はてなブックマーク

Azure Files で Active Directory 認証を試す！ 2021/4/5 2022/12/14 Azure Virtual Desktop, Storage Azure Files に対して、Active Directory に登録されたユーザーを利用してWindows ACL (NTFS)アクセス権が設定できるようになりましたので、試してみたいと思います。 Azure Virtual Desktop のファイルサーバー＆プロファイル置き場として利用できます。 さっそく、構成を確認してみましょう！ 【構成条件】 ・ADは、AzureADと同期している必要がある　※ADはオンプレでも可 ・Azure Filesは、同期されたテナントと同じテナントに作成すること ※エンタープライズアプリケーションを利用する事で同期無しでも可能 ・Azure Filesは、ドメインに参加する

Azure NSG 機能拡張！ Application Security Group とは？ 2018/7/31 2019/7/17 Virtual Network NSG(ネットワーク セキュリティ グループ)の拡張機能として、ASG(アプリケーション セキュリティ グループ)が登場しました。仮想マシン(NIC)をグループ化する事ができ、NSGの送信元/宛先として適用できます。同じ役割のサーバー同士をグルーピングする事で、アプリケーションの通信パターンに適応したNSG設定が容易になります。 ※ASGは、同一リージョン内のNICを登録できます。 ASGのメリット ・NSGルールの行数を削減できる ・保護対象サーバーが追加された際にも、NSGルールを変更する必要がない ・保護対象サーバーのIPアドレスを意識する必要がない ・マイクロセグメンテーション ASGを有効にするための、3つの条件 ①

強制トンネリング環境に Azure Virtual Desktop を構築する！ 2020/3/29 2023/4/12 Azure Virtual Desktop 強制トンネリングとは、Azure上のVMに対して、デフォルトルート(0.0.0.0/0)をオンプレミスに向ける事です。特に日本に多いらしいのですが、この強制トンネリングが Azure Virtual Desktop(AVD) の導入に大きく立ちはだかります。 なぜなら、AVDを快適に利用するためには、必要な通信を最短経路で届ける必要があるからです。この必要な通信が全てオンプレミス経由となると、それだけで大きな遅延が発生してしまいます。さらに厄介なのが、多くの環境で”Proxy”を導入している事です。。 オススメのNW構成はこちら「Azure Virtual Desktop ネットワーク アーキテクチャ」 先ずは、AVDを快適に

Azure上で”Windows 10/11″を利用するパターン[AVD / Citrix / VMware / Windows10/11単体]と必要となるライセンスについてまとめてみました。 ※EA/CSPなど契約による違いはありません。 あわせて、こちらも、ご覧ください。 「利用シーン別！ AVD で必要となるライセンス」 【２つの認証方法】 AzureAD サブスクリプション 認証 M365,Win E3/E5を購入した際に必要。ライセンス認証が可能なのでKMS/MAKは不要。 Azure上で、Windows 10/11 を単体で利用する際には、この認証が必要となります。 [Azure AD Join / Hybrid Azure AD Join]構成が必須です。 なので、AzureAD Domain Service 環境では利用できません。 ※AVD / Citrix Cloud /

突如、マイクロソフトによる買収が発表された「FSLogix」ですが、実は、Azure Virtual Desktop(AVD)にとって非常に重要な機能を担っています！　それは、Windows 10 Multi-session に欠かせない、ユーザープロファイルを管理する機能を提供しています。 VDI環境では、ログインする度に違うデスクトップが割り当てられるので、ユーザープロファイルをファイルサーバーに保存し、ユーザーがログインした際に、自身のプロファイルをファイルサーバーから読み込む必要があります。 よくあるユーザープロファイルの問題点 ・ログイン時にユーザープロファイルを読み込むため、デスクトップ表示が遅い ・ファイルサーバーやネットワークに負荷を与える ・ファイルサーバー障害時には、回避する方法が無い FSLogixの設定方法は、こちらをご覧下さい。 「FSLogix Profile

