Active Directory

ACTIVE DIRECTORY BASICS

最初に把握する要素と用語

ドメイン、フォレスト、OU、ユーザー、グループなど、以降の学習に必要な全体像をまとめます。

LOGICAL STRUCTURE

Active Directoryの構造

フォレスト、ツリー、ドメイン、OUがどのような階層を作るのかを整理します。

DIRECTORY SERVICE

ディレクトリサービスとは何か

Active Directoryを支えるディレクトリサービスと、情報を検索・管理する考え方を理解します。

DOMAIN JOIN

PCをドメインへ参加させる

Windows PCがドメインの一員になると何が変わるのかを、操作と仕組みの両面から確認します。

DNS

ADとDNSはなぜ切り離せないのか

ドメインコントローラーの発見と名前解決を支える、Active Directory統合DNSを学びます。

SMB / NTLM / KERBEROS

NTLMとKerberosをパケットで見比べる

ワークグループのNTLM認証から、AD環境のKerberos認証までをパケットキャプチャで追います。SPNのCIFSとHOSTの関係まで扱うので、認証の話はまずこの1本から。

TROUBLESHOOTING

認証が通らないときの切り分け

ファイル共有にアクセスできない状態を、認証の観点から切り分けます。前編で見たパケットの知識がそのまま効きます。

KERBEROS HARDENING

RC4廃止でADの認証がどう変わるかを押さえる

ADのKerberosでRC4が既定から外れた変更を、暗号方式の背景、3段階のロールアウト、影響が出やすいサービスアカウントや非Windows機器、イベントログでの棚卸しの観点から追います。

NTLM RETIREMENT

NTLM廃止に向けて今やること

次期WindowsでNTLMが既定無効になる方針と、監査で使用箇所を洗い出して潰していく進め方を整理します。IAKerbとローカルKDCもここで扱います。

KERBEROS WITHOUT DOMAIN JOIN

ドメイン非参加PCの認証を切り分ける

ドメイン参加していないクライアントからファイルサーバーへアクセスしたとき、NTLMとKerberosのどちらが使われるのかを、NTLM受信の可否を切り替えながらイベントログとklistで確認します。

HEALTH CHECK

DCの正常性をdcdiagとrepadminで確認

dcdiagとrepadminを使い、ドメインコントローラーの状態を短時間で確認する実演です。

BUILD A FOREST

Active Directoryをゼロから構築する

Windows Serverへ役割を追加し、新しいフォレストとドメインコントローラーを作成します。

補足：制作時点のWindows Server画面を使用しています。基本構造の実習として利用してください。

JOIN A CLIENT

Windows PCをドメイン参加させる

DNS設定を確認し、クライアントPCを作成したドメインへ参加させます。

ADD A DOMAIN CONTROLLER

2台目のドメインコントローラーを追加

冗長化と複製を意識しながら、既存ドメインへ2台目のDCを追加します。

DESIGN PITFALLS

DC構築で見落としやすい注意点

DNS、時刻、名前、ネットワークなど、構築手順だけでは見落としやすい設計上の注意点を解説します。