Windows Server 2012 R2によるガバナンス強化[グローバルナレッジ無料セミナー資料]

グローバルナレッジネットワーク株式会社
横山哲也
Windows Server 2012 R2による
ガバナンス強化

Copyright Global Knowledge Network Japan, Ltd. All Rights Reserved.
自己紹介
2003年～マイクロソフトMVP (Directory Services)
2012年のみ「Virtual Machines」
好きなガバナンス機能
グループポリシー
最近の著書・雑誌記事
プロが教えるWindows Server 2012システム管理(監修・共著)
アスキーメディアワークス
グループポリシー逆引きリファレンス厳選92(監修・共著)
日経BP
ソーシャルメディア
ブログ: ヨコヤマ企画(http://yp.g20k.jp)
その他 Twitter & Facebook
2

はじめに
目標
想定するリスクに対して、
適切なクライアント管理計画を選択する
想定するリスクに対して、
適切なサーバーの障害・災害対策を選択する
個人的なお勧め度合い
 ……ぜひ導入しましょう
 ……コスト(費用と手間)がかかりますがお勧め
 ……要件を満たせばお勧め
簡単なデモは随時入れていきます
3

 機能制限・自動設定
 更新プログラムの自動構成
 WiFiアクセスポイント
 アクセス許可の拡張
 ファイルの分類管理
 ファイルの暗号化
 ネットワークの暗号化
クライアント管理計画

機能制限・自動設定: グループポリシー
グループポリシー
コンピューターの構成の自動化(強制)
ユーザーの構成の自動化(強制)
Active Directory必須
OU
OU
ドメイン GPO
グループポリシー
オブジェクト
GPO
GPO
GPO
サイト
5

機能制限・自動設定: グループポリシーの利用
グループポリシーオブジェクト
関連するポリシーの集合体
例: [スクリーンセーバーの強制]と[パスワード保護]
ポリシー数
コンピューターの構成: 約2,000
ユーザーの構成: 約1,500
グループポリシーの[基本設定]
Windows Server 2008からの新機能
従来のグループポリシーでできなかったことが簡単に
- 例: デスクトップにファイルを配布
自動設定したいことがあれば、
まずグループポリシーを探す
6

更新プログラムの自動構成: グループポリシーで自動化
Windows Update
WSUS (Windows Server Update Services)
7
Microsoft Update
Microsoft Update
必要なものだけ承認

更新プログラムの自動構成: 注意点
インターネット接続…WSUSにのみ必要
ネットワーク回線…BITSを使うので効率が良い
Background Intelligent Transfer Services
ディスク容量…配布したいものだけをダウンロード
承認作業…条件を指定した自動承認可能
注意
8
何らかの不具合があり、マイクロソフトが取り下げても
それがWSUSに反映されるまではインストールが可能

WiFiアクセスポイント: グループポリシーで自動化
透過的でセキュアな無線 LAN 環境を構築
ユーザーは一切の設定が不要
暗号化通信を強制 (暗号鍵の自動更新)
Windows認証または電子証明書による強固な認証
9
認証情報の転送
認証
証明書暗号化通信
グループポリシー
・接続先 SSID
・暗号化方式
・認証方式
・証明書の自動発行/更新
証明機関
Active Directory
RADIUS
(NPS)
WAP

アクセス許可の拡張
集約型アクセス制御
Windows Server 2012 ファイルサーバー
Windows Server 2012 Active Directory
ファイル分類管理 (FCI)
リソースプロパティの自動構成
10
要求の種類
リソース
プロパティ
集約型
アクセス規則
集約型
アクセス
ポリシー
集約型
アクセス規則
集約型
アクセス規則

デモ: 集約型アクセス制御
管理者: Active Directory管理センター
要求の種類の確認
リソースプロパティの確認
集約型アクセス規則の作成
集約型アクセスポリシーの作成
管理者: グループポリシー
集約型アクセスポリシーの展開
利用者
アクセス許可の指定
11

アクセス許可の拡張: 集約型アクセス制御の利点と課題
従来のアクセス許可の課題
利用者はビジネスを知っているがACLは分からない
集約型アクセス制御の利点
管理者がアクセス許可ポリシーを集中管理
利用者はアクセス許可ポリシーを1つ選ぶだけ
12
集約型アクセス制御の課題
設定階層が深い
従来のNTFSは無効にならない(累積する)
Windows Server 2012/Windows 8以降のみ利用可能