Azure Files で Azure AD Domain Service 認証を試す！ 2019/12/24 2022/4/17 Microsoft Entra Domain Services, Storage Azure Files に対して、AzureAD DS に登録されたユーザーを利用してNTFSアクセス権が設定できるようになりましたので、試してみたいと思います。 Azure Virtual Desktop のファイルサーバー＆プロファイル置き場として利用できます。 【管理者が行う設定】 ①ユーザーアカウントに対してAzure Files マウントを許可するためのRBAC設定 ②管理者用端末から、Azure Filesを[key]を利用してマウント ③Azure Files内のファイルに対してWindows ACL (NTFS)設定を実施 【ユーザーからの接続の流れ】 ①ユーザー

Azure Virtual Desktop Classic を構築する！ 2019/4/16 2023/10/1 Azure Virtual Desktop 概要については、前回解説しましたので、今回は構築していきたいと思います。 設定を行うまえに、Azure Virtual Desktop Classic での全体像を確認したいと思います。 AVDの設定は、AVD(Managed)環境に対して、PowerShellで行うため、どのような設定を何のために行うのか、把握し辛いかと思います。 先ずは、設定に必要な全体項目を把握する事から始めましょう！ ※AVD Classicは、2026年9月30日に廃止されます。 ※Azure Portal に対応した新しい Azure Virtual Desktop (AVD) が登場しました！ 「AVD と AVD Classic との違いとは？」 【全

マイクロソフト純正 VDI 登場！ Azure Virtual Desktop とは？ 2019/4/12 2023/8/30 Azure Virtual Desktop 消え去りし、Remote App サービスから幾年月、、ついに！ついに！ マイクロソフト純正 [RDSH][VDI]サービスが ”Microsoft Azure”に登場です！！ ※Azure Virtual Desktop Classic 2019年 9月 30日に「GA」致しました！ ※Azure Virtual Desktop 2020年 7月 27日に「GA」致しました！ 「AVD と AVD Classic との違いとは？」 [AVDのメリット] ① Windows Multi-sessionによる集約率向上によるコスト削減 ② Windows をサポートするアプリケーションに対応 ③ 拡張セキュリティ更新プログ

基本的には、Azureの仮想マシンは、RDP接続やインターネット通信が必要となるため、仮想マシン１台に対して、１つのパブリックIP(グローバルIP)を持つ事になります。そうなると、常に外部に「さらされている状態」となりセキュリティ上、危惧する場合もあると思います。 そんな時には、Azure上にプロキシサーバーを構築し、その他サーバーはプロキシサーバー経由でインターネット通信を許可する構成がオススメです。 ですが！！プロキシサーバーの場合、通信できるプロトコルが限定されてしまいます。そこで今回はプロキシサーバーでは無く、ルーターサーバーを構築し [PAT／NAPT／IPマスカレード／ダイナミックNAT] を使い、外部からのアクセスを遮断する環境を構築します。 この構成だと、PIPの無いサーバーにはRDP接続ができませんので、その場合はこちら「RDP接続を踏み台サーバーに限定する！！」を御覧く

Webサーバー向けロードバランサー「Azure Application Gateway」とは？ 2017/4/22 2018/6/5 Application Gateway Azure Application Gatewayとは、一言で言うと、WEBサーバーに特化したロードバランサー機能を提供します。 [特徴] ・バランシング機能(プール単位)：パスベース、URLベース ・バランシング機能(サーバー単位)：ラウンドロビン ・パーシステンス機能：Cookieベース ・モニター機能：[HTTP／HTTPS] GETを実行し”200～399″で応答確認 ※パス、間隔、タイムアウト、しきい値がカスタマイズ可能 ・WAF(Web Application Firewall) ※ModSecurity CRS3.0(OWASP) ・SSLオフロード機能 ・対応プロトコル：HTTP、HTTPS、WebSo

今更ですが、そもそも「Microsoft Azure (アジュール)」とは何でしょうか？ いやそれ以前にクラウドとは何でしょうか？ クラウドとは、ネットワーク、サーバ、ストレージ、アプリケーション、など各種サービスの利用をいつでも開始・停止ができ、また利用料に応じて課金される仕組みです。 ※個人的に思うメリット ・いつでも利用をやめる事ができる ・数年後を見越した事前のHW購入が不要(ストレージなど) ・DR環境を安価に構築できる 「Azure」とは Microsoft が提供するクラウドサービスなのです。 いつ頃から、サービスを開始しているのでしょうか？ 【Microsoft Azure の略歴】 2008年10月 Windows Azure 発表 2010年  2月 Windows Azure 正式リリース 2013年  4月 IaaS 提供開始 2014年  2月 国内データセンター

