Active Directory の主な 7 つの課題

Microsoft Active Directory (AD) は、Windows 環境においてユーザー、リソース、認証を管理するための信頼性が高く、拡張性に優れたソリューションです。 ただし、他のソフトウェアと同様に、克服が難しい制限もあります。ここでは Active Directory の主な 7 つの課題と、それらに対処するための選択肢を紹介します：

課題 #1。Active Directory は Windows Server に依存しています。

Active Directory は Lightweight Directory Access Protocol（LDAP）に準拠していますが、LDAP 仕様には多くの改良、拡張、および解釈があります。ソフトウェアベンダーは、Active Directory ではサポートされない LDAP の任意要素を実装することを選ぶ場合があります。そのため、AD 環境でそれらの製品を使用するのは困難です。たとえば技術的には、Unix に Kerberos を実装してから Active Directory と信頼関係を確立することは可能ですが、プロセスは難しく、ミスも頻繁に起こりがちです。その結果、多くの組織は Windows ベースのシステムに限定せざるを得ないと感じています。

課題 #2。ライセンスおよび保守コストが高い。

Microsoft は Active Directory の基盤となる Windows Server OS に対して、クライアント アクセス ライセンス（CAL）を使用しています。Windows Server 2016 以降、Microsoft はコア単位のライセンス体系へ移行しました。現在の価格は、各 8 コアを搭載した 2 つのプロセッサを備えるサーバーで 6,156 ドルから始まり、16 コアのプロセッサを使用するとコストは 2 倍になります。Open LDAP と ApacheDS がどちらも無料であることを考えると、これは受け入れがたいかもしれません。

課題 #3. 不便なログ記録と監査。

Active Directory には、多くのものに対して適切なロギング、監視、および分析が必要です。たとえば、重要なエラーや、AD オブジェクトおよび Group Policy の変更を常に把握できる必要があります。これらは、パフォーマンスとセキュリティの両方に影響し得るためです。しかし、AD のログは非常に技術的な性質を持っており、必要なデータを見つけるには、面倒な手作業による検索やフィルタリング、または高度な PowerShell スクリプト作成スキルが求められます。同様に、アラートとレポートは、複雑な PowerShell スクリプトとタスク スケジューラ（Task Scheduler）を組み合わせることでのみ可能です。各イベント ログには上限が 4GB しかなく、その結果、ログがすぐに上書きされて重要なイベントが失われる可能性があります。最後に、PowerShell の検索エンジンは古いため性能が低いです。たとえば、時間でフィルタされたレコードを読むたびに、要求したレコードが見つかるまで、イベント ログ全体をレコード単位で順番に読み取ります。これにより企業は、ログの保存と分析のプロセスを楽にするために SIEM と Active Directory auditing solutions を統合し、設計上 AD に含めることができたはずのものにお金をかけざるを得なくなります。

課題 #4. AD のクラッシュはネットワークのダウンタイムにつながる。

AD がオフラインになると、次のような問題が発生します。

• 認証セッションが期限切れになるとすぐに、通常は数時間以内に、ユーザーはファイル共有から切断されます。
• Active Directory の認証に依存しているソフトウェアまたはハードウェア（例：IIS サイトや VPN サーバー）は、ユーザーがログインできなくなります。設定によって、現在ログイン中のユーザーを直ちに切断するか、ログアウトするまで既存のセッションを維持します。
• 最近使用したコンピューターには、キャッシュされたパスワードまたは認証チケットがあるため、ユーザーはログインできます。ただし、その PC を以前に一度も使用していない人、または最後に使ってから長い時間が経っている人は、DC（ドメイン コントローラー）への接続が復旧するまでログインできません。最終的には、キャッシュされた認証が数時間以内に期限切れになるため、ドメイン アカウントでログインできる人はいなくなります。
• Active Directory サーバーは、DNS や DHCP サーバーの役割を担うことがよくあります。その場合、AD がオフラインの間、コンピューターはインターネットへのアクセスはもちろん、ローカル ネットワーク自体にも接続しにくくなります。

こうした問題を避けるために、ベスト プラクティスではフェイルオーバー（failover）を備えた Active Directory DC を少なくとも 2 台用意することが推奨されます。そうすれば、1 台が停止しても、そのサーバーに Windows Server を再インストールし、既存のドメイン内で新しい DC として設定したうえで、すべてを再度レプリケートできるため、まったくダウンタイムなしで済みます。とはいえ、ハードウェアと AD のライセンスの両方で追加コストが発生します。

チャレンジ #5。AD はハッキングされやすいです。

Active Directory は最も人気のあるディレクトリ サービスであるため、それをハックするための多くの手法や戦略があります。AD は DMZ に配置できないため、AD サーバーには通常インターネット接続があります。その結果、攻撃者はリモートから「王国の鍵」に到達する機会を得ます。特に弱点の 1 つは、Active Directory が対称暗号化のアーキテクチャを備えた Kerberos 認証プロトコルを使用していることです。Microsoft はその多くの脆弱性をすでに修正していますが、新たな脆弱性は引き続き発見され、悪用されています。

チャレンジ #6。AD には GUI 管理機能が不足しています。

Microsoft は AD とともにいくつかのユーティリティをバンドルしており、たとえば Active Directory Users and Computers（ADUC）や Group Policy Management Console（GPMC）などです。組織がディレクトリ内のデータやポリシーを管理するのに役立ちますが、これらのツールはかなり限定的です。たとえば、オブジェクトのパラメータを一括で挿入するには PowerShell のスクリプト作成が必要です。アラート機能はなく、レポートも .txt ファイルへの書き出しに限られます。 AD デリゲーション の機能も制限されているため、組織は管理アクセスの境界を作る目的でドメインを分割することがよくあります。その結果、管理が面倒なディレクトリ インフラストラクチャが作られてしまいます。こうした課題を回避するため、組織はネイティブの AD ツール よりもきめ細かい方法で「誰が何を管理できるか」を制御しながら、AD を一括で管理できるようにするサードパーティ製のソリューションを利用することがよくあります。これにより、アイデンティティとオブジェクト アクセス管理、さらにアカウント管理をより適切にコントロールできます。 サードパーティ製 AD 管理ツール は、アカウント、グループ、Group Policy の作成、削除、変更に関する操作を自動化できるほか、アカウントのロックアウト調査の支援にも役立ちます。

チャレンジ #7。AD はエンドユーザー向けのセルフサービス ポータルを提供していません。

ユーザーが自分で実行できるようにしておくほうが合理的なケースがよくあります。たとえば、自分のプロフィールの編集や、パスワードを忘れた場合のリセットなどです。しかし、Active Directory ではこれらの操作に管理者アクセスが必要なため、従業員は軽微な問題を解決するために IT ヘルプデスクへ連絡せざるを得ず、業務のワークフローが遅延し、ヘルプデスクのコストが増大します。これらの問題はいずれも追加のセルフサービス管理ツールによって解決できますが、これは AD にすでに支払った費用に加えて、さらに別の予算項目が必要になるということでもあります。

Active Directory は優れたツールであり、たとえゆっくりではあっても現在も進化を続けています。Active Directory を環境に統合したい場合、予算の大きな部分をそれに充てることになるほか、AD の管理やレポート機能をより良くしたいのであれば、さらに多くの費用が必要になることを理解しておく必要があります。もちろん、システム管理者は、ネイティブ ツールの不足を回避するためにカスタム スクリプトやプログラムを作成でき、Microsoft やその他の提供者が用意したスクリプト インターフェースやフレームワークを使って AD の管理を自動化し、改善することも可能です。しかし、スクリプトの作成・保守・実行には高度なスキルとかなりの時間が必要で、さらにスクリプトの出力を読み解いて実行可能なインテリジェンスを得る必要があります。これにより、重大なセキュリティ問題への対応が遅れる可能性があります。もちろん、ログ ファイルの上書きや委任（delegation）の不足といった基本的な AD の制約にも引き続き左右されます。Turnover.

その結果、多くの 組織が、AD の監査、管理、レポートを改善し自動化するサードパーティ製のソリューションへと切り替えています。AD だけでなく Exchange、ファイル サーバー、SharePoint も含む、お使いのインフラ全体にわたる可視性を提供するソリューションを探してください。さらに、SIEM や Unix／Linux システムとも統合できることが望まれます。ネイティブの AD ツールよりも細かい粒度で「誰が何を管理できるか」を制御できるようになっているか、また、アカウント、グループ、Group Policy の作成、削除、変更に関わる運用を自動化できるかを必ず確認しましょう。セルフサービス機能が提供されていれば、なお加点です。そしてもちろん、セキュリティ調査を支援し、規制要件の遵守を満たすために、何年にもわたって完全な監査証跡（audit trail）を収集・保存できることを確実にする必要があります。