Active Directory Federation Serviceのインストール

Active Directory Federation Service

ADFSとよく略されます。
ADFSはActive Directoryの機能の一つであり、Active Directory上のユーザー情報で外部サービスを横断的に利用可能にするためのシングルサインオン機能を提供するサービスです。

外部（インターネット上）でホスティングされている様々なサービスとあらかじめ証明書の交換などの設定を済ませておくことで、Active Directoryにログインした時点で、そのサービスを利用できる状態にすることができます。
このような機能を一般的に、IDフェデレーションといい、ADFSではこのIDフェデレーション機能を適用するIDP(Identity Provider)として機能します。

ここでは、ADFSのインストールについてまとめます。
詳細な設定方法などは別途まとめたいと思います。

グループサービスアカウントを作成

グループ管理サービスアカウントはgMSAと呼ばれます。
ドメイン内の特定サーバーのみで利用可能なサービスアカウントになります。
gMSAを利用せずに、サービス用ユーザーを作成することでも構築できますが、パスワード管理が存在しない分セキュアな管理方法となります。

Powershellを起動し、下記コマンドを実行します。
このコマンドでは、KDSルートキーを生成します。

Add-KdsRootKey -EffectiveTime ((Get-Date).addhours(-10))

1	Add-KdsRootKey -EffectiveTime ((Get-Date).addhours(-10))

KDSルートキーが生成されたことを確認します。

Get-KdsRootKey

1	Get-KdsRootKey

続いて、gMSAを作成します。
この際、-DNSHostNameにこのサービスアカウントを利用するホスト名を指定します。

New-ADServiceAccount -Name 'adfs-service' -DNSHostName 'WIN-CI91DGA985J'

1	New-ADServiceAccount -Name 'adfs-service' -DNSHostName 'WIN-CI91DGA985J'

コンソールを見るとサービスアカウントが生成されていることが分かります。

SSL証明書の作成

下記コマンドでは、自己証明書を作成しています。
インターネットに公開する場合は、公的な認証機関から発行される証明書が望ましいです。
または、システム内の認証局が発行するものでも、構成することはできますが、クライアントマシンにCA証明書をインストールする手間が出てきます。
SubjectとDnsName、両方のプロパティを指定していますが、ADFSではDnsNameプロパティがないと組み込むことができないため、付与しています。

$params = @{
    Subject = 'adfs.vamdemic.local'
    DnsName = 'adfs.vamdemic.local'
    CertStoreLocation = 'cert:\LocalMachine\My'
    KeyAlgorithm = 'RSA'
    KeyLength = 2048
    KeyExportPolicy = 'Exportable'
    NotAfter = (Get-Date).AddYears(5)
}
$cert = New-SelfSignedCertificate @params
$cert