ファイルの分類管理 (FCI: File Classification Infrastructure)
Step 1: 保存ファイルに属性を追加
フォルダーやファイル内容に対するルール設定
Step 2: 追加した属性を参照して実行
指定したフォルダーに移動
AD RMSによる暗号化
任意のコマンドを実行
利用例
1. 特定のフォルダーのファイルに[個人情報]の属性追加
2. [個人情報]ラベル指定のファイルをAD RMS暗号化
13
保存
分類管理

ファイルの暗号化
EFS…Windows 2000以降
目的: 個人ファイルの暗号化
欠点: 構築や回復手順が面倒(実質的に証明機関必須)
その他…集中管理が困難
Officeパスワード
ZIPパスワード
14
アプリケーション AD RMS…Office製品
ファイルシステム EFS…個人ファイルの保護
ディスク装置
BitLockerドライブ暗号化…内蔵
BitLocker to Go…メディア
暗号化は回復用の準備を忘れずに

ファイルの暗号化の利用例: AD RMS
適用アプリケーション
Word/Excel/PowerPoint/Outlook
利用可能なユーザー
社内ユーザー…社内RMSサーバーで認証
社外ユーザー…公開Web経由で認証
機能
暗号化 + 操作制限 = 権利制御 (印刷不可、再配布不可)
具体的には
メニューの無効化
クリップボードの無効化
15

ファイルの暗号化の利用例: BitLockerドライブ暗号化
BitLockerドライブ暗号化
目的: ドライブ盗難による情報漏えいリスクを軽減
利用形態
TPMのみ…PCごと盗まれた場合は無力
TPM + パスワード…手軽・長いパスワードは利用困難
TPM + USBメモリキー…安全・USBメモリ必須
回復キー
正常時に保存しておく(印刷したものを金庫に保管)
Active Directoryに保存可能
付加機能
TPMによる起動システムの整合性確認(改ざん防止)
16

ファイルの暗号化の利用例: BitLocker to Go
リムーバブルメディアの保護
パスワード利用
グループポリシーによる強制
17

ネットワークの暗号化
18
アプリケーション層
SMB暗号化
…共有フォルダー
プレゼンテーション層
S/MIME
…電子メールなど
セッション層
トランスポート層
TLS (SSL)
…アプリケーション対応
インターネットワーク層
IPセキュリティ
…プロトコルごとの選択
データリンク層
WiFi暗号化
…AESなど
物理層

ネットワークの暗号化の利用例
共有フォルダーのアクセスを自動的に暗号化
Windows Server 2012からの新機能
サーバーマネージャーで構成
IP Security
持ち込みPCを許可するが、サーバーアクセスを拒否
- Webプロキシーなど暗号化の例外設定も可能
暗号化キーをグループポリシーで配布
- ドメインに参加するだけで設定が完了
例: 2004年札幌市
http://download.microsoft.com/download/3/6/d/
36d1fb59-0ff0-420f-80e1-c87fb7f66ceb/4059-MT1.pdf
19

クライアント管理計画のまとめ
 機能制限・自動設定
 更新プログラムの自動構成
 WiFiアクセスポイント
 アクセス許可の拡張
 ファイルの分類管理
 ファイルの暗号化
 ネットワークの暗号化
20

 システム管理者のパスワードポリシー強化
 ブランチオフィスのドメインコントローラー管理
 ファイルサーバーの障害対策
 Hyper-VレプリカによるBCP
 AzureバックアップによるDR
サーバーの障害・災害対策

システム管理者のパスワードポリシー強化
従来のパスワードポリシー
ドメイン単位
きめ細かなパスワードポリシー
Windows Server 2008以降
セキュリティグループまたはユーザー単位のポリシー
Windows Server 2012からGUI設定可
22

ブランチオフィスのドメインコントローラー管理: 課題
ブランチオフィス(地方拠点)の問題点
低速WAN回線
少ないサーバーリソース
比較的低い物理セキュリティ
専任のシステム管理者不在
ブランチオフィスの現状
ドメインコントローラー兼ファイルサーバー
パートタイムシステム管理者
23
 DC盗難によるディレクトリ情報流出
 不慣れなファイルサーバー管理者がドメインを破壊

ブランチオフィスのドメインコントローラー管理: 解決策
読み取り専用ドメインコントローラー (RODC)
パスワードを原則保存しない
ブランチ勤務の一般ユーザーのみ保存するように構成
ブランチ勤務の管理者のパスワードを保存する場合は
パスワードポリシーを強化すること
サーバー管理者とドメイン管理者を分離
24
DC盗難によるディレクトリ情報流出が最小限
不慣れなファイルサーバー管理者からドメインを保護

