AD FS ラボ環境を設定する

2025-04-08
適用対象: ✅ Windows Server 2025, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

このトピックでは、次のチュートリアルガイドのチュートリアルを完了するために使用できるテスト環境を構成する手順について説明します。

注

Web サーバーとフェデレーションサーバーを同じコンピューターにインストールすることはお勧めしません。

このテスト環境を設定するには、次の手順を実行します。

手順 1: ドメインコントローラー (DC1) を構成する

このテスト環境では、ルートの Active Directory ドメイン contoso.com を呼び出し、管理者パスワードとして pass@word1 を指定できます。

AD DS 役割サービスをインストールし、Active Directory Domain Services (AD DS) をインストールして、コンピューターを Windows Server 2012 R2 のドメインコントローラーにします。このアクションにより、ドメインコントローラーの作成の一部として AD DS スキーマがアップグレードされます。詳細と詳細な手順については、「https://technet.microsoft.com/ ライブラリ/hh472162.aspx」を参照してください。

テスト Active Directory アカウントを作成する

ドメインコントローラーが機能したら、テストグループを作成し、このドメインでユーザーアカウントをテストし、そのユーザーアカウントをグループアカウントに追加できます。これらのアカウントを使用して、このトピックで前述したウォークスルーガイドで示された手順を完了します。

次のアカウントを作成します。

ユーザー: 次の資格情報を持つ Robert Hatley : ユーザー名: RobertH とパスワード: P@ssword
グループ: 財務

Active Directory (AD) でユーザーアカウントとグループアカウントを作成する方法については、 https://technet.microsoft.com/library/cc783323%28v=ws.10%29.aspxを参照してください。

Robert Hatley アカウントを Finance グループに追加します。 Active Directory のグループにユーザーを追加する方法については、「 https://technet.microsoft.com/library/cc737130%28v=ws.10%29.aspx」を参照してください。

GMSA アカウントを作成する

グループ管理サービスアカウント (GMSA) アカウントは、Active Directory フェデレーションサービス (AD FS) のインストールと構成中に必要です。

GMSA アカウントを作成するには

Windows PowerShell コマンドウィンドウを開き、次のように入力します。

Add-KdsRootKey –EffectiveTime (Get-Date).AddHours(-10)
New-ADServiceAccount FsGmsa -DNSHostName adfs1.contoso.com -ServicePrincipalNames http/adfs1.contoso.com

手順 2: Device Registration Service を使用してフェデレーションサーバー (ADFS1) を構成する

別の仮想マシンをセットアップするには、Windows Server 2012 R2 をインストールし、ドメイン contoso.com に接続します。コンピューターをドメインに参加させた後にセットアップし、AD FS の役割のインストールと構成に進みます。

サーバー SSL 証明書をインストールする

ローカルコンピューターストアの ADFS1 サーバーにサーバー Secure Socket Layer (SSL) 証明書をインストールする必要があります。証明書には次の属性が必要です。

サブジェクト名 (CN): adfs1.contoso.com
サブジェクトの別名 (DNS): adfs1.contoso.com
サブジェクトの別名 (DNS): enterpriseregistration.contoso.com

証明書の登録 Web サービスのガイド

Active Directory フェデレーションサービス How-To ビデオシリーズ: 証明書の更新。

AD FS サーバーの役割をインストールする

フェデレーションサービスの役割サービスをインストールするには

ドメイン管理者アカウント administrator@contoso.comを使用してサーバーにログオンします。
サーバーマネージャーを開始します。サーバーマネージャーを起動するには、Windows のスタート画面で [サーバーマネージャー] をクリックするか、Windows デスクトップの Windows タスクバーの [サーバーマネージャー] をクリックします。 [ダッシュボード] ページの [ようこそ] タイルの [クイックスタート] タブで、[役割と機能の追加] をクリックします。または、[管理] メニューの [役割と機能の追加] をクリックすることもできます。
[ 開始する前 に] ページで、[ 次へ] をクリックします。
[ インストールの種類の選択 ] ページ で、[役割ベースまたは機能ベースのインストール] をクリックし、[ 次へ] をクリックします。
[ 移行先サーバーの選択 ] ページで、[ サーバープールからサーバーを選択] をクリックし、ターゲットコンピューターが選択されていることを確認して、[ 次へ] をクリックします。
[ サーバーの役割の選択 ] ページで、[ Active Directory フェデレーションサービス] をクリックし、[ 次へ] をクリックします。
[ 機能の選択 ] ページで、[ 次へ] をクリックします。
[Active Directory フェデレーションサービス (AD FS)] ページで、[次へ] をクリックします。
[ インストールの選択を確認 する] ページで情報を確認した後、[必要に応 じてターゲットサーバーを自動的に再起動 する] チェックボックスをオンにし、[ インストール] をクリックします。
[ インストールの進行状況 ] ページで、すべてが正しくインストールされていることを確認し、[ 閉じる] をクリックします。

