ADFS(Active Directory Federation Services)とは？意味をわかりやすく簡単に解説

text: XEXEQ編集部

ADFS(Active Directory Federation Services)とは
ADFSによるシングルサインオンの実現
ADFSとActive Directoryの連携
ADFSとクラウドサービスの連携
ADFSによるユーザー認証の流れ
ADFSのセキュリティ機能
ADFSにおける多要素認証の設定
ADFSの条件付きアクセス制御
ADFSのトークン署名と暗号化
ADFSのハイブリッド環境での活用
ADFSによるオンプレミスとクラウドの連携
ADFSとAzure ADの連携シナリオ
ハイブリッド環境におけるADFSの役割
参考サイト

ADFS(Active Directory Federation Services)とは

ADFSはActive Directory Federation Servicesの略称で、Microsoftが提供するフェデレーション認証サービスです。ADFSは企業のセキュリティ境界を超えたアイデンティティ認証を可能にし、シングルサインオン(SSO)を実現します。

ADFSは企業内のActive Directoryと連携し、ユーザーの認証情報を一元管理することができます。これにより、ユーザーは一度の認証で、社内のリソースだけでなく、外部のクラウドサービスなどにもアクセスできるようになります。

ADFSはSAMLやWS-Federationなどの標準プロトコルをサポートしているため、多くのアプリケーションやサービスと連携することが可能です。これにより、企業は様々なサービスを柔軟に組み合わせ、ビジネスニーズに合わせたシステム環境を構築できます。

ADFSは高度なセキュリティ機能を備えており、多要素認証や条件付きアクセスなどを設定できます。これにより、企業は機密データへのアクセスを厳格に管理し、セキュリティリスクを軽減することができるのです。

ADFSはオンプレミスとクラウド環境の両方で利用可能で、ハイブリッド環境におけるアイデンティティ管理を簡素化します。企業はADFSを導入することで、ユーザーの利便性を向上させつつ、セキュリティを強化することができます。

ADFSによるシングルサインオンの実現

ADFSによるシングルサインオンの実現に関して、以下3つを簡単に解説していきます。

ADFSとActive Directoryの連携
ADFSとクラウドサービスの連携
ADFSによるユーザー認証の流れ

ADFSとActive Directoryの連携

ADFSは企業内のActive Directoryと緊密に連携します。Active Directoryに登録されているユーザーアカウントの情報を、ADFSが信頼できるIDプロバイダーとして利用することができます。

この連携により、ユーザーは社内のActive Directoryアカウントを使って、ADFSと連携している外部のサービスにもアクセスできるようになります。これにより、ユーザーは複数のアカウントを管理する必要がなくなり、利便性が向上します。

ADFSとActive Directoryの連携はセキュアなプロトコルを使用して行われます。これにより、認証情報の漏洩リスクを最小限に抑えつつ、スムーズなシングルサインオンを実現できるのです。

ADFSとクラウドサービスの連携

ADFSは様々なクラウドサービスとの連携をサポートしています。代表的なものとしてはOffice 365やAzure ADなどのMicrosoftのサービスがあります。

これらのサービスはADFSをIDプロバイダーとして信頼し、ADFSから提供される認証情報を受け入れます。ユーザーはADFSを経由してこれらのサービスにシングルサインオンすることができます。

ADFSはSAMLやWS-Federationなどの標準プロトコルをサポートしているため、Microsoftのサービス以外にも多くのクラウドサービスと連携可能です。これにより、企業は幅広いサービスを組み合わせ、業務効率を向上させることができるのです。

ADFSによるユーザー認証の流れ

ADFSによるユーザー認証の流れは以下のようになります。まず、ユーザーがADFSと連携しているサービスにアクセスすると、そのサービスはユーザーをADFSにリダイレクトします。

ADFSはユーザーにActive Directoryの認証情報の入力を求めます。ユーザーが認証情報を入力すると、ADFSはActive Directoryに照会し、認証の可否を判断するのです。

認証が成功すると、ADFSはユーザーに関する情報をSAMLアサーションなどの形式で生成し、サービスに返します。サービスはこのアサーションを検証し、ユーザーにアクセスを許可します。この一連の流れにより、シームレスなシングルサインオンが実現されるのです。

