AWS Managed Microsoft AD を使用したサーバー側の LDAPS の有効化

サーバー側の Lightweight Directory Access Protocol Secure Sockets Layer (SSL)/Transport Layer Security (TLS) (LDAPS) は、商用または自社開発の LDAP 対応アプリケーションと AWS Managed Microsoft AD ディレクトリ間の LDAP 通信を暗号化します。これにより、Secure Sockets Layer (SSL) 暗号化プロトコルを使用してネットワーク全体のセキュリティを強化し、コンプライアンス要件を満たすことができます。

サーバー側の LDAPS を有効化する

サーバー側の LDAPS と認証機関 (CA) サーバーをセットアップおよび設定する方法の詳細については、 AWS セキュリティブログのAWS 「 Managed Microsoft AD Directory のサーバー側の LDAPS を有効にする方法」を参照してください。

ほとんどの設定は、 AWS Managed Microsoft AD ドメインコントローラーの管理に使用されている Amazon EC2 インスタンスから行う必要があります。次の手順では、 AWS クラウドでドメインの LDAPS を有効にする方法について説明します。

オートメーションを使用して PKI インフラストラクチャを設定する場合は、Microsoft Public Key Infrastructure on AWS QuickStart ガイドを使用できます。具体的には、Deploy Microsoft PKI into an existing VPC on AWS で、テンプレートをロードする方法について、ガイドの指示に従います。テンプレートをロードした場合には、[Active Directory Domain Services Type] (Active Directory ドメインのサービスタイプ) のオプション設定時に、必ず AWSManaged を選択します。QuickStart ガイドを使用している場合は、直接 ステップ 3: 証明書テンプレートを作成する に移動できます。

ステップ 1: LDAPS を有効化する権限を委任する

サーバー側の LDAPS を有効にするには、 AWS Managed Microsoft AD ディレクトリの管理者または AWS 委任されたエンタープライズ認証機関管理者グループのメンバーである必要があります。または、デフォルトの管理ユーザー (管理者アカウント) であれば、この権限を保持しています。必要に応じて、LDAPS を設定するために、管理者アカウント以外のユーザーを使用することができます。この場合、そのユーザーを AWS Managed Microsoft AD ディレクトリの管理者または AWS 委任されたエンタープライズ認証機関管理者グループに追加します。

ステップ 2: 認証機関を設定する

サーバー側の LDAPS を有効にする前に、証明書を作成する必要があります。この証明書は、 AWS Managed Microsoft AD ドメインに参加している Microsoft エンタープライズ CA サーバーによって発行される必要があります。作成された証明書は、対象ドメインの各ドメインコントローラーにインストールします。この証明書により、ドメインコントローラーの LDAP サービスは LDAP クライアントからの SSL 接続をリッスンし、自動的に承認できます。

注記

AWS Managed Microsoft AD を使用したサーバー側の LDAPS は、スタンドアロン CA によって発行された証明書をサポートしていません。また、サードパーティーの認証機関により発行された証明書もサポートしていません。

ドメインの CA の設定または接続には、ビジネスのニーズに応じて以下のオプションを使い分けることができます。

• 下位 Microsoft Enterprise CA を作成する – (推奨) このオプションを使用すると、下位 Microsoft Enterprise CA サーバーを AWS クラウドにデプロイできます。サーバーは、Amazon EC2 を使用することで、既存のルート Microsoft CA との連携が可能です。下位 Microsoft エンタープライズ CA を設定する方法の詳細については、「マネージド Microsoft AD ディレクトリのサーバー側の LDAPS を有効にする方法」の「ステップ 4: AWS Microsoft エンタープライズ CA を Microsoft AD ディレクトリに追加する」を参照してください。 AWS

• ルート Microsoft エンタープライズ CA を作成する – このオプションを使用すると、Amazon EC2 を使用して AWS クラウドにルート Microsoft エンタープライズ CA を作成し、それを AWS Managed Microsoft AD ドメインに結合できます。このルート CA からは、ドメインコントローラーに対し証明書を発行できます。新しいルート CA の設定の詳細については、「 Managed Microsoft AD Directory のサーバー側の LDAPS を有効にする方法」の「ステップ 3: オフライン CA をインストールして設定する」を参照してください。 AWS

EC2 インスタンスをドメインに結合する方法の詳細については、「Amazon EC2 インスタンスを AWS Managed Microsoft AD に結合する方法」を参照してください。

ステップ 3: 証明書テンプレートを作成する

エンタープライズ CA の設定後は、Kerberos 認証証明書テンプレートを設定することが可能になります。

証明書テンプレートを作成するには

1. Microsoft Windows サーバーマネージャー を起動します。[Tools > Certification Authority] (ツール > 認証機関) をクリックします。

2. [Certificate Authority] (認証機関) ウィンドウで、左サイドペインにある [Certificate Authority] (認証機関) ツリーを展開します。[Certificate Templates] (証明書テンプレート) を右クリックし、[Manage] (管理) を選択します。

3. [Certificate Templates Console] (証明書テンプレートコンソール) ウィンドウで、[Kerberos Authentication] (Kerberos 認証) を右クリックし、[Duplicate Template] (テンプレートの複製) を選択します。

