粥敬壊をオンプレドメコンに銭亊させる
Download as pptx, pdf1 like5,439 views
AWS をオンプレの AD DS と揖豚させる
粥敬壊をオンプレドメコンに銭亊させる
- 2. あじぇんだ ? オンプレドメコンとB亊できる AWS サ`ビス ? Microsoft AD ? AD Connector ? MFA
- 4. B亊すると採がうれしい? ? 晩聞喘しているドメインアカウントで荷恬できる(UX up) ? ID/Passwordの聞いまわし(セキュリティ up) ? AWSに恬撹するアカウントが富なくてgむ(隠便來 up) ? ドメコン荷恬で AWS アクセス惴錦/蔭Zが頼Y(砿尖來 up)
- 5. EC2 インスタンスJ^ ? ドメイン歌紗している Windows Server EC2 インスタンス ? LDAP J^
- 6. Web Service ログインJ^ ? AWS Management Console ? IAM ロ`ル コントロ`ル辛嬬 ? Amazon WorkDocs ? Amazon WorkSpaces ? Amazon WorkSpaces Application Manager
- 7. ただし´ ? VPC を恬撹するためのアカウントはoくせない ? ここだけはID/パスワ`ド/MFA聞いまわしになるので、慌嗤贏吭 ? VPN or Direct Connect 駅
- 8. Microsoft AD
- 9. 撹 AD J^ ドメインメンバ`ドメイン コントロ`ラ` オンプレ AWS頭圭鯰梼mvS on VPN or Direct Connect Microsoft AD
- 10. 碧Mみ ? Microsoft AD の嶄附は Windows Server 2012 R2 AD DS ? オンプレドメコンと Microsoft AD gで頭圭鯰梼mvSをYぶ ? EC2 インスタンスを Microsoft AD のドメインメンバ`にする ? Linux 吉は LDAP J^が竃栖る(はず)
- 11. ただし´ ? VPN or Direct Connect 駅 ? Microsoft AD そのものを荷恬する UI が戻工されていない ? ドメインメンバ`に RSAT 秘れる ? Domain Admins は聞えない ? OU 塘和の砿尖慙泙里 ? 0.445 USD/h
- 12. 聞喘プロトコル プロトコル ポ`ト 圭 (MSAD : ADDS) DNS UDP/53 ○★ DNS TCP/53 ○★ LDAP UDP/389 ★ LDAP TCP/389 ★ SMB TCP/445 ○★ AD DS Web Services TCP/9389 ★ RPC TCP/135 ★ RPC TCP/49152 - 65535 ★ ICMP ping ○★
- 13. \喘 ? 旋喘S辛喘セキュリティグル`プ恬撹 ? 旋喘S辛 ? セキュリティグル`プにアカウント侭奉 ? 旋喘S辛K阻 ? セキュリティグル`プからアカウントx用
- 14. AD Connector
- 15. 撹 J^ ドメイン コントロ`ラ` オンプレ AWS J^(proxy) on VPN or Direct Connect AD Connecter Amazon WorkSpaces Amazon WorkDocs AWS Management Console AWS Directory Service
- 16. 碧Mみ ? Web ログオンをオンプレ AD DS パススル`J^(proxy)
- 17. ただし´ ? VPN or Direct Connect 駅 ? プログラム アクセス アカウントは砿尖麝 ? AWS C嬬の MFA 聞喘音辛 ? 徭念で MFA g廾が駅勣 ? スモ`ル(< 500 Users) 0.08 USD/h ? ラ`ジ (> 500 Users) 0.24 USD/h
- 18. \喘 ? セキュリティグル`プ恬撹 ? IAM ロ`ルにセキュリティグル`プマッピング ? 旋喘S辛 ? セキュリティグル`プにアカウント侭奉 ? 旋喘S辛K阻 ? セキュリティグル`プからアカウントx用
- 19. 喘ログオン鮫中が伏撹される
- 24. 聞喘プロトコル プロトコル ポ`ト 圭 ADDS/AD Connector DNS UDP/53 ○ DNS TCP/53 ○ LDAP UDP/389 ○ LDAP TCP/389 ○ Kerberos UDP/88 ○ Kerberos TCP/88 ○
- 25. MFA
- 26. サ`ドパ`ティu MFA が駅勣 ? Windows C嬬に MFA はoい ? OSS に MFA はあるが、ドメインアカウントy栽音辛 ? サ`ドパ`ティuの MFA が駅勣 ★ Duo Security 聞う https://duo.com/
- 27. 撹 AD ConnectorAWS Management Console Account DB MFA Code Duo Application Proxy ドメイン コントロ`ラ` User ID Password MFA Code 砿尖宀 砿尖宀 旋喘宀 ID Password 匯肝J^ ID MFA 屈肝J^ J^ 秤麋ゝ アカウント揖豚 メンテナンス メンテナンス AWS オンプレ Duo Security Duo Application Proxy VPN or Direct Connect
- 28. J^の碧Mみ AD ConnectorAWS Management Console Account DB MFA Code ドメイン コントロ`ラ` User ID Password MFA Code 旋喘宀 ID Password 匯肝J^ ID MFA 屈肝J^ J^ AWS オンプレ Duo Security Duo Application Proxy VPN or Direct Connect