フェデレーションサーバーを構成する

次の手順では、フェデレーションサーバーを構成します。

フェデレーションサーバーを構成するには

[サーバーマネージャー ダッシュボード ] ページで、[ 通知 ] フラグをクリックし、[ サーバー上のフェデレーションサービスの構成] をクリックします。

Active Directory フェデレーションサービス構成ウィザードが開きます。
[ ようこそ ] ページで、[ フェデレーションサーバーファームに最初のフェデレーションサーバーを作成する] を選択し、[ 次へ] をクリックします。
[ AD DS への接続 ] ページで、このコンピューターが参加している contoso.com Active Directory ドメインのドメイン管理者権限を持つアカウントを指定し、[ 次へ] をクリックします。
[ サービスのプロパティの指定 ] ページで、次の操作を行い、[ 次へ] をクリックします。
- 前に取得した SSL 証明書をインポートします。この証明書は、必要なサービス認証証明書です。 SSL 証明書の場所を参照します。
- フェデレーションサービスの名前を指定するには、「adfs1.contoso.com」と入力 します。この値は、Active Directory 証明書サービス (AD CS) に SSL 証明書を登録したときに指定した値と同じです。
- フェデレーションサービスの表示名を指定するには、「 Contoso Corporation」と入力します。
[ サービスアカウントの指定] ページで、[ 既存のドメインユーザーアカウントまたはグループ管理サービスアカウントを使用する] を選択し、ドメインコントローラーの作成時に作成した GMSA アカウント fsgmsa を指定します。
[ 構成データベースの指定 ] ページ で、[Windows 内部データベースを使用してこのサーバーにデータベースを作成する] を選択し、[ 次へ] をクリックします。
[ オプションの確認] ページで、構成の選択内容を確認し、[ 次へ] をクリックします。
[ 前提条件のチェック ] ページで、すべての前提条件チェックが正常に完了したことを確認し、[ 構成] をクリックします。
[ 結果 ] ページで結果を確認し、構成が正常に完了したかどうかを確認し、[ フェデレーションサービスの展開を完了するために必要な次の手順] をクリックします。

デバイス登録サービスの構成

次の手順では、ADFS1 サーバーでデバイス登録サービスを構成します。ビデオについては、「 Active Directory フェデレーションサービス How-To ビデオシリーズ: デバイス登録サービスの有効化」を参照してください。

Windows Server 2012 RTM のデバイス登録サービスを構成するには

重要

次の手順は、Windows Server 2012 R2 RTM ビルドに適用されます。

Windows PowerShell コマンドウィンドウを開き、次のように入力します。
```
Initialize-ADDeviceRegistration
```
サービスアカウントの入力を求められたら、「 contosofsgmsa$」と入力します。

次に、Windows PowerShell コマンドレットを実行します。
```
Enable-AdfsDeviceRegistration
```
ADFS1 サーバーの AD FS 管理 コンソールで、 認証ポリシーに移動します。 [ グローバルプライマリ認証の編集] を選択します。 [ デバイス認証を有効にする] の横にあるチェックボックスをオンにし、[OK] をクリック します。

ホスト (A) およびエイリアス (CNAME) リソースレコードを DNS に追加する

DC1 では、デバイス登録サービス用に次のドメインネームシステム (DNS) レコードが作成されていることを確認する必要があります。

エントリ	タイプ	住所
adfs1	ホスト (A)	AD FS サーバーの IP アドレス
企業登録	エイリアス (CNAME)	adfs1.contoso.com