4. [Properties of New Template] (新しいテンプレートのプロパティ) ウィンドウがポップアップ表示されます。

5. [Properties of New Template] (新しいテンプレートのプロパティ) ウィンドウで、[Compatibility] (互換性) のタブを開いた上で以下を実行します。

   1. [Certification Authority] (認証機関) を CA に適合する OS に変更します。

   2. [Resulting changes] (変更の結果) ウィンドウが表示されたら、[OK] をクリックします。

   3. [認証の受信者] を [Windows 10/Windows Server 2016] に変更します。

      注記

      AWS Managed Microsoft AD は Windows Server 2019 を使用しています。

   4. [Resulting changes] (変更の結果) ウィンドウが表示されたら、[OK] をクリックします。

6. [General] (一般) タブをクリックし、[Template display name] (テンプレートの表示名) を、「LDAPOverSSL」、または自分が選択した他の名前に変更します。

7. [Security] (セキュリティ) タブを開き、[Group or user names] (グループ名またはユーザー名) セクションで、[Domain Controllers] (ドメイン コントローラー) を選択します。[Permissions for Domain Controllers] (ドメインコントローラーのアクセス許可) セクションで、[Read] (読み取り)、[Enroll] (登録)、[Autoenroll] (自動登録) の [Allow] (許可) チェックボックスが、それぞれオンになっていることを確認します。

8. [OK] をクリックして、「LDAPOverSSL」(または先に指定した独自の名前) として証明書テンプレートを作成します。[Certificate Templates Console] (証明書テンプレートコンソール) ウィンドウを閉じます。

9. [Certificate Authority] (認証機関) ウィンドウで、[Certificate Templates] (証明書テンプレート) を右クリックした上で、[New > Certificate Template to Issue] (新規 > 発行する証明書テンプレート) を選択します。

10. [Enable Certificate Templates] (証明書テンプレートの有効化) ウィンドウで、「LDAPOverSSL」(または先に指定した名前) を選択し、[OK] をクリックします。

ステップ 4: セキュリティグループのルールを追加する

最後のステップでは、Amazon EC2 コンソールを開き、セキュリティグループのルールを追加する必要があります。これらのルールにより、ドメインコントローラはエンタープライズ CA に接続して証明書をリクエストできるようになります。これを行うには、ドメインコントローラーからの着信トラフィックをエンタープライズ CA が承認できるように、インバウンドのルールを追加します。次に、アウトバウンドのルールを追加して、ドメインコントローラーからエンタープライズ CA へのトラフィックを許可します。

両方のルールが設定されると、ドメインコントローラーは、エンタープライズ CA に対し証明書を自動的にリクエストし、さらにディレクトリの LDAPS を有効化します。これでドメインコントローラーの LDAP サービスで LDAPS 接続を受け入れる準備が整いました。

セキュリティグループのルールを設定するには

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2) にアクセスし、管理者の認証情報を使用してサインインを行います。

2. 左側のペインで、[Network & Security] (ネットワークとセキュリティ) の [Security Groups] (セキュリティセキュリティグループ) をクリックします。

3. メインペインで、CA AWS のセキュリティグループを選択します。

4. [Inbound] (インバウンド) タブを開き、[Edit] (編集) をクリックします。

5. Edit inbound rules (インバウンドのルールの編集) ダイアログボックスで、次の操作を行います。

   • [Add Rule] (ルールの追加) をクリックします。

   • [Type] (タイプ) では [All traffic] (すべてのトラフィック) を、[Source] (送信元) では [Custom] (カスタム) をそれぞれ選択します。

   • ディレクトリ AWS のセキュリティグループ (例: sg-123456789) を Source の横にあるボックスに入力します。

   • [保存] を選択します。

6. 次に、 AWS Managed Microsoft AD ディレクトリ AWS のセキュリティグループを選択します。[Outbound] (アウトバウンド) タブを開き、[Edit] (編集) をクリックします。

7. [Edit outbound rules] (アウトバウンドルールの編集) ダイアログボックスで、次の操作を行います。

   • [Add Rule] (ルールの追加) をクリックします。

   • [Type] (タイプ) では [All traffic] (すべてのトラフィック) を、[Destination] (送信先) では [Custom] (カスタム) をそれぞれ選択します。

   • 送信先の横にあるボックスに CA AWS のセキュリティグループを入力します。

   • [保存] を選択します。

LDP ツールを使用して AWS Managed Microsoft AD ディレクトリへの LDAPS 接続をテストできます。LDP ツールは、Active Directory 管理ツールに付属しています。詳細については、「AWS Managed Microsoft AD 用の Active Directory 管理ツールのインストール」を参照してください。

注記

LDAPS 接続をテストする前に、下位 CA からドメインコントローラーに証明書が発行されるまで、最大 30 分間待機する必要があります。

サーバー側の LDAPS の詳細については、セキュリティ AWS ブログのAWS 「 Managed Microsoft AD Directory でサーバー側の LDAPS を有効にする方法」を参照してください。