Azure AD への認証を強化する”条件付きアクセス”とは？ 2018/10/18 2021/6/1 Microsoft Entra 条件付きアクセスとは、Azure AD への認証に対して、制限対象(割り当て)に該当するユーザーを許可or拒否(アクセス制御)する事ができる機能です。 Azure AD の特徴である、あらゆる場所やデバイス、アプリケーションから認証が行えるという利点があるのですが、裏を返せば、誰でも、どこからでも認証要求を送る事ができてしまいます。そのようなセキュリティリスクに対処するために、”条件付きアクセス”があります。 ユーザーが、アプリケーションにアクセスした際に、”割り当て”条件に合致するかどうかを判断し、合致するものを”アクセス制御”条件にて権限(許可or拒否)を付与します。 条件に合致する全ての設定が対象となるが、優先順位はなく、許可よりも拒否が有効となる。

Active Directory 構築不要！！ Azure AD Domain Services とは？ 2017/10/22 2023/10/22 Microsoft Entra Domain Services 職人が、一つ一つ丹精を込めて構築していた、あの”Active Directory”がPaaSとなって登場！！ だれでも簡単にポチッと構築できるようになりました。 必要な構成は、下記になります。とてもシンプル 専用のサブネット(名前は自由)にAzure AD Domain Servicesをデプロイするだけ！！ Availability Zone対応リージョンでは、自動で分散デプロイされます。 ※デプロイする仮想ネットワークは、プライベートIPである必要があります。 VPNなどで、接続された環境からもドメイン参加ができます。 NSG：受信規則にAzureADDSに必要な通信が許可さ

SD-WAN 登場！ Azure Virtual WAN を試す！ 2018/7/20 2020/4/13 Virtual Network Azureのネットワーク構成に大きな影響を与えそうな、「Azure Virtual WAN」がプレビューで登場しました。大きな特徴として、Azure上でハブ＆スポーク構成が組める点、Azure Virtual WAN対応機器に対して、VPN接続のための設定＆投入が自動で行われる点にあります。 さっそく、構成を確認してみましょう！ ・Virtual Hubは、Active/Activeでデプロイされる。 ・Virtual Hub ～ 仮想ネットワーク間はピアリングにて接続される。 ・ルーティングテーブルは自動で作成される。 ・このネットワーク構成内においては、全ての間で通信が可能 ・最大接続数1000 ・最大スループット20Gbps　※MAX 20 sc

以前、「Linux ログインをAzureADで認証する！！」では、Node.jsでスクリプトを書き、AzureAD認証を実現しました。今回は、AzureAD認証用のエージェントがリリースされたので試したいと思います。 こちらの方が、楽に実装できるのでオススメです！！ ※現時点では、Azure Linux のみサポート 全体の流れ Step１：Linuxサーバーの作成とエージェントのインストール Step２：Linux認証用ユーザーの作成 Step３：RBACでの権限付与 Step４：Linuxサーバーへの接続 Step１：Linuxサーバーの作成とエージェントのインストール 仮想マシンを新規作成ー[Azure Active Directoryでログインする]を有効 ※CentOSの場合は表示されないので、手動でエージェントをインストールします。 CentOSの場合　※Cloud Shell

Linuxサーバーへのログイン認証を「AzureAD」でやってみたいと思います。当然、AzureADで認証するので、多要素認証も利用できます！！ ※こちらを「Azure AD 認証でLinuxへログイン！！」オススメします。 それでは、やってみよ～ 先ずは、AzureADでアプリケーションを作成します。 ※事前にLinux認証用のディレクトリを作成すると良いでしょう。 名前：表示名 アプリケーションの種類：ネイティブを選択 リダイレクトURL：トップレベルドメイン必須 作成したアプリケーションの[アプリケーションID]をコピーしておきます。 Linuxサーバーへのログインを許可するユーザーを作成します。 ※仮パスワードが発行されるので、一度ポータルへログインしパスワードを変更して下さい。 これで下準備が整いました。 ここからは、Linuxサーバーでの作業になります。 ※今回は OpenLo

今回は、Azure ADの”ディレクトリ”と”サブスクリプション”の関係性について整理したいと思います。 突然ですが、下記のような画面に遭遇した事はないでしょうか？ 新規作成しようとした際に表示されたかと思いますが、 これは”ディレクトリ” に “サブスクリプション”の割り当てがない場合に表示されます。 ディレクトリ？ サブスクリプション？と思うのも無理はありません。 通常、会社から貸与された”Azure”を利用していると意識する必要がないからです。 Azureでは下記のような関係性で成り立っています。 ユーザーアカウント：ユーザーID。メールアドレス ディレクトリ：AzureADで管理。ユーザーアカウントに紐付く。 サブスクリプション： アカウントポータルで管理。ユーザーアカウントに紐付き、ディレクトリに割り当てる。※ディレクトリとサブスクリプションのユーザーアカウントは別でも可 リソー

ExpressRouteとは、オンプレ環境～Azure 間をBGPにて経路交換を行い、閉域網で接続する帯域保証型サービスです。よって、安心・安全・高品質な回線を利用できます。 利用するには、Azureの仮想ネットワーク上に[ExpressRoute Gateway]を作成する必要があり、パフォーマンス別に用意されています。 [Standard：1Gbps / High Performance：2Gbps / Ultra Performance：10Gbps] ※それぞれにゾーン冗長モデルがある 保証帯域は、下記速度から選択可能。 [50Mbps,100Mbps,200Mbps,500Mbps,1Gbps,2Gbps,5Gbps,10Gbps] あとは、Azureからの「送信データ転送量」を[無制限] or [従量課金]から選択するだけです。 ※送信データ転送量は、MSEEから送信されるデー

BLOB(Binary Large Objects)ストレージとは、オブジェクトストレージで構成された、単一障害点の無い、スケーラブルなストレージです。簡単にオブジェクトストレージの説明をすると、非構造化データ(オブジェクト)をフラットなストレージ空間にユニークなID(メタデータ)を付与して管理を行うストレージです。やっぱり、わかりにくいので、イラストにしますね。 ファイルストレージと違い、階層構造を持っていません。オブジェクト(ファイル)はユニークなIDで管理されているだけなので、ネットワーク的に接続できるストレージであれば、オブジェクトストレージとして利用可能なのです。なので、地理的に離れていてもOKですし、安価なサーバーを足すだけで並列化も可能なのです。 また、冗長構成の方法なのですが、ファイルストレージでは「RAID」を利用していますが、オブジェクトストレージでは、「Replica

ネットワーク設計のキモ “Azure Gateway” を調査する！ 2016/10/6 2019/5/23 Virtual Network Azureでの仮想マシンの利用において、先ず「ネットワーク設計」が気になるポイントかと思います。 今まで、仮想ネットワークに関係する Azureサービスの記事を書いて来ましたが、ここで一度「仮想ネットワーク」周りを整理したいと思います。 ※ちなみに、Azure Gateway とは、仮想ネットワークを作成した際に、自動作成されるゲートウェイを指しています。システムゲートウェイとも呼ばれます。 先ず最初に仮想ネットワークを構成するAzureサービスを整理します。 ・接続先を追加する機能：VPNGateway(S2S,P2S,V2V)、ExpressRoute、VNetピアリング ・ルーティングを制御する機能：UDR ・フィルタリング機能：NSG ※図に

Azure Gateway にルーティングを追加する「UDR」とは？ 2016/9/12 2022/4/19 Virtual Network UDR(User Defined Route)は、ユーザーが定義したルートをサブネットに関連付ける事で、 Azure Gateway(システムルート)に ルーティングを追加する事ができます。 どのような時に利用するかと言うと、下記のようなシーンに利用できます。 ・仮想アプライアンスを導入した場合 ・インターネット通信をオンプレ経由で通信させたい場合 ・サブネット間の通信を止めたい場合(NSGでも可) ・別の仮想ネットワークを経由して通信させたい場合 デフォルトでは、Azure Gatewayに対して、次のようなルーティングが設定されています。 [初期ルート] ・サブネット間のルーティング ・デフォルトルートはインターネットに向いている [オプションル