次の手順を使用して、フェデレーションサーバーとデバイス登録サービスの企業 DNS ネームサーバーにホスト (A) リソースレコードを追加できます。

管理者グループまたは同等のメンバーシップは、この手順を完了するための最小要件です。 HYPERLINK の "https://go.microsoft.com/fwlink/?LinkId=83477" ローカルグループとドメインの既定のグループ (https://go.microsoft.com/fwlink/p/?LinkId=83477) で適切なアカウントとグループメンバーシップを使用する方法の詳細を確認します。

フェデレーションサーバーの DNS にホスト (A) とエイリアス (CNAME) リソースレコードを追加するには

DC1 では、サーバーマネージャーの [ツール ] メニューの [DNS ] をクリックして DNS スナップインを開きます。
コンソールツリーで、[DC1] を展開し、[ 前方参照ゾーン] を展開し、[ contoso.com] を右クリックし、[ 新しいホスト (A または AAAA)] をクリックします。
[ 名前] に、 AD FS ファームに使用する名前を入力します。このチュートリアルでは、「 adfs1」と入力します。
[IP アドレス] に、ADFS1 サーバーの IP アドレスを入力します。クリックしてホストを追加します。
contoso.com を右クリックし、[新しいエイリアス (CNAME)] をクリックします。
[新しいリソースレコード] ダイアログボックスで、[エイリアス名] ボックスに「enterpriseregistration」と入力します。
ターゲットホストボックスの完全修飾ドメイン名 (FQDN) ボックスに 「adfs1.contoso.com」と入力し、[OK] をクリック します。

重要

実際の展開では、会社に複数のユーザープリンシパル名 (UPN) サフィックスがある場合は、DNS の UPN サフィックスごとに 1 つずつ、複数の CNAME レコードを作成する必要があります。

手順 3: Web サーバー (WebServ1) と要求ベースのサンプルアプリケーションを構成する

Windows Server 2012 R2 オペレーティングシステムをインストールして仮想マシン (WebServ1) を設定し、それをドメイン contoso.com に接続します。ドメインに参加したら、Web サーバーロールのインストールと構成に進むことができます。

このトピックで前述したチュートリアルを完了するには、フェデレーションサーバー (ADFS1) によってセキュリティ保護されたサンプルアプリケーションが必要です。

このサンプル要求ベースのアプリケーションを使用して Web サーバーを設定するには、次の手順を完了する必要があります。

注

これらの手順は、Windows Server 2012 R2 オペレーティングシステムを実行する Web サーバーでテストされています。

Web サーバーロールと Windows Identity Foundation をインストールする

注

Windows Server 2012 R2 インストールメディアにアクセスできる必要があります。

administrator@contoso.comとパスワード pass@word1を使用して WebServ1 にログオンします。
サーバーマネージャーから、[ダッシュボード] ページの [ようこそ] タイルの [クイックスタート] タブで、[役割と機能の追加] をクリックします。または、[管理] メニューの [役割と機能の追加] をクリックすることもできます。
[ 開始する前 に] ページで、[ 次へ] をクリックします。
[ インストールの種類の選択 ] ページ で、[役割ベースまたは機能ベースのインストール] をクリックし、[ 次へ] をクリックします。
[ 移行先サーバーの選択 ] ページで、[ サーバープールからサーバーを選択] をクリックし、ターゲットコンピューターが選択されていることを確認して、[ 次へ] をクリックします。
[ サーバーの役割の選択 ] ページで、[ Web サーバー (IIS)] の横にあるチェックボックスをオンにし、[機能の追加] をクリックし、[ 次へ] をクリックします。
[ 機能の選択 ] ページ で、Windows Identity Foundation 3.5 を選択し、[ 次へ] をクリックします。
[ Web サーバーの役割 (IIS)] ページで、[ 次へ] をクリックします。
[ 役割サービスの選択 ] ページで、[ アプリケーション開発] を選択して展開します。 ASP.NET 3.5 を選択し、[機能の追加] をクリックし、[次へ] をクリックします。
[ インストールの選択の確認 ] ページで、[ 代替ソースパスの指定] をクリックします。 Windows Server 2012 R2 インストールメディアにある Sxs ディレクトリへのパスを入力します。たとえば、D:SourcesSxs などです。 [ OK] をクリックし、[ インストール] をクリックします。

