オンプレミスドメインとの信頼の作成

このページでは、オンプレミスドメインと Managed Service for Microsoft Active Directory ドメインの間に信頼関係を作成する方法について説明します。この信頼は、一方向または双方向です。また、複数のフォレストにまたがることもあります。信頼をすでに設定している場合は、信頼を管理する方法をご覧ください。

Managed Microsoft AD はフォレスト信頼タイプをサポートしています。外部、レルム、ショートカットの信頼タイプはサポートしていません。

信頼の種類

信頼関係は一方向または双方向です。一方向の信頼とは、2 つのドメイン間に作成される単方向の認証パスです。このトピックでは、オンプレミスドメインは一方向の信頼の信頼されている側または受信側で、マネージド Microsoft AD ドメインはその関係の信頼する側または送信側です。双方向の信頼は、2 つのドメインの間に作成される双方向の認証パスです。信頼とアクセスは双方向に流れます。

始める前に

信頼を作成する前に、次の手順を行います。

オンプレミスドメインがサポートされているバージョンの Windows を実行していることを確認します。
オンプレミスドメインに適用される DNS サーバーの IP アドレスを収集します。

ネットワーク接続を確立する

オンプレミスネットワークと Google Cloud Virtual Private Cloud（VPC）の間のネットワーク接続を確立してから、2 つのネットワークが通信できることを確認します。Cloud VPN 接続の識別と確立の詳細については、Cloud VPN の概要をご覧ください。

開放するファイアウォールポート

オンプレミスネットワークと Google Cloud VPC の入力 / 出力ポートを構成して、Active Directory 信頼接続を許可します。

次の表は、信頼を確立するために必要な最小限のポートのセットを示しています。シナリオによっては、さらに多くのポートを構成する必要がある場合があります。詳細については、Microsoft の Active Directory および Active Directory ドメインサービスのポート要件をご覧ください。

オンプレミスネットワークファイアウォールポートを開く

VPC ネットワークとマネージド Microsoft AD ネットワークで使用される CIDR IP ブロックに対して、オンプレミスファイアウォールの次の表にリストされているポートを開きます。

プロトコル	ポート	機能
TCP、UDP	53	DNS
TCP、UDP	88	Kerberos
TCP、UDP	464	Kerberos パスワードの変更
TCP	135	RPC
TCP	49152-65535	RPC
TCP、UDP	389	LDAP
TCP、UDP	445	SMB

VPC ネットワークファイアウォールポートを開く

オンプレミスネットワークで使用される CIDR IP ブロックに対して、VPC ネットワークファイアウォールの次の表にリストされているポートを開きます。

プロトコル	ポート	機能
TCP、UDP	53	DNS

DNS 条件付きフォワーダーを構成する

ファイアウォールポートを開いたら、DNS 条件付きフォワーダーを構成します。これらの設定により、解決できない要求を別の DNS サーバーに転送するためのヒントを取得できます。

受信転送ポリシーを確認する

VPC の Cloud DNS 受信転送ポリシーを作成する前に、ポリシーが存在するかどうかを確認してください。

Google Cloud コンソールで Cloud DNS サーバーポリシーのページを開きます。
[Cloud DNS] ページを開く
[受信] 列が [オン] に設定されているリストでポリシーを探します。ドメインで使用されている VPC ネットワークは、[使用中] 列のプルダウンに一覧表示されています。

有効な既存のポリシーが見つかった場合は、DNS IP アドレスを取得するにスキップできます。

受信転送ポリシーを作成する

受信転送ポリシーを作成するには、次の手順を行います。

Google Cloud コンソールで Cloud DNS サーバーポリシーのページを開きます。
[Cloud DNS] ページを開く
[ポリシーを作成] を選択します。
[名前] を入力します。
[受信クエリ転送] を [オン] に設定します。
[ネットワーク] メニューからドメインの VPC ネットワークを選択します。
[作成] を選択します。

DNS IP アドレスを取得する

受信転送ポリシーを作成したら、マネージド Microsoft AD ドメインの DNS IP アドレスを取得します。新しい Cloud DNS ポリシーを作成したばかりの場合、IP アドレスはまだ表示されていない可能性があります。この場合、数分待ってから再試行してください。

Google Cloud コンソールで Cloud DNS サーバーポリシーのページを開きます。
[Cloud DNS] ページを開く
リストからポリシーを選択し、[使用中] タブを選択します。
オンプレミスドメインで構成する必要のあるマネージド Microsoft AD ドメインの DNS IP アドレスをメモしておきます。これらのアドレスは、マネージド Microsoft AD ドメインで信頼を確立するために必要です。

これらの IP アドレスを含む CIDR ブロックがオンプレミスネットワークファイアウォールで構成されていることを確認してください。

DNS 条件付きフォワーダーを作成する

オンプレミスドメインで DNS 条件付きフォワーダーを構成するには、マネージド Microsoft AD ドメインの DNS IP アドレスを使用して、次の手順を行います。

