Active Directoryは、Windows ServerがLANに対して提供する「ユーザー管理」機能だ。ユーザーを識別してそのアクセスを管理する。かつて、ユーザーはハードウェアごとに管理していた。大きなコンピュータを複数のユーザーで共有していたからだ。情報機器（デバイス）の価格が下がり、数多くのデバイスがネットワークに接続し始めると、組織内で統一的なユーザー管理機能が必要になった。

　そのために登場したのが「ディレクトリサービス」だ。これは、ユーザーやユーザーのグループなどに関する情報をネットワーク内のサーバで集中的に管理しつつ、ネットワークを介して組織内の全てのマシンから利用可能にする。ユーザーは、ネットワーク内のどのデバイスでも利用できる。Windows ServerのActive Directoryは、こうしたディレクトリサービスの1つだ。

　Active Directoryを使うことで、システム管理者はネットワーク内のどのデバイスからもユーザーを識別可能で、ユーザーのアクセス制御が正しくできるようになる。さらに、さまざまなサービスやアプリケーションとの連携を可能にするためにADFSが登場した。

　WS16におけるADFSの改良目標は、アクセス制御やシングルサインオン（SSO）を、LAN内のアプリケーション、クラウドベースのSaaSやオフィススイート「Office 365」など、多くのアプリケーションに対して提供することにあった。

　このADFSのWS16での改良点は、大きく4つある。

1. 外部ネットワーク（エクストラネットワーク）からパスワードを排除するための新しいオプション
2. アプリケーションへのアクセスを保護可能に
3. サインインの利便性向上
4. 管理機能と運用項目の強化

外部ネットワークからパスワードを排除する新しいオプション

　項目1の「新しいオプション」は、組織の外にあるネットワークとADFSが連携する場合の機能だ。これまで組織の外にあるネットワークに存在するサービスを利用する場合、ユーザーアカウントとパスワードが普通に使われていた。しかし、パスワードには漏えいの危険が常にある。ユーザーが正しく管理しているつもりでも、フィッシングなどで詐取される可能性がある。セキュリティホールなどにより、他の情報とともに漏えいしてしまう可能性もある。一般にユーザーは、使い慣れたパスワードを使い回す傾向があり、例えば個人的に利用しているサービスと同じパスワードを業務システム用に使ってしまうことがある。パスワードをシステム側から割り当てると今度は覚え切れずに、どこかに記録してしまい、結果的に漏えいや盗難の可能性が出てしまう。

　WS16のADFSでは、次に示す3つの方法を外部ネットワークへのサインイン方法として提供する。

• 「Azure Multi-Factor Authentication」（Azure MFA）によるサインイン
• 適合したデバイスからのパスワードなしアクセス（デバイス認証）
• 「Windows 10」デバイスからの「Microsoftアカウント」のパスワードによるサインイン

WS16のADFSで実行できる外部ネットワークへのサインイン方法

　「Azure Multi-Factor Authentication」（Azure MFA）は、複数の認証方法を組み合わせて使えるようにする機能で、クラウドベースのディレクトリサービス「Azure Active Directory」で用意している。パスワードだけでなく音声通話やテキストメッセージ、モバイルアプリなど複数の認証方法を使うことで、パスワードの漏えいや認証デバイスの盗難が起きても、正当なユーザー以外はサインインできない。従来の「Windows Server 2012R2」でもAzure MFAは利用可能だったが、プライマリー認証として使うことはできなかった。

　「デバイス認証」は、正しい証明書を持つ「適合デバイス」からのアクセスをもってユーザーを認証する方法だ。事前にデバイスを登録し、必要な情報をデバイス側が持つことで、正しいデバイスからのみアクセスを許可できるように設定可能になる。

　「Windows 10デバイス」は、Windows 10を導入したデバイスで利用できるWindows Helloなどによる生体認証やセキュリティ機能を活用する方法だ。MicrosoftアカウントでWindows 10を利用し始めた時点でユーザー認証は既に済んでいる。このような場合に、パスワードを利用せずにサインインできる設定が可能だ。

アプリケーションへのアクセスを保護可能に

　項目2は、組織内で利用するアプリケーションへのアクセスを保護する機能だ。WS16のADFSは、アプリケーションに対するアクセス制御ポリシーの設定を簡略化して、使いやすい認証を可能にしている。アプリケーションが利用しているActive Directory以外のLDAP（Lightweight Directory Access Protocol）ディレクトリサービスを利用したサインインの設定もできる。

サインインの利便性向上

　項目3は、ユーザーにとってのサインインの利便性向上だ。WS16のADFSに対応したアプリケーションでは、サインインのユーザーインタフェース（UI）をカスタマイズできる。このため、アプリケーションの目的やターゲットユーザーに合致したサインインの利便性を提供できるようになる。

管理機能と運用項目の強化

　項目4は、管理や運用に関わる機能と項目の強化だ。監査機能を改良し、認証連携の標準規格SAML（Security Assertion Markup Language）2.0との相互運用性を強化した。また、Office 365のユーザー管理における連携も強化した一方で、パスワード管理は単純化した。その他、Windows Server 2012R2のADFSから移行できる機能も用意している。

評価用PCとして用意した「DP EXPERT WS1」

この連載ではWS16の期限付き評価版＝体験版を実際のPCにインストールして、その新機能を実際に検証しながらその使い方を紹介している。インストールして検証するPCには、ドスパラ法人事業部の協力を得て、「DP EXPERT WS1」を使用している。主な仕様は次の通りだ。

CPU	Intel Xeon Processor E5-1620 v4（4コア8スレッド、動作クロック3.50GHz、キャッシュ10MB）1基
チップセット	Intel C612 Chipset
システムメモリ	16GB（ECC、Registered機能搭載、容量8GBのDDR4-2400×2枚）
ストレージ	1TB（データ転送速度6Gbps、回転数7200rpmのSerial ATA準拠HDD）
グラフィックスカード	Quadro K620（グラフィックスメモリ2GB）

取材協力先：ドスパラ法人事業部