログの取得ができ る！Windows Server 2008 R2 では、さらに変更前と変更後の情報が記録できる！ © 2009 Microsoft Corporation. All rights reserved 7 Active Directory の構成確認と運用監視を簡単に New 課題:ドメン コントローラーが正しく構成されているか不安 ドメン コントローラーが ダウンすると大変 共有フゔルなどの 社内リソースにゕクセス できない 社内 ネットワーク ドメン コントローラーの構成状態が 簡単に確認できないだろうか？ どう監視すればいいか分からない ユーザー 解決策: ドメン コントローラーの構成確認 / 監視 Active Directory 関連の情報を収集 リソースやネットワークの 状態を表示 Active Directory ベストプラクティス アナライザー ドメンコントローラーの構成をチェック して、問題があれば対処方法が表示される ので、問題を迅速に解決できる！ © 2009 Microsoft Corporation. All rights reserved 全体の構成からドリルダウンし、 エラーの原因、対処策が確認できる System Center Operations Manager メーカー純正の運用監視ツールで Windows Server を一元管理！ Active Directory 用の監視テンプレートが提供されて いるので、運用監視も簡単にできる！ 8 社外から社内ネットワークへ安全 / 簡単ゕクセス New 課題: より安全でシンプルなリモートゕクセス環境を提供したい リモート接続を行いたいけど… ・リモート ゕクセスの設定を行うのが大変 ・接続が切断されるたびに再接続が面倒 社内ネットワーク 社外からのゕクセスをより安全に、 よりシンプルに提供したい ンターネット システム管理者 ユーザー 解決策: ンターネットに接続するだけで社内ネットワークに安全 / 簡単ゕクセス 社内で承認された PC からのみ 社内ネットワークの接続を許可 自動接続 DirectAccess と Forefront Unified Access Gateway (UAG) 連携 Windows 7 + Windows Server 2008 R2 で実現 社外から社内ネットワークへ安全・簡単にゕクセスできる！ 通信は自動的に 暗号化 スマートカード認証の 強制も可能 未承認の PC からの 接続は拒否 © 2009 Microsoft Corporation. All rights reserved 社内ネットワーク DirectAccess サーバー UAG を使うことで DirectAccess サーバーの冗長化と IP v4 の社内ネットワークへの接続が可能に 9 Windows 標準機能でデジタル証明書、使い放題！ 課題: デジタル証明書を使った機能を使いたいのだけれど、コストがかかる… IC カード、WEB サーバー (SSL) 、メールの暗号化、無線 LAN… デジタル証明書を使った機能は魅力的… でも、デジタル証明書の発行 / 管理 / 更新には高いコストが… 解決策: Windows 標準搭載の証明機関を活用！無料で証明書を使い放題！ Step1. AD 証明書サービス (AD CS) 証明機関 Step2. ILM 2007 との連携 ILM の証明書管理機能に より IC カード発行が できる！ OS 標準搭載の証明機関だから証明書をどれだけ発行しても無料！ 面倒な証明書の発行 / 更新もグループ ポリシーで自動化が可能！ Active Directory 証明書サービス (AD CS) ・Windows Server 2008 R2 に標準で搭載されている証明機関 ・業界標準の x.509v3 準拠の証明書を発行可能 ・デジタル証明書を使った様々なセキュリテゖ (SSL、S/MIME、EAP-TLS、IC カード など) 強化に利用できる！ © 2009 Microsoft Corporation. All rights reserved 10 Windows 標準機能で LDAP サーバーを構築 課題: LDAP サーバーを利用したい LDAP 対応 ゕプリケーション LDAP 対応 ゕプリケーション LDAP サーバー Active Directory ① LDAP 対応のゕプリケーションを導入 するために LDAP サーバーを構築したい ② ID 情報としては、 Active Directory を利用したいが、ゕプリケーション用に スキーマ拡張はしたくない システム管理者 解決策: Active Directory ラトウェト デゖレクトリ サービスによる解決 AD LDS サーバー その他の ゕプリケーション IDを登録 ゕカウント 情報の複製 管理されたユー ザー情報 Active Directory ライトウェイト ディレクトリ サービス (AD LDS) ① OS 標準機能として提供されている LDAP サービスで、低コストにて LDAP サーバーを構築 ② ベースは Active Directory (AD) と 同じなので AD との親和性が高く、 AD の情報を拡張して様々な活用が可能 Active Directory 以外の情報を拡張し、 ゕプリケーションデータとして利用 © 2009 Microsoft Corporation. All rights reserved 11 複数システムの ID / パスワードを統一！ 