ADFSでO365にシングルサインオンしよう！ Part1

今話題のお仕事が来ました！

Office365に自社のドメインアカウントでログインしたいとのご要望が多いこの頃。
更にシングルサインオン・WorkPlace Joinもしたい。

欲張りです！

ですが、便利なんですよねーこれが！

てことで、構築手順を書いていきます。
多分何回かに分かれると思い、Part1です。

今回は、ADFSの構築です！

構成は、こんな感じ

1、ADの構築

ADはあること前提で進めます。
省略・・・

2、ADFSの構築

▼1台目ADFSサーバー構築

サーバーをドメインに参加しておきます。

1)　「サーバーマネージャー」→「ダッシュボード」→「役割と機能の追加」

2)　「開始する前に」　次へ

3)　「インストールの種類」　次へ

4)　「サーバーの選択」　次へ

5)　「サーバーの役割」
「Active Directory Federation Services」を選択

6)　「機能」　次へ

7)　「確認」　次へ

8)　インストール

9)　グループ管理サービスアカウント(gMSA)の設定

今回は、グループ管理サービスアカウント(gMSA)を利用します。
gMSAとは、複数のサーバーで利用可能なサービスアカウントのことで、複数のサーバーで動かすサービスに共通のサービスアカウントを使いたいときに使用します。
また、通常のユーザーアカウントでは、パスワードを変更するとサービスが停止してしまいますが、gMSAはADが自動的にパスワードを変更しセキュリティを高めてくれます。
gMSAを利用しない場合は、この工程を飛ばします。
gMSAは、PowerShellで設定します。

PowerShellを実行するサーバーは、ADFSサーバーで行います。
また、Active Directoryモジュールを使用するので、機能のリモートサーバー管理ツールから、「Windows PowerShellのActive Directoryモジュール」を追加しておきます。

コマンドは、こちら。(管理者でPowerShellを起動します。)

Import-Module ActiveDirectory

Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10))

New-ADServiceAccount -Name <サービスアカウント名> –DNSHostName

Set-ADServiceAccount -Identity <サービスアカウント名> -PrincipalsAllowedToRetrieveManagedPassword <ホスト名>$

Install-ADServiceAccount -Identity <サービスアカウント名>

-PrincipalsAllowedToRetrieveManagedPasswordでは、サービスアカウントを利用するサーバーを指定します。
ここで指定したサーバーが、サービスアカウントのパスワードを管理します。
ADFSサーバーを冗長するため複数構成にしている場合は、-PrincipalsAllowedToRetrieveManagedPassword ADFS1$,ADFS2$の様に指定します。

２台目以降は、Install-ADServiceAccount -Identity <サービスアカウント名>のみ実行します。

ADでは、「Managed Service Account」というOUが作成され、その中にgMSAがいます。