ADFSのセキュリティ機能

ADFSのセキュリティ機能に関して、以下3つを簡単に解説していきます。

ADFSにおける多要素認証の設定
ADFSの条件付きアクセス制御
ADFSのトークン署名と暗号化

ADFSにおける多要素認証の設定

ADFSは多要素認証(MFA)をサポートしており、ユーザーの認証時にセキュリティを強化することができます。MFAを設定することで、パスワードだけでなく、別の要素(例えば、SMS認証やモバイルアプリでの認証)も求めることができます。

これにより、たとえパスワードが漏洩したとしても、不正アクセスのリスクを大幅に軽減できます。ADFSはActive DirectoryのMFA設定と連携することも可能で、企業全体で一貫したMFAポリシーを適用できます。

ADFSでMFAを設定する際はユーザーの利便性とセキュリティのバランスを考慮する必要があります。適切な設定を行うことで、ユーザーの操作性を損なうことなく、高いセキュリティを確保することができるのです。

ADFSの条件付きアクセス制御

ADFSは条件付きアクセス制御機能を備えており、ユーザーのアクセス条件に基づいて、認証要求を許可または拒否することができます。例えば、特定のIPアドレス範囲からのアクセスのみを許可したり、特定のデバイスからのアクセスを強制したりすることが可能です。

条件付きアクセス制御はユーザーの状況に応じて動的にアクセス制御を行うことができるため、セキュリティと利便性のバランスを取ることができます。例えば、社内ネットワークからのアクセスは簡単な認証で許可し、外部ネットワークからのアクセスにはMFAを要求するといった設定が可能です。

ADFSの条件付きアクセス制御はActive Directoryのグループメンバーシップと連携させることもできます。これにより、ユーザーの所属部署や役割に基づいて、きめ細かなアクセス制御を行うことができるのです。

ADFSのトークン署名と暗号化

ADFSは発行するセキュリティトークン(SAMLアサーションなど)に対して、デジタル署名と暗号化を行うことができます。デジタル署名により、トークンの改ざんを防止し、発行元の真正性を保証します。

また、暗号化によって、トークンに含まれる機密情報を保護することができます。ADFSはトークンの署名と暗号化に、業界標準の暗号アルゴリズムを使用しており、高いセキュリティを確保しています。

ADFSのトークン署名と暗号化は連携するサービスとの間で適切に設定する必要があります。これにより、トークンの信頼性を確保し、安全なシングルサインオンを実現することができるのです。

ADFSのハイブリッド環境での活用

ADFSのハイブリッド環境での活用に関して、以下3つを簡単に解説していきます。

ADFSによるオンプレミスとクラウドの連携
ADFSとAzure ADの連携シナリオ
ハイブリッド環境におけるADFSの役割

ADFSによるオンプレミスとクラウドの連携

ADFSはオンプレミスのActive Directoryとクラウドサービスを連携させるための重要な役割を果たします。ADFSを導入することで、オンプレミスのユーザー認証情報を使って、クラウドサービスへのシングルサインオンを実現できます。

これにより、ユーザーはオンプレミスとクラウドの両方のリソースに、シームレスにアクセスできるようになります。ADFSはオンプレミスの認証基盤とクラウドサービスの間の信頼関係を確立し、安全で効率的なアイデンティティ連携を可能にするのです。

ADFSによるオンプレミスとクラウドの連携はハイブリッド環境におけるアイデンティティ管理を大幅に簡素化します。企業は既存のActive Directoryインフラを活かしつつ、クラウドサービスの利点を活用することができます。

ADFSとAzure ADの連携シナリオ

ADFSはMicrosoftのクラウドIDサービスであるAzure ADと連携することで、より高度なハイブリッド認証シナリオを実現できます。ADFSとAzure ADを連携させることで、オンプレミスのActive DirectoryとAzure ADの間でユーザー同期を行うことができます。

これにより、オンプレミスのユーザーアカウントをAzure ADに自動的に反映させ、クラウドサービスへのアクセスを一元管理できるようになります。また、ADFSをAzure ADのフェデレーション認証プロバイダーとして設定することで、オンプレミスのADFSを経由して、Azure ADと連携するクラウドサービスへのシングルサインオンを実現できます。

ADFSとAzure ADの連携はハイブリッド環境におけるアイデンティティ管理の柔軟性を高めます。企業はオンプレミスとクラウドの両方のリソースに対して、一貫したアクセス制御とセキュリティポリシーを適用できるのです。