Microsoft 認定トレーナー(IT Pro) & MVP for Office Servers and Services です。Microsoft 製品技術に関する役立つ情報をお伝えしていきます。
先月行われた Microsoft de:code 2017 の登壇資料と動画が公開されました。
こちらになります。
今回は認証基盤をAzure ADで一本化するとどんなメリットがあるのか？ということを主体にお話ししています。
登壇の後、この構成を検討しているという企業の方からご相談もいただきました。その企業では社内 (オンプレ) にはファイルサーバーと Active Directory 環境のみだそうです。また Office 365 などの SaaS をご利用されているとのこと。
徐々にこういう構成を検討される企業は増えているようですね。
お知らせです。
2017年5月23-24日に開催されるMicrosoft 大型イベントであるde:code 2017 にSecurity トラックにて登壇させていただきます。
私は以下の登壇をいたします。
Active Directory を中心としたアイデンティティ プロバイダはオンプレミスからハイブリッドやクラウドまで様々な構成が実現され飛躍的な進化を遂げています。
多様化する選択肢のなかからどれを選択しどのように設計すべきなのか?
Windows Server 2016 の認証新機能から Azure AD、Azure Active Directory Domain Services まで、それぞれの特徴を理解し企業にとっての Best Practice を見極めましょう!
Securityトラックは16セッション用意されており、個性豊かな面々が非常に濃いお話しをいたします。
お申込みは今週末で締め切りのようです。
検討中のかたはお早めに…
開発者向け、インフラエンジニア向けのおすすめセッション情報はこちら
資料は後日公開されるようです。
参加されていないかたもPDFで参照できるはずですので、アップされましたらまたお知らせいたします。
2020年は東京オリンピック開催の年なのですが、ITの世界でも色々なことが起こるようです。
Microsoftの製品では、以下の製品が延長サポート期限が終了になります。
これらの製品の組み合わせって多いですよね。お客様先でもWindows 7をよく見かけます。ADもWindows Server 2008 R2で動いてたりして。
そして、先日こんな発表がありました。
Office 365 のシステム要件が変わります。
2020年10月13日までの Office 365 システム要件
Office 365 は、最新のブラウザーと最新バージョンの Office (Office 365 ProPlus およびメインストリームサポートフェーズの Office) で動作します
延長サポートフェーズの Office からも接続はできますが、パフォーマンスは徐々に低下します
2020年10月13日移行のOffice 365 システム要件
Office 365 は Office 365 ProPlus およびメインストリームサポートフェーズの Office からのみ接続できます （推奨は Office 365 ProPlus）
延長サポートフェーズの Office からの接続はできません
システム要件変更には以下のような要因があったようです。
＜参照＞
Office 365 Blog
2020年だからまだまだ先…と思っていませんか？
Windows 7 やWindows Server 2008 / R2をご利用の場合はそちらの移行対応もありますよ
スムーズな移行を行うために移行計画を早めに立てましょう
Stuff HubとMicrosoft Bookingsは、順次テナントに配信されておりますが「先行リリース」をオンにしておくと、配信が早くなります。（Stuff Hub はまだパブリックプレビューのようです）
さて、これら2つのサービスですが、どちらも「予定、スケジュール」を管理することができます。
それぞれの特徴を比べてみたいと思います。
Stuff Hub：Office 365 K1、Enterprise E1/E3/E5
Microsoft Bookings：Office 365 Business Premium
Stuff Hub
Stuff Hub：現在は以下のURLから利用します。Teams もそうだったように、じきにメニュー画面に登場すると思います。
https://staffhub.ms/
Office 365アカウントでサインインを行います（事前にライセンスは割り振っておいてください）
「チーム」、「スケジュール」、「ファイル」の3つのタブが確認できます。
ここからスケジュール（シフト）管理するメンバーを招待していきます。利用ユーザーも前述のライセンスが必要になります。
ここではチームメンバーとのファイル共有が可能です。マニュアルなど共有しておけますね。
スタッフメンバーのシフト管理が可能です。
公開されたスケジュールはモバイルアプリからも確認できます。メンバー同士でシフトの確認、交換なども可能です。
Stuff Hubについては、利用者全員にライセンスが必要なことから、文字通りスタッフ間でのスケジュール管理という位置づけになります。
Microsoft Bookings
こちらはOffice 365 メニューから起動することができます。
最初にセッティング画面が表示され、次へ進むとメイン画面が表示されます。
Microsoft Bookingsは、「病院や美容院など店舗（施設）の担当者に対して予約を取る」という考え方です。
なので、予約をとる顧客側は不特定多数であり、Office 365 ライセンスは必要ありません。
顧客はWeb、あるいはモバイルデバイスから公開されたWebページを利用して担当者に対して予約を入れます。
予約をすると入力したメールアドレスに確認メールや予約日近くにリマインダも送信されます。
そのメールからスケジュール変更やキャンセル画面へのリンクボタンがついてきます。
すでに予約された日時は選択画面に表示されなくなるのでダブルブッキングを防げぐことができます。
※ Microsoft Bookingsは、「担当者に対する予約」という考え方なので、「20人まで受け付け可能」という人数による制御は現時点では不可能です。（担当者を20人分登録しておく・・というやり方ならば可能ですが）
管理画面からは、予約時間間隔（30分、15分など）や担当者の登録、FaceBookやTwitterと連携し、予約ボタンを表示させるなどの設定が可能です。また、予約不可能時間や担当者の休暇なども設定できます。
顧客同士はだれがどの時間を予約しているかは確認できないので、プライバシーも保たれます。
どちらもUIからの簡単な操作ですぐに利用できます。
試用版からもご利用できますので、ぜひお試しください。
最近、Office 365をご利用のお客様がAzure Information Protection(以下、AIP）をご契約されることが増えてきています。
あるOffice 365をご契約のお客様がAIPをご検討されており、以下のようなご質問をいただいました。
「社員に社外へメールを送るときには暗号化をするように言ってもきっと忘れちゃうんだよね‥。メール送るときに自動で暗号化させたいんだけど」
自動暗号化というキーワードでAIPの機能を見ていると実装不可能？と思いがちなのですが、今回のようにOffice 365(Exchange Online）をご利用いただいていれば実現可能なんです。
必要なライセンス：Exchange Online およびAIP P1
最初に行う設定：AIPの有効化のため以下のPowerShellを実行します。
[メールフロー]-[ルールの新規作成]で新しいルールを作成します。「メッセージのセキュリティを変更する」からメッセージの暗号化を選択できます。
また、どのようなときに暗号化するかという設定も状況に応じて選択できます。
管理者が設定さえしておけば、社員は無意識に暗号化されたメールを送信することができます。
送信先のメールアドレスはとくに選ぶことがないので、安心ですね。
では送信者にはどのように届くかというと、暗号化されているというメッセージとともにHTMLファイルが添付されたメールが届きます。
HTMLファイルをクリックすると、マイクロソフトアカウントでサインインする画面が表示されます。もしマイクロソフトアカウントがなく、作成したくない場合にはワンタイムパスコードでの利用も可能です。
これなら送信された側もユーザーも大きな負担はかかりませんね。
Office 365 同様、AIPも試用版の利用が可能ですので、ぜひお試しください。
本日マイクロソフトで行われた「Power BI 勉強会＃３」でLT登壇しました。
なかなかの盛況ぶりでキャンセル待ちも出ていました。Power BI 人気が高まっていますね。ほぼ定期的に実施されておりますので興味ある方はぜひ次回ご参加ください。
本日の登壇資料は以下でご覧いただけます。
SlideShare：「Power BIの共有」
先日、新バージョン（Ver 1.3.155.2） がリリースされました。
https://docs.microsoft.com/en-us/information-protection/rms-client/client-version-release-history#version-131552
いつものようにMicrosoft Download Centerよりダウンロード可能です。
※こちらをインストールするには.NET Framework 4.5.2 以上が事前にインストールされている必要がありますのでご注意下さい。
エクスプローラーから右クリックで暗号化できたりとか、ラベルを使用した場合のログを残せたりとか。UIも若干変わりましたね。
利用イメージです。
暗号化したいファイルをエクスプローラーから右クリック。
編集画面がひらきます。
適用ボタンをクリックすると完了です。
また、Sharepoint Online サイト上から暗号化されたPDFをAIPビューアーでそのまま閲覧することもできます。
Sharepointサイト上の暗号化されたPDFファイルを [保存] -[ファイルを開く]をクリックします。
AIPビューアーが起動します。
それ以外では、PowerShellにてローカルやネットワーク共有されたファイルを暗号化するモジュールをRMSProtectionモジュールとして提供されたりとかですね。
ドキュメントの暗号化としてAIPの認知度が広まってきていますね。ぜひお試しください。
最近お客様より以下の様なご質問をいただくことがありました。
「RMSで暗号化されたファイルを解読するのは常にオンラインである必要があるか？」
ということです。
通常、相手が解読できる相手かどうか認証するためにオンラインである必要がありますが、テンプレートを利用すると指定した日数についてはオフラインでの解読が可能となります。
指定された日数の間は資格情報がキャッシュされた状態が保たれるわけですね。
以下、手順です。
事前にOffice 365管理画面で、Rights Managementを有効化しておきましょう。
※Office 365 管理画面でのActive化とともにPowerShellの実行が必要です。
設定ーアプリーMicrosoft Azure Information Protection ーMicrosoft Azure Information Protection の設定の管理から行います。
Azure クラシックポータルにて該当ディレクトリを選択し、[RIGHTS MANAGEMENT] を選択します。
[管理]ー[新しい権利ポリシーテンプレートを作成する]にてテンプレートを作成します。