- 29. 揖豚の碧Mみ AD ConnectorAWS Management Console Account DB MFA Code Duo Application Proxy ドメイン コントロ`ラ` User ID Password MFA Code 旋喘宀 ID Password 匯肝J^ ID MFA 屈肝J^ J^ 秤麋ゝ アカウント揖豚 AWS オンプレ Duo Security Duo Application Proxy VPN or Direct Connect
- 30. メンテナンス AD ConnectorAWS Management Console Account DB MFA Code Duo Application Proxy ドメイン コントロ`ラ` User ID Password MFA Code 砿尖宀 砿尖宀 旋喘宀 ID Password 匯肝J^ ID MFA 屈肝J^ J^ 秤麋ゝ アカウント揖豚 メンテナンス メンテナンス AWS オンプレ Duo Security Duo Application Proxy VPN or Direct Connect
- 31. ただし´ ? 砿尖I娑k伏 ? MFA J^ Duo Application Proxy 庇L晒駅 ? 嗤 $3/埖/繁 ? スマフォ駅 ? ユ`ザ`での鞠hオペレ`ションが駅勣
- 32. \喘 ? 揖豚O協 ? アカウント揖豚するセキュリティグル`プ峺協 ? 旋喘S辛 ? セキュリティグル`プにアカウント侭奉 ? enrollment メ`ル徭嗚熔 ? 旋喘S辛K阻 ? セキュリティグル`プからアカウントx用 ? スマフォ梨れた ? MFA 匯r議にo ? スマフォoくした ? MFA 匯r議にo ? 茅して壅鞠h
- 33. 揖豚するセキュリティグル`プ峺協
- 34. MFA ログオン
- 35. 聞喘プロトコル AD ConnectorAWS Management Console Account DB MFA Code Duo Application Proxy ドメイン コントロ`ラ` User ID Password MFA Code 砿尖宀 砿尖宀 旋喘宀 ID Password 匯肝J^ ID MFA 屈肝J^ J^ 秤麋ゝ アカウント揖豚 メンテナンス メンテナンス AWS オンプレ Duo Security Duo Application Proxy VPN or Direct Connect (1) (2) (3) (4)
- 36. J^プロトコル プロトコル ポ`ト 圭 AD connector/Duo Application Proxy RADIUS udp/1812 ★ (1) 屈肝J^ プロトコル ポ`ト 圭 Duo Application Proxy/Duo Security https tcp/443 ★ (2) MFA J^
- 37. (3) アカウント揖豚プロトコル プロトコル ポ`ト 圭 Duo Application Proxy/Duo Security https tcp/443 ★
- 38. (4) 秤麋ゝ奪廛蹈肇灰 プロトコル ポ`ト 圭 ADDS/Duo Application Proxy DNS tcp/53 ○ DNS udp/53 ○ LDAP udp/389 ○ LDAP tcp/445 ○ NTP udp/123 ○ RPC tcp/135 ○ RPC tcp/49152 - 65535 ○
- 39. コンポ`ネント駅勣g了 コンポ`ネント VPC Corp M喘 VPN or Direct Connect Microsoft AD 0.445 USD/h AD Connector (< 500 Users) 0.08 USD/h (> 500 Users) 0.24 USD/h Duo Security 3 USD/埖/繁 Duo Application Proxy(MFA J^) (?) 音勣(EC2 インスタンスM喘のみ) }方O協辛嬬だが貧涓暫 Duo Application Proxy(アカウント揖豚) 音勣(オンプレサ`バ`M喘のみ)
- 40. B返吉の秤 ? オンプレの AD DS と AWS の Microsoft AD gで頭圭鯰梼mvSをYぶ ? http://www.vwnet.jp/Windows/Other/2017020601/AWS_MSAD_trust.htm ? AWS Microsoft AD での頭圭鯰梼mvSの聞い圭 ? http://www.vwnet.jp/Windows/Other/2017020701/UseMSAD_trust.htm ? AWS Microsoft AD を荷恬する ? http://www.vwnet.jp/Windows/Other/2017020801/ManageMSAD.htm ? AWS の Web ログオンをオンプレ ドメイン コントロ`ラ`とB亊させる ? http://www.vwnet.jp/Windows/Other/2017021701/AWSADConnector.htm ? オンプレ ドメイン コントロ`ラ`とB亊させた AWS の Web ログオンを MFA 鬉砲垢 ? http://www.vwnet.jp/Windows/Other/2017022701/ADDS_AWS_MFA.htm
- 41. まとめ ? AWS とオンプレドメインをB亊させると階宴旋 ? IAMマッピングできるので晩械\喘はドメコン荷恬で頼Y ? MFAだってサ`ドパ`ティu瞳聞えば竃栖る ? AWSを聞うrはオンプレドメインB亊しない返はないですネ