SC-300学習メモ：Entra ハイブリッドIDにおける最適な認証方法の選択 Microsoft Entra ID（旧 Azure AD）とオンプレミス Active Directory を統合して運用する際には、適切な 認証方式 を選ぶことが重要です。本記事では、3つの主要なハイブリッド認証方法と、それぞれの特徴・選定基準をまとめます。 主なハイブリッド認証方法 1. パスワードハッシュ同期（PHS） オンプレミスADのハッシュ済みパスワードをクラウドへ同期 クラウドでの直接認証が可能 最もシンプルで推奨される方法 2. パススルー認証（PTA） ユーザーがクラウドでサインインする際に、オ…
SC-300学習メモ：Microsoft Entra Connect SyncのDirectory Extensions この記事では、Microsoft Entra Connect Sync における Directory Extensions（ディレクトリ拡張） の概要と活用方法をまとめています。オンプレミスの Active Directory（AD）にあるカスタム属性をクラウドに同期させることで、Microsoft Entra ID（旧称：Azure AD）でも利用可能にする機能です。 Directory Extensionsとは？ 通常、Microsoft Entra Connect は…
こんにちは。認証認可が好きな鎌田です。 今日は、KeycloakというOSSを利用して、Active Directoryの特定のユーザーだけアクセスを許可するWebページを作る手順をご紹介していきます。 Webアプリケーションがトークンと呼ばれる情報から制御する方法もあるのですが、今回ご紹介する方法では、Webアプリケーションなどの改修は必要なく、KeycloakとApacheの設定で認証認可を行えることが最大のメリットです。 用意するもの realmを作成し、Active Directoryのユーザーを同期するように、Keycloakの設定をおこなう realmを作成する LDAP設定の追加…
デジタルペンテスト部でペネトレーションテストを担当している小松奈央です。 2019年にActive Directoryにおけるリソースベースの制約付き委任（Resource-Based Constrained Delegation; RBCD）を悪用する攻撃手法（以下、RBCD攻撃）が発表されて以降、弊社ペネトレーションテストサービスではRBCD攻撃に対して脆弱な環境を決して少なくない件数発見し、お客様にご報告してきました。 そこで本記事では、RBCD攻撃が成立する環境を作り込んでしまう原因となる、不適切な運用パターンについて解説します。 なお、本記事ではRBCD攻撃の原理や具体的な攻撃方法に…
【訳】Windows Active Directory の脆弱性により、不正な特権昇格が可能に 【脆弱性内容】 公開日 登録日 CVE番号 NVD ベンダー CVSS v3 CWE 脆弱性 KEV 備考 2025/04/08 2025/03/11 CVE-2025-29810 NVD Microsoft 7.5(Microsoft) CWE-284 不適切なアクセス制御 - Active Directory 【概要】■CVE-2025-29810 概要 主な詳細 説明 CVE ID CVE-2025-29810 公開日 2025年4月8日 ベンダー Microsoft 深刻度 重要 (CVSS…
ブルートフォース攻撃対策の1つとして、PCロックアウト設定があります。 設定を行うことで、一定回数パスワードを間違えるとPCをロック状態にすることができます。 本記事では、PCロックアウトをグループポリシーで設定する方法と、設定後の実際の挙動について記載します。 PCロックアウトとは 設定箇所 設定後の動作 1~5回目 6回目以降 18回目 20回目（しきい値） まとめ PCロックアウトとは PCロックアウトとは、ユーザーが誤ったパスワードを何度も入力したり、システムのセキュリティ設定によってPCがロックされたりすることで、アクセスできなくなる状態を指します。 無数にパスワード入力を試みること…
タイトルの通りです。 先日、テストの一環でADドメイン環境のメンバーサーバのシステムリストア（惨事復旧）をしたのですが、リストア後に対象サーバにログインしようとしたところ、ドメインユーザでログインできなくなる事象が発生しました。 RDP接続しようとすると、「このワークステーションとプライマリドメインとの信頼関係に失敗しました」と表示されてログイン不可。 原因 以下MSのページにもある通り、ドメコンとメンバーサーバ間でパスワードが不一致になったことによりドメインの信頼関係が壊れてしまったようです。 learn.microsoft.com 確かにリストアに使用したシステムバックアップは少し古く、シ…
Kerberos認証は、Active Directory ドメインサービス（以下、AD DS）の認証や、その他SSO(シングルサインオン)等に使用されています。 本記事では、AD DS環境で使用されるKerberos認証の、認証先を指定する方法について記載します。 AD DS環境においての正常性確認等で活用できる手順になると思いますので、参考になれば幸いです。 ※ なお、本記事はAD DSの知識がある程度ある方を想定しているため、AD DSの基本的な用語説明などは割愛しています。 Kerberos認証とは 本記事の想定シナリオ 現状のKerberos認証先の確認方法 Kerberos認証先の指…
こんにちは。今回は、自分が業務でよく携わることがある、Microsoft Entra Connect(以下MEC)の仕組みについて書かせていただきました。 これから初めてMECを活用した業務に携わる方たちに向けて情報を共有しMECを知る一助にしていただく共に、自分が現在に至るまでに学んできた事のおさらいも兼ねて、この場を借りて執筆させていただきます。 Microsoft Entra Connectの概要 同期の仕組み 同期プロセス インポート 同期 エクスポート まとめ Microsoft Entra Connectの概要 はじめに、MECとは何かを解説させていただきます。 MECとは、オンプ…
本記事では、サーバー構築作業の事前準備についてご紹介します。 案件の作業や検証環境にて動作の検証をするにあたって、作業前に準備しておいた方が良いと感じたことをまとめてみました。 自分が得たことをこの場を借りて改めて文字に起こすことで整理すると共に、初めて作業をする方達へ少しでも役立ったらいいなと思い、執筆させていただきました。 資料を最初から見直す 検証環境で実際に操作をする際のイメージを掴んでおく しっかりと休息をとっておく まとめ 自分が作業前にしておくことは主に次の3つになります。 資料を最初から見直す 検証環境で実際に操作をする際のイメージを掴んでおく しっかりと休息を取っておく では…
devblogs.microsoft.com
atmarkit.itmedia.co.jp
devblogs.microsoft.com
blog.animereview.jp
www.publickey1.jp
atmarkit.itmedia.co.jp
atmarkit.itmedia.co.jp
dev.classmethod.jp
journal.mycom.co.jp