Windows Identity Foundation SDK をインストールする

WindowsIdentityFoundation-SDK-3.5.msi を実行して Windows Identity Foundation SDK 3.5 をインストールします。すべての既定のオプションを選択します。

IIS で単純な要求アプリを構成する

コンピューター証明書ストアに有効な SSL 証明書をインストールします。証明書には、Web サーバーの名前 (webserv1.contoso.com) が含 まれている必要があります。
C:Program Files (x86)Windows Identity Foundation SDKv3.5SamplesQuick StartWeb ApplicationPassiveRedirectBasedClaimsAwareWebApp の内容を C:InetpubClaimapp にコピーします。
要求のフィルター処理が行われないように、 Default.aspx.cs ファイルを編集します。この手順は、フェデレーションサーバーによって発行されたすべての要求がサンプルアプリケーションに確実に表示されるようにするために実行されます。次の手順を実行してください。
1. テキストエディターで Default.aspx.cs を開きます。
2. ファイルで、 ExpectedClaimsの 2 番目のインスタンスを検索します。
3. IF ステートメントとその中かっこ全体をコメントアウトします。行の先頭に「//」と入力してコメントを示します (引用符を使用しない)。
4. FOREACH ステートメントは、次のコード例のようになります。
```
Foreach (claim claim in claimsIdentity.Claims)
{
   //Before showing the claims validate that this is an expected claim
   //If it is not in the expected claims list then don't show it
   //if (ExpectedClaims.Contains( claim.ClaimType ) )
   // {
      writeClaim( claim, table );
   //}
}
```
5. Default.aspx.csを保存して閉じます。
6. テキストエディターで web.config を開きます。
7. <microsoft.identityModel>セクション全体を削除します。 including <microsoft.identityModel>から始まり、</microsoft.identityModel>を含むすべてのものを削除します。
8. web.configを保存 して閉じます 。
IIS マネージャーの構成
1. インターネットインフォメーションサービス (IIS) マネージャーを開きます。
2. [アプリケーションプール] に移動し、[DefaultAppPool] を右クリックして [詳細設定] を選択します。 [ ユーザープロファイルの読み込み] を [True] に設定し、[OK] をクリック します。
3. DefaultAppPool を右クリックして、[基本設定] を選択します。 .NET CLR バージョンを .NET CLR バージョン v2.0.50727 に変更します。
4. [既定の Web サイト] を右クリックして、[バインドの編集] を選択します。
5. インストールした SSL 証明書を使用して、ポート 443 に HTTPS バインディングを追加します。
6. [既定の Web サイト] を右クリックし、[アプリケーションの追加] を選択します。
7. エイリアスを claimapp に設定し、物理パスを c:inetpubclaimapp に設定します。
フェデレーションサーバーと連携するように claimapp を構成するには、次の操作を行います。
1. C:Program Files (x86)Windows Identity Foundation SDKv3.5 にある FedUtil.exeを実行します。
2. アプリケーション構成の場所を C:inetputclaimappweb.config に設定し、アプリケーション URI をサイトの URL https://webserv1.contoso.com/claimapp/ に設定します。 [次へ] をクリックします。
3. [ 既存の STS を使用する ] を選択し、AD FS サーバーのメタデータ URL https://adfs1.contoso.com/federationmetadata/2007-06/federationmetadata.xmlを参照します。 [次へ] をクリックします。
4. [ 証明書チェーンの検証を無効にする] を選択し、[ 次へ] をクリックします。
5. [ 暗号化なし] を選択し、[ 次へ] をクリックします。 [ 提供された要求 ] ページで、[ 次へ] をクリックします。
6. 毎日の WS-Federation メタデータの更新を実行するようにタスクをスケジュールする] の横にあるチェックボックスをオンにします。 [完了] をクリックします。
7. これでサンプルアプリケーションが構成されました。アプリケーション URL https://webserv1.contoso.com/claimappをテストすると、フェデレーションサーバーにリダイレクトされます。証明書利用者信頼をまだ構成していないため、フェデレーションサーバーにエラーページが表示されます。つまり、このテストアプリケーションは AD FS によって保護されていません。

これで、AD FS を使用して Web サーバー上で実行されるサンプルアプリケーションをセキュリティで保護する必要があります。これを行うには、フェデレーションサーバー (ADFS1) に証明書利用者信頼を追加します。

フェデレーションサーバーに証明書利用者信頼関係を作成する

フェデレーションサーバー (ADFS1) の AD FS 管理コンソールで、[ 証明書利用者信頼] に移動し、[ 証明書利用者信頼の追加] をクリックします。
[ データソースの選択 ] ページで、 オンラインまたはローカルネットワークで公開されている証明書利用者に関するデータのインポートを選択し、 claimapp のメタデータ URL を入力して、[ 次へ] をクリックします。 FedUtil.exe 実行すると、メタデータ .xml ファイルが作成されました。 https://webserv1.contoso.com/claimapp/federationmetadata/2007-06/federationmetadata.xmlにあります。
[表示名の指定] ページで、証明書利用者信頼 claimapp の [表示名] を指定し、[次へ] をクリックします。
[ 今すぐ多要素認証を構成しますか? ] ページ で、[この証明書利用者信頼に対して多要素認証設定を指定しない] を選択し、[ 次へ] をクリックします。
[発行承認規則の選択] ページで、[すべてのユーザーにこの依存パーティへのアクセスを許可する] を選択し、[次へ] をクリックします。
[ 信頼の追加の準備完了 ] ページで、[ 次へ] をクリックします。
[ 要求規則の編集 ] ダイアログボックスで、[ 規則の追加] をクリックします。
[ 規則の種類の選択 ] ページで、[ カスタム規則を使用して要求を送信] を選択し、[ 次へ] をクリックします。
[ 要求規則の構成 ] ページの [ 要求規則名 ] ボックスに、「 すべての要求」と入力します。 [ カスタム規則 ] ボックスに、次の要求規則を入力します。
```
c:[ ]
=> issue(claim = c);
```
[ 完了]、[ OK] の順にクリックします。

手順 4: クライアントコンピューターを構成する (Client1)

別の仮想マシンを設定し、Windows 8.1 をインストールします。この仮想マシンは、他のマシンと同じ仮想ネットワーク上にある必要があります。このマシンを Contoso ドメインに参加させるべきではありません。

クライアントは、「手順 2: Device Registration Service を使用してフェデレーションサーバー (ADFS1) を構成する」で設定したフェデレーションサーバー (ADFS1) に使用される SSL 証明書を信頼する必要があります。また、証明書の証明書失効情報を検証できる必要があります。

また、Microsoft アカウントを設定して使用して Client1 にログオンする必要があります。

こちらもご覧ください

Active Directory フェデレーションサービス How-To ビデオシリーズ: AD FS サーバーファームのインストール Active Directory フェデレーションサービス How-To ビデオシリーズ: 証明書の更新 Active Directory フェデレーションサービス How-To ビデオシリーズ: 証明書利用者信頼の追加 Active Directory フェデレーションサービス How-To ビデオシリーズ: デバイス登録サービスの有効化 Active Directory フェデレーションサービス How-To ビデオシリーズ: Web アプリケーションプロキシのインストール

次の方法で共有

AD FS ラボ環境を設定する

手順 1: ドメイン コントローラー (DC1) を構成する

テスト Active Directory アカウントを作成する

GMSA アカウントを作成する

GMSA アカウントを作成するには

手順 2: Device Registration Service を使用してフェデレーション サーバー (ADFS1) を構成する

サーバー SSL 証明書をインストールする

AD FS サーバーの役割をインストールする

フェデレーション サービスの役割サービスをインストールするには

フェデレーション サーバーを構成する

フェデレーション サーバーを構成するには

デバイス登録サービスの構成

Windows Server 2012 RTM のデバイス登録サービスを構成するには

ホスト (A) およびエイリアス (CNAME) リソース レコードを DNS に追加する

フェデレーション サーバーの DNS にホスト (A) とエイリアス (CNAME) リソース レコードを追加するには

手順 3: Web サーバー (WebServ1) と要求ベースのサンプル アプリケーションを構成する