ファイルサーバーの障害対策
操作ミスによる削除からの回復
ディスク障害対策
サーバー障害対策
25

ファイルサーバーの障害対策: 操作ミスからの回復
以前のバージョン = 定期的なスナップショット
実際の変更分のみディスク消費
26
サーバー設定クライアント操作

ファイルサーバーの障害対策: ディスク障害対策
記憶域プールと仮想ディスク
ミラー (2方向 & 3方向)
パリティ (RAID 5 & RAID 6)
物理ディスク
仮想ディスク
3方向ミラーRAID-6
記憶域プール
27

ファイルサーバーの障害対策: サーバー障害対策(1/2)
分散ファイルシステム
DFS名前空間
DFS-R (複製)
特徴
差分圧縮転送
スケールアウト可能(LAN/WAN)
データの一貫性を保証しない
- 読み取り専用DFSも検討
28
DFS
ルート
DFS
ルート
共有
フォルダ
共有
フォルダ
共有
フォルダ
共有
フォルダ
DFS
ルート
DFS
ルート
共有
フォルダ
共有
フォルダ
共有
フォルダ
共有
フォルダ
複製
複製
複製

ファイルサーバーの障害対策: サーバー障害対策(2/2)
従来の高可用性ファイルサーバー
アクティブなノードは1台
Active / Passive
スケールアウトファイルサーバー
メタデータの更新を特定のノードで管理
データ転送は複数のノードから行う
Active / Active
特徴
データの一貫性
スケールアウト可能(通常はLAN内)
透過フェールオーバー(SMB 3.0)
汎用サーバーには向かない
(仮想マシンやSQL Server用)
クラスター
クラスター
メタデータのみ
特定ノードが管理
29

Hyper-VレプリカによるBCP
Hyper-Vへの複製
Microsoft Azureへの複製
複製先のTCP/IP構成
DHCPクライアントとして構成
Hyper-V管理ツールで固定アドレスを割り当て
30
複製プライマリVM レプリカVM
差分を複製

Hyper-VレプリカによるBCP: 利用パターン
複製間隔…30秒 / 5分 / 15分…常に差分複製
回復方法…いずれも手動
BCP状態からの復元方法…いずれも手動
31
状況操作対象データ損失
フェールオーバープライマリ停止非計画停止レプリカ可能性あり
計画フェールオーバープライマリ停止計画停止プライマリなし
テストフェールオーバー正常稼動並行稼動レプリカなし
以前の状態に戻したいそのまま使いたい
フェールオーバー取り消し反転
計画フェールオーバー計画フェールオーバー N/A(操作不要)
テストフェールオーバー中止(テスト仮想マシン削除) N/A(想定外)
※テストフェールオーバーでは、仮想マシンの複製が別の仮想ネットワークを使って起動

AzureバックアップによるDR(災害対策)
Widows Serverバックアップの保存先を変更
Azureバックアップ (オンラインバックアップ)
システム状態のバックアップ不可
32

サーバーの障害・災害対策のまとめ
 システム管理者のパスワードポリシー強化
 ブランチオフィスのドメインコントローラー管理
 ファイルサーバーの障害対策
 Hyper-VレプリカによるBCP
 AzureバックアップによるDR
33

まとめ: 主なテクノロジー
クライアント管理
グループポリシー
WSUS
集約型アクセス制御
ファイルの分類管理
AD RMS
BitLocker
SMB暗号化
IP Security
サーバー管理
RODC
以前のバージョン
記憶域プール
DFS-R
スケールアウト
ファイルサーバー
Hyper-Vレプリカ
Azureバックアップ
35

まとめ
36
 http://www.globalknowledge.co.jp/reference/ms/
詳しくは
マイクロソフト認定トレーニング
 グループポリシー逆引きリファレンス厳選92(日経BP)
お勧め参考書

Windows Server 2012 R2によるガバナンス強化[グローバルナレッジ無料セミナー資料]

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to Windows Server 2012 R2によるガバナンス強化[グローバルナレッジ無料セミナー資料]

Similar to Windows Server 2012 R2によるガバナンス強化[グローバルナレッジ無料セミナー資料] (20)

More from Trainocate Japan, Ltd.

More from Trainocate Japan, Ltd. (20)

Windows Server 2012 R2によるガバナンス強化[グローバルナレッジ無料セミナー資料]