課題: システムごとの ID / パスワードがバラバラでどれがどれだか… ID : tanaka PWD:1041 ID : salesu21 PWD: 243kb ID ：tana01 PWD: acse どれがどれだっけ？？ ID : man02 PWD: dB94 システムごとに ID / パスワードが 違うと不便… セキュリテゖも不安 でも、どうしたら… 解決策: Identity Lifecycle Manager 2007 でシステム間の ID を自動同期 AD どのシステムでも 同じ ID / パスワード で利用可能！ ID : tanaka PWD:1041 Notes Oracle ILM 2007 ID 同期 Identity Lifecycle Manager 2007 (ILM 2007) ILM 2007 で異種分散デゖレクトリ環境の ID / パスワードの統合管理を実現！ これでユーザーが覚えなくてはならない ID / パスワードは一つに！ その他の業務システム ILM2007 の ID / パスワードの同期機能で 複数のシステムの ID / パスワードを統一！ © 2009 Microsoft Corporation. All rights reserved 12 もう怖くない！人事異動！ 課題: 複数システムのゕカウント情報 (ID やパスワード) のメンテナンスが大変！ 変更情報 人事異動の度に… AD DS 人事マスタ 派遣社員の 登録依頼 各 ID データベースで 変更作業が発生… Oracle Notes 人事異動があると ID データベースの メンテナンスが 大変！ 会社を退職した 人のゕカウントの 消し忘れがないか 心配… 解決策: Identity Lifecycle Manager 2007 による ID 管理システムの構築 AD Notes Oracle ILM 2007 ID 同期 その他の業務システム Identity Lifecycle Manager 2007 (ILM 2007) 複数システムの ID / パスワードの 同期ができる！ 手作業による登録/変更/削除ではないの で、入力漏れやミスの心配は無用！ 人事マスタ ILM 2007 の ID / パスワードの同期機能で 複数システムの ID / パスワードを統一！ © 2009 Microsoft Corporation. All rights reserved 13 Windows Server 2008 / R2 Active Directory の新機能 新機能 内容 ドメン機能のサービス化 ドメン機能のサービス化により、更新プログラムの適用やオフラン最適化など、 ドメン コントローラの定期的な保守作業を、サーバーを再起動せずに実施できます。 読み取り専用ドメン コントローラ 読み取り専用 ドメン コントローラー (RODC) を使用すると、組織は、物理的な セキュリテゖを保証できない場所でもドメン コントローラを簡単に展開できます。 RODC では、 Active Directory ドメン サービス (AD DS) データベースの読み取り専用パーテゖ ションがホストされます。 ふりがな属性の追加 ふりがな属性が追加され、ふりがなでソート、検索が可能になりました。 ふりがな属性が追加された項目は以下の通りです。 姓 / 名 / 表示名 / 会社名 / 部署 きめ細かなパスワード ポリシー 細かい設定が可能なパスワード ポリシーを使用すると、1 つのドメン内に複数の パスワード ポリシーを指定でき、ドメン内のユーザー セットごとに、パスワードとゕカウ ント ロックゕウトのポリシーに指定した異なる制限を適用できます。 Active Directory のスナップショット 参照 Active Directory データベース マウント ツール (Dsamain.exe) により、組織の 回復手順を強化できます。このツールを使用すると、別々の時間に取得したスナップショット やバックゕップに存在するデータを比較できるので、データの損失があった 場合にどのデータを復元するかをより適切に判断できます。そのため、Active Directory デー タを比較するときに、データを含む複数のバックゕップを復元する必要がなくなります。 オフラン ドメン参加 (Windows Server 2008 R2 新機能) オフラン ドメン参加を使用するとオフラン状態からコンピューターをドメンに参加さ せることができます。コンピューターをドメンに参加させることができるのは、オペレー テゖング システムのンストール後にコンピューターを初めて起動するときです。また、コン ピューターを再起動しなくても、ドメン参加を完了させることができます。これにより、 データセンターなどの場所でコンピューターの大規模展開を完了するのに必要な時間と手間を 減らすことができます。 PowerShell 2.0 と Recycle Bin の対応 (Windows Server 2008 R2 新機能) Windows Server 2008 R2 では、Active Directory module を PowerShell 2.0 に組み込む と、Active Directory のオブジェクトやドメン コントローラー、およびパスワード ポリ シーを管理したり、これらを新しく作成でき、スクリプトベースでの管理が可能です。 Windows Server 2008 R2 ネテゖブ環境で、 Recycle Bin を有効化すると、削除されたオ ブジェクトをバックゕップデータを利用する事なく、 PowerShell から簡単に復元ができます。 © 2009 Microsoft Corporation. All rights reserved 14 構成例と価格（ 1/2 ） 1,000 ユーザーを AD で管理した構成 構成例 (冗長性を考慮した構成) ILM 2007 で ID 同期を行う構成 構成例 (最小構成) ドメン コントローラ 利用ユーザー 1,000 人 Windows Server 2008 R2 Standard x64 × 2 台 Windows Server 2008 R2 Standard × 2, Windows Server CAL × 1,000 参考価格: ¥ 6,609,000- クラゕント PC x 1,000 台 ILM 2007 × 1台 、 Windows Server 2008 Enterprise (x86) × 1 台 SQL Server 2005 Standard × 1 台 Windows Server 2008 Enterprise × 1, ILM 2007 × 1, SQL Server 2005 Standard (1 プロセッサ) × 1 参考価格: ¥ 4,885,200- • ハードウェゕ、SI 費用、Active Directory 構築費用は含まれておりません • 記載の価格は、2009 年 9 月の参考価格です (参考価格は、Select の価格レベル A の新規ラセンス (L) + SA 3 年分で算出しております) • お客様の実際のお支払額は、お客様のご注文先である LAR 様、販売会社様との間で決定されます • 実環境に沿った設計、見積りが別途必要となります © 2009 Microsoft Corporation. All rights reserved 15 構成例と価格 (2/2) 1,000 ユーザー (同時接続数: 500 ユーザー) で DirectAccess を利用する構成 構成例 (DirectAccess を用いたリモート接続) クラゕント PC x 1,000 台 ダレクト ゕクセス サーバー Windows Server 2008 R2 Standard × 2 ドメン コントローラー Windows Server 2008 R2 Standard Windows Server 2008 R2 Standard × 2, Windows Server CAL × 1,000 参考価格: ¥ 6,609,000- • ハードウェゕ、SI 費用、Active Directory 構築費用、Active Directory 用の Windows Server ラセンスは含まれておりません • Forefront Unified Access Gateway は 2009 年 10 月現在リリースされていない為、本構成の価格に含まれておりません • 記載の価格は、2009 年 10 月の参考価格です (参考価格は、Select の価格レベル A の新規ラセンス (L) + SA 3 年分で算出しております) • お客様の実際のお支払額は、お客様のご注文先である LAR 様、販売会社様との間で決定されます • 実環境に沿った設計、見積りが別途必要となります © 2009 Microsoft Corporation. All rights reserved 16 導入事例 (Active Directory) 部門サーバーの運用コスト削減を目指し、Active Directory を導入 (製造業 A 社) それぞれの部門毎に個別管理されていた約 6,000 台のフゔルサーバーを Active Directory に統合 各管理者の運用コストを集約する事により、 1 億 8,000 万円の隠れたコストを削減 RODC (読み取り専用ドメンコントローラー) を活用し、資産の有効活用と拠点管理者の 管理コスト削減 (年間 500 万円) をさらに目指す ユーザー管理に関する課題解決、システム管理工数の削減 (金融業 B 社) 権限に応じた複数のパスワードポリシーを利用する事で、セキュリテゖの確保と利便性 向上の両立を実現 WDS (Windows 展開サービス) を利用し 108 支店の PC を一括展開、管理工数の削減 NAP (ネットワーク ゕクセス保護) により、約 2,000 台の PC に対して更新プログラムや 最新ウゖルス定義フゔルの適用状況のチェックを行い管理工数を削減 Windows Server 2008 導入事例はこちらからゕクセス http://www.microsoft.com/japan/windowsserver2008/casestudies/default.mspx © 2009 Microsoft Corporation. All rights reserved 17 サポート ラフサクル マクロソフトは、ビジネス製品および開発用製品について、 最短でも 10 年間 (メンストリーム サポート フェーズ 5 年間、および延長サポート フェーズ 5 年間) サポートを提供します。 1年 2年 3 年 4年 5年 6年 7年 メンストリーム サポート 8年 9年 10 年 メンストリーム サポート 延長サポート オンラン セルフ ヘルプ サポート • 上記はビジネス製品および開発用製品についての情報です。 • コンシューマ製品、 ハードウェゕ製品、 マルチメデゖゕ製品、 および Microsoft Dynamics 製品については、 最短でも 5 年間のメンストリーム サポートを提供します。 • 詳細については、マクロソフトのサポート ラフサクルの Web サトをご覧ください。http://support.microsoft.com/lifecycle/ •製品の仕様変更、 機能追加 •セキュリテゖ更新 プログラム提供 •セキュリテゖ以外の 更新プログラムのリ クエスト •無償サポート •有償サポート オンラン セルフ ヘルプ サポート 延長サポート •セキュリテゖ更新 プログラム提供 •セキュリテゖ以外の 更新プログラムのリ クエスト (別途契約が必要) •有償サポート •マクロソフトの Web サトでの 製品情報提供 Windows Server のサポート ラフサクルは以下のとおりです。 Windows 2000 Server はまもなく延長サポート終了です。新バージョン移行へのご計画を早期にお願いいたします。 2009 年 2010 年 延長サポート 2011 年 2012 年 2014 年 2015 年 2016 年 2017 年 2010 年 7 月終了 メンストリーム サポート + 2013 年 メンストリーム サポート 延長サポート 2015 年 7 月終了 延長サポート Windows Server 2008 R2 をお勧めします © 2009 Microsoft Corporation. All rights reserved 18 関連リソース Windows Server 2008 Webcast Active Directory ドメイン サービス 新機能と機能強化 Web Cast 本 Webcast では、Windows Server 2008 の Active Directory の 新機能・強化点をデモンストレーションを交えながら およそ30分程度でご紹介します。ご都合のよい時間に視聴下さい。 http://www.microsoft.com/japan/windowsserver2008/webcast/default.mspx デモンストレーションでよくわかる Windows Server 2008 R2 Webcast 「Active Directory ドメイン サービス / ファイル サーバーの強化点」 Webcast Windows Server 2008 R2 で強化された Active Directory ドメンサービス (AD DS) とフゔル サーバー関連の新機能を紹介をさせていただきます。 ご都合のよい時間に視聴下さい。 http://www.microsoft.com/japan/windowsserver2008/r2/webcast/default.mspx Windows Server 2008 TechCenter 技術情報 本 Web サトには、Windows Server 2008 の評価・導入に役立つ技術情報が 掲載されています。機能説明、ステップ バ ステップ ガドなど、 Windows Server 2008 / Windows Server 2008 R2 の評価・導入にお役立てください。 http://technet.microsoft.com/ja-jp/library/cc770946(WS.10).aspx ステップバイ ステップ ガイド ・ Windows Server 2008 の Active Directory ドメン サービスのンストールおよび削除 ・ 読み取り専用ドメン コントローラ など 「Windows Server 2008 TechCenter」で検索 © 2009 Microsoft Corporation. All rights reserved 19 本書に記載した情報は、本書各項目に関する発行日現在の Microsoft の見解を表明するものです。Microsoftは絶えず変化する市場に対応しな ければならないため、ここに記載した情報に対していかなる責務を負うものではなく、提示された情報の信憑性については保証できません。本 書は情報提供のみを目的としています。 Microsoft は、明示的または暗示的を問わず、本書にいかなる保証も与えるものではありません。す べての当該著作権法を遵守することはお客様の責務です。Microsoftの書面による明確な許可なく、本書の如何なる部分についても、転載や検 索システムへの格納または挿入を行うことは、どのような形式または手段（電子的、機械的、複写、レコーデゖング、その他）、および目的で あっても禁じられています。これらは著作権保護された権利を制限するものではありません。Microsoftは、本書の内容を保護する特許、特許 出願書、商標、著作権、またはその他の知的財産権を保有する場合があります。Microsoftから書面によるラセンス契約が明確に供給される 場合を除いて、本書の提供はこれらの特許、商標、著作権、またはその他の知的財産へのラセンスを与えるものではありません。 © 2009 Microsoft Corporation. All rights reserved. Microsoft, Windows は、Microsoft Corporation の米国およびその他の国における登録商標または商標です。その他、記載されている会社名 および製品名は、一般に各社の商標です。 ※ 本書の内容は 2009 年 10 月現在のものです。製品内容については、予告なく変更する場合があります。 © 2009 Microsoft Corporation. All rights reserved