Azure を自社に導入する前に検討しておきたい事を「５つの項目」にまとめてみました。この「５つの項目」への答えを準備できていると、スムーズな導入が期待できます。 【社内ルール編】 [Microsoft Azureの購入方法を検討する] 先ずは、Azureの購入方法から検討していきましょう。詳細は「Azureの購入方法」に記載しています。プランに迷う方は、下記チャートをご活用下さい。 ※ちょっと強引ですが、、 [社内向け利用申請書を作成する] 社内でAzureを利用する場合、おそらく、様々な部署や事業所の方も利用したいと思います。その為の申請フローや申請書のテンプレートを作成しておくと良いでしょう。この申請書と設定シートを兼用するのも有用かと思います。 [社内向け請求方法を考える] 社内でAzureを利用した場合、利用した部署や事業所に対して、社内請求をしたい場合があります。占有するサービ

Windows Server 2016に”記憶域スペースダイレクト”(S2D)と言う機能が実装されました。 (技術的にはフェールオーバークラスタリング機能がベースとなっています) これは、各サーバーにマウントされたディスク(DAS)を、仮想ストレージプールとして共有し、各サーバー間でデータを同期する事ができるのです。いままで、Azureでは、難しかった共有ストレージっぽい環境が作成できるのです！！ 共有ストレージを利用することで、仮想マシンを増設(スケールアウト)できるので、耐障害性を高めると共に、リソース(CPU,Mem,NIC,Storage)の増強も図れます。 ディスク構成について ①すべてSSD(Premium Storage)。パフォーマンス重視 ②すべてHDD(Standard Storage)。容量重視 ③SSD+HDD混在。キャッシュとしてSSDを利用 ※Azure上では構

【Azure 購入方法】 Microsoft Azure は下記の方法で購入する事ができます。 ※Azurenには、数多くのプランが存在しますが、主なプランのみご紹介します。 ・従量課金プラン ・Azure イン オープン プラン ・CSP(Cloud Solution Provider)契約 ・EA(Enterprise Agreement)契約 それぞれをみていきましょう！ 【従量課金プラン】　料金計算ツール ・Webから直接申し込みが可能。個人＆法人問わず購入できます。 ・その名の通り、利用した分だけお支払いする最も標準的なプラン。 ・請求書払い or クレジット払いが可能 ・契約時に登録したアカウントの変更(譲渡)可能 [利用不可サービス] ※請求書払いの場合 ・StorSimple ・ユーザー単位で課金されるサービス 【Azure イン オープン プラン】 ・リセラーから購入可能

検証用などで無償試用版を一人で利用していると気になりませんが、実はAzureには様々な管理者たちが存在します。契約形態とも密接に関わってきますので、見ていきましょう！！ それでは、「管理者たち」に登場して頂きましょう！！ [エンタープライズ管理者] 課金情報の参照。年額コミットメントの表示。アカウント・管理ポータルへのアクセス権限は無い。 [部署管理者] 管理下のアカウント所有者の課金情報の参照。アカウント・管理ポータルへのアクセス権限は無い。 [アカウント所有者] サブスクリプションの作成、課金情報の参照。このアカウントにメンテナンス情報などがメール通知されます。管理ポータルへのアクセス権限は無い。1サブスクリプションに1人 [サービス管理者] 管理ポータルの管理者。EA・アカウントポータルへのアクセス権限は無い。1サブスクリプションに1人 [共同管理者] サービス管理者との違いは、共同

VPN ゲートウェイとは、Azure上のネットワーク(VNet)と他のネットワーク(主にオンプレミス)をVPN(IPsec)で安全に接続するためのサービスです。 VPN Gatewayの作成には、専用サブネット[GatewaySubnet](/27以上)を作成する必要があります。また、このサブネットでは、NSGの設置はサポートされていません。 オンプレミス ～ VPN ゲートウェイの接続パターンは下記を御覧ください。 ・Azure VPN Gateway デザインパターン 全体の流れ Step１：「仮想ネットワーク」の作成 Step２：「仮想ネットワーク ゲートウェイ」の作成 Step３：「ローカルネットワーク ゲートウェイ」の作成 Step４：「接続」の作成 Step１：「仮想ネットワーク」の作成 前回記事を参照下さい。 Step２：「仮想ネットワーク ゲートウェイ」の作成 [+リソース