オンプレミスドメインのドメインまたはエンタープライズ管理者アカウントで、オンプレミスドメインコントローラーにログインします。
DNS Manager を開きます。
信頼を構成するドメインの DNS サーバーをデプロイします。
[Conditional Forwarders] を右クリックして、[New conditional forwarder] を選択します。
DNS ドメインの場合は、マネージド Microsoft AD ドメインの FQDN を入力します（たとえば、ad.example.com）。
In theマスターサーバーの IP アドレスフィールドに、DNS IP アドレスを取得するの手順で先ほどメモした Managed Microsoft AD ドメインの DNS IP アドレスを入力します。
[Server FQDN] フィールドにエラーが表示された場合、無視します。
[Store this conditional forwarder in Active Directory] を選択し、プルダウンメニューから [All DNS servers in this domain] を選択します。
[OK] を選択します。

DNS 条件付きフォワーダーを確認する

nslookup または Resolve-DnsName PowerShell コマンドレットを使用して、フォワーダーが正しく構成されていることを確認できます。次のコマンドを実行します。

nslookup FQDN

FQDN を、Managed Microsoft AD ドメインの完全修飾ドメイン名に置き換えます。

DNS 条件付きフォワーダーが正しく構成されている場合、このコマンドはドメインコントローラーの IP アドレスを返します。

オンプレミスドメインのローカルセキュリティポリシーを確認する

信頼を作成するには、オンプレミスドメインのローカルセキュリティポリシーで、netlogon、samr、lsarpc の名前付きパイプへの匿名アクセスが許可されている必要があります。匿名アクセスが有効になっていることを確認するには、次の手順を行います。

オンプレミスドメインのドメインまたはエンタープライズ管理者アカウントで、オンプレミスドメインコントローラーにログインします。
ローカルセキュリティポリシーコンソールを開きます。
コンソールで、[Security Settings] > [Local Policies] > [Security Options] > [Network access: Named Pipes that can be accessed anonymously] の順に進みます。
netlogon、samr、および lsarpc への匿名アクセスが有効になっていることを確認します。これらは、カンマで区切るのではなく、別々の行に指定する必要があります。

信頼を設定する

ネットワークを構成した後、オンプレミスドメインとマネージド Microsoft AD ドメインの間に信頼を作成できます。

オンプレミスドメインを構成する

オンプレミスドメインで信頼を確立するには、次の手順を行います。

ドメインまたはエンタープライズの管理者アカウントを使用して、オンプレミスのドメインコントローラーにログインします。
[Active Directory Domains and Trusts] を開きます。
ドメインを右クリックして、[プロパティ] を選択します。
[信頼] タブで、新しい信頼を選択します。
新しい信頼ウィザードで [次へ] を選択します。
マネージド Microsoft AD ドメインの FQDN を信頼名として入力します。
[Finish] で、[Forest trust] を選択します。
[Direction of Trust] を設定します。
- 一方向の信頼を作成するには、[One-way incoming] を選択します。
- 双方向の信頼を作成するには、[Two-way] を選択します。
[Sides of Trust] で、[This domain only] を選択します。
[Outgoing Trust Authentication Level] で、[Forest-wide authentication] を選択します。
[Trust Password] を入力します。

このパスワードは、Managed Microsoft AD ドメインで信頼を構成するために必要です。
信頼設定を確認して、[次へ] を選択します。
[Trust Creation Complete] ウィンドウが表示されます。
[No, do not confirm the outgoing trust] を選択して、[次へ] を選択します。
[No, do not confirm the incoming trust] を選択して、[次へ] を選択します。
[Completing the New Trust Wizard] ダイアログで、[Finish] を選択します。
信頼の名前サフィックスルーティングを更新します。

Managed Microsoft AD ドメインを構成する

マネージド Microsoft AD ドメインで信頼を確立するには、次の手順を行います。

コンソール

Google Cloud コンソールで [マネージド Microsoft AD] ページを開きます。
[マネージド Microsoft AD] ページを開く
信頼を作成するドメインを選択して、[信頼を作成] を選択します。
[信頼の種類]を [フォレスト] に設定します。
[ターゲットドメイン名] には、オンプレミスドメインの FQDN を入力します。
[信頼の方向] を設定します。
- 一方向の信頼を作成するには、[Outbound] を選択します。
- 双方向の信頼を作成するには、[Bidirectional] を選択します。
オンプレミスドメインで信頼を構成するときに作成した信頼パスワードを入力します。
[DNS Conditional Forwarder IPs] には、以前に収集したオンプレミス DNS IP アドレスを入力します。
[信頼関係を作成] を選択します。
ドメインページに戻ります。新しい信頼が [作成中] と表示されます。状態が [接続済み] になるまで待ちます。セットアップが完了するまでに最大 10 分かかることがあります。

gcloud

一方向の信頼を作成するには、次の gcloud CLI コマンドを実行します。

gcloud active-directory domains trusts create DOMAIN \
    --target-dns-ip-addresses=TARGET_DNS_IP_ADDRESSES \
    --target-domain-name=TARGET_DOMAIN_NAