Azure ADとは？主な機能・オンプレミスActive Directoryとの違いをご紹介

ホワイトペーパー

Windows 10へのアップグレード作業や運用フローの最新資料を公開！
「WaaSに対応した Windows 10運用の基礎」

関連記事

Windowsアクティブ ディレクトリ(Active Directory)のメリットとは？
構築・運用時のTipsをご紹介

クラウド版Active Directory

昨今のクラウドの普及により、企業でのクラウド利用も一般的になってきました。Microsoftもクラウド上でOfficeソフトの利用ができる、クラウド型Officeサービス「Office 365」を発表し、今後はますます企業のクラウド利用が増大していくことが予想されます。

ほとんどの企業ではActive Directoryを利用して、システムの認証基盤を運用していると思います。今までクラウドが普及しても、Active Directoryだけはオンプレミス環境で運用しなければいけませんでした。
しかし、Azure Active Directoryの登場で、認証基盤もMicrosoft Azureクラウドだけで運用できるようになりました。Azure Active Directoryが、オンプレミス環境のActive Directoryのすべての機能をサポートしているわけではないため、完全に置き換えることはできませんが、企業の利用環境によっては社内のデータセンターなどでドメインコントローラーなどのサーバーを運用することも不要になり、インターネットへの接続環境さえ用意しておけば良いようになりました。

そこで今回は、今後普及が見込まれるAzure Active Directoryについて解説してみたいと思います。

Azure Active Directoryとは

Azure Active DirectoryはMicrosoftが提供しているクラウドサービスのひとつで、クラウドベースの認証サービスを提供します。

今までの企業内システムというと、社内にすべての企業情報が存在し、会社に出社して社内のPCで業務をこなすという働き方が一般的でした。しかし最近の働き方はさまざまな場所から社内の情報にアクセスしたり、クラウドサービスを利用して好きな時間に好きな場所で働くスタイル変化してきました。
このような働き方の変化にともない、社内の認証だけではなく、さまざまなクラウドサービスの認証を管理する必要性がでてきました。このように社内IDもクラウドのIDもすべて一括で管理するニーズに応えるためにAzure Active Directoryが登場しました。

Azure Active Directoryの機能

様々なクラウドサービスのアカウントを管理

クラウド上のさまざまなアプリケーションをAzure Active Directoryに登録することで、クラウドサービスのアカウントをまとめて管理することが可能です。管理できるサービスはMicrosoftのサービスはもちろんのこと、その他のさまざまなサービス（DropboxやGoogle、Facebookなど）に対応しています。
対応しているサービス一覧は以下の参照してください。
▶ Azure AD で使用する SaaS アプリの統合に関するチュートリアル | Microsoft Docs

これらのサービスをAzure Active Directoryに登録すれば、いつでもどこからでもAzure Active Directoryにサインインすることで、シングルサインオンでアクセスすることができます。

ID管理機能

ID管理機能も洗練されていて、通常のユーザー名とパスワードによるサインインも可能ですが、その他にも次のような認証を利用することも可能です。

・2段階認証
スマホやワンタイムパスワードの認証を組み合わせた多要素認証
・生体認証（顔、虹彩、指紋）
Windows 10デバイスのみ
・デバイス認証
デバイスの情報を使った認証方法（Windows 10デバイスのみ）

その他、機械学習を使った「ID保護機能」というものがあり、機械学習を活用して怪しいサインインを試行するユーザーを検出/ブロックすることも可能です。

アプリケーションアクセス制限機能

ユーザーごとにアクセスできるサービスやアプリケーションを制限することが可能です。アクセス制限もユーザーごとに利用できるアプリを制限させるという単純なものではなく、以下の例のように細かく設定が可能です。

・ユーザーAは、クラウドサービスBへのアクセスはOKだが、クラウドサービスCは会社からのアクセスのみ許可し、それ以外の場所からのアクセスはブロック
・ユーザーBは、クラウドサービスBへのアクセスは、会社貸与のデバイスのみアクセスを許可し、それ以外のデバイスからのアクセスはブロック

Active Directoryとの統合

オンプレミス環境のActive Directoryに「Azure AD Connect」というツールを導入すれば、オンプレミスのActive DirectoryからAzure Active Directoryへ、アカウント情報を同期することができます。

こうすることで、オンプレミスActive DirectoryとAzure Active Directoryの両方を管理する必要がなくなります。ユーザーは同じユーザー名とパスワードを使って、オンプレミスActive DirectoryにもAzure Active Directoryにもサインインが可能になります。

情報の同期は「オンプレミスActive Directory → Azure Active Directory」の方向が基本となります。ただし、Azure Active Directoryのアカウントのパスワードの変更やリセットはAzure Active DirectoryからオンプレミスActive Directoryに同期されます。

オンプレミスActive DirectoryとAzure Active Directoryの違い

従来からあるオンプレミスのActive DirectoryとAzure Active Directoryは、どちらも「Active Directory」という単語が入っているため混同しがちですが、実はまったくの別物です。
唯一の共通点は、Azure Active DirectoryもオンプレミスActive Directoryと同様にアカウントを作成して管理できる点です。

相違点は次のようなものになります。

使用目的が違う

オンプレミスActive Directoryは、オンプレミスのアカウントや社内リソースを認証するための基盤です。
Azure Active Directoryはクラウドサービスのアカウントに対する認証基盤となり、そもそもの使用目的が異なります。

認証プロトコルが違う

オンプレミスActive Directorは、社内ネットワークで使用されるため、Kerberosプロトコルで認証を行い、ファイルサーバーなどのディレクトリへのアクセスはLDAPを使用します。
Azure Active Directoryは、さまざまな認証方式に対応していて、SAMLやWS-Federation、OpenID Connect、OAuthなどのプロトコルに対応しています。ディレクトリへのアクセスは、RESTベースのAPIを使用します。

デバイスの管理方法が違う

オンプレミスActive Directoryでは、ポリシー機能を使用して会社のルールに則ったポリシーを適用し、デバイスをまとめて管理します。
Azure Active Directoryは、Intuneというツールを併用して、Azure Active DirectoryとIntuneに登録したデバイスの会社のルールを適用し、デバイスを管理します。

機能追加の容易性が違う

オンプレミスActive Directoryに機能を追加したい場合、新たに専用のサーバーを構築する必要があります。例えば多要素認証を導入したい場合は、それ専用のサービスが動作するサーバーを構築する必要があります。
Azure Active Directoryの場合は、クラウド上に存在するため、Azure Active Directoryの管理ポータルで機能を有効化するだけで動作させることができます。

このように、オンプレミスActive DirectoryとAzure Active Directoryは、使用目的が異なり、Active Directoryの機能を単純に置き換えるものではありません。

Azure Active Directoryの4つのエディション

Azure Active Directoryには、4つのエディションが存在します。エディションごとに機能比較は以下の通りです。

企業でAzure Active Directoryを利用する場合、MicrosoftではPremium P1かP2エディションを推奨しています。

Azure Active Directoryの有料版を使用する場合、ライセンスはユーザー単位となるため、企業でAzure Active Directoryを利用する場合、ユーザー人数分のライセンスを購入し、ユーザー一人一人にライセンスを割り当てる必要があります。

まとめ

Azure Active Directoryは、クラウドサービスを積極的に利用する企業には、大変便利なサービスです。特にOffice 365などのMicrosoftのクラウドサービスを利用する場合は、Azure Active Directoryを必ず利用することになりますので、今後はAzure Active Directoryを利用する企業は増えてくるのではないでしょうか。

企業で利用を検討する場合の注意点として、Azure Active Directoryはクラウド上で動作するサービスのため、機能の追加や利用料金の変更などが定期的に更新されます。

そのため実際に利用を検討する場合は、以下の最新の情報を参照するようにしてください。

▶ 料金 – Active Directory | Microsoft Azure