[権利テンプレートの管理] より作成したテンプレートを選択し、[ユーザーおよびグループの権限の構成]にて[作業の開始]をクリックします。
[構成]タブをクリックし、[オフライン] – [インターネットに接続せずにコンテンツを利用できる日数]をチェックし、日数を入力します。
[状態]から[発行] をクリックし、[保存]をクリックします。
[権限]タブよりユーザーに該当する権限を付与します。今回はすべての権限（共同所有者の権限を付与しました）
[スコープ]タブより該当するユーザーを追加します。
有効化・反映されるまで数分～数時間かかることもありますので気長にまちましょう。メールを作成する際に作ったテンプレートを指定します。
テンプレートを利用したカスタマイズ、ぜひお試しください。
ずいぶん前から、Office 365のアクセス場所について「社内からのみアクセスさせたい」、「社外からのアクセスを制限したい」などご要望を耳にしていました。現在は3つの方法から選択することができます。
これらの制御を実現する方法として従来までだと、ADFSによる実装が代表的でした。利用状況により懸念（ADFSで認証・認可された状態で外出時など）はありますが…。
また、昨年秋ごろからAzureAD側で実装することも可能になっています。（※現在プレビュー）Azure AD から該当ディレクトリを選択し、[構成] 画面をスクロールしていくと「組織のパブリックipアドレス範囲」項目が表示されます。こちらに利用を許可する場所からのパブリックIPを登録します。
外部からのアクセス制御したいサービスに「OneDrive for Business」やSharepoint」があげられます。
現在プレビュー段階（※2017年1月中にGA予定。）ですが、OneDrive for Businessに管理画面ができました。先行リリースを有効にしていると、Onedriveの画面メニューに「OneDrive 管理者プレビュー」というリンクが表示されます。表示されなかった場合は以下のリンクからご利用ください。（テナントにより表示されない可能性もあります）
https://admin.onedrive.com/
管理者プレビュー画面より「デバイスアクセス」をクリックします。「ネットワークの場所に基づいてアクセスを制限する」項目が表示されます。
チェックボックスにチェックをいれるとIPを登録する画面が表示されます。そこへアクセスを許可する場所のパブリックIPを登録します。
登録された場所以外からのアクセスは拒否されることが確認できます。
選択肢が増え柔軟に対応できるようになってきましたが、以下のような注意事項もありますので、自社の状況を考慮し適切な選択をする必要がありそうです。
●アクセスの許可/拒否はテナント単位です。
●現在はIPによるアクセスを許可されていない場合は、管理画面へのアクセスも不可能です。
※現在プレビューのため、GAされた際には仕様やUIなど変更されている可能性もあります。ご了承ください。
前回の投稿で、IntuneとLookOutの連携を行うためにLookOutのサポートへ連絡をしました。2営業日後、無事にLookOutのMTPへアクセスが可能になったというメールが届きました。
早速以下のURLへアクセスしLookOutの設定を行います。
ディレクトリへのアクセス許可を促すページが表示されます。【承諾】をクリックします。
すると、このようなLookout MTP ダッシュボード画面が表示されます。
ポリシーのカスタマイズも可能です。
システムメニューから「コネクタ」タブへ移動します。「コネクタを設定」画面で、[コネクタを追加]をクリックし、[Intune] を選択します。
「コネクタを設定」画面で、[コネクタを作成]をクリックします。
[変更を保存]メッセージが表示されたら、[閉じる] ボタンから画面を閉じます。コネクタが接続は完了です。Intune管理画面から[Lookoutの状態]メニューが利用できることが確認できます。
今回はAndroidデバイスへ展開してみます。左メニューから[アプリ] – [アプリの追加]をクリックします。「セキュリティ警告」「画面が表示されたら[続行]をクリックします。ソフトウェアパブリッシャー画面にサインインします。
「開始する前に」画面で[次へ]をクリックします。「ソフトウェアセットアップ」画面で[外部リンク]を選択し、URLを入力し[次へ]をクリックします。
名前に[Lookout for work]、発行元、説明を適宜入力し、カテゴリで[コンピューターの管理]を選択し、[次へ]をクリックします。
概要画面で表示された内容を確認し[アップロード]をクリックします。「Microsoft Intune にデータが正常にアップロードされました」画面で、[閉じる]をクリックします。Intuneの管理コンソールでアップロードしたアプリが表示されていることが確認できます。
表示されたリストを右クリックし、[展開の管理]をクリックします。展開するグループを選択し[次へ]をクリックします。承認欄で[利用可能なインストール]あるいは[必須のインストール]を選択し、[完了]をクリックします。
Intune管理コンソール左メニューから[ポリシー]を選択し、コンプライアンスポリシーを作成します。「デバイスの脅威保護」欄で、「デバイス脅威保護を有効にする」を有効にし、[許容される最大脅威レベル]を高、中、低から選択し[ポリシーの保存]をクリックします。
「条件つきアクセス」ポリシーよりLookoutからマルウェアが検出されたデバイスに対し適応させるポリシーを設定します。
会社から配布したモバイルデバイスに対し、感染状況を把握し社内リソースを守ることが可能になりました。
現在は、Lookout側の設定画面を利用するにはメールによるやり取りが必要となるため、若干のタイムラグが発生することを考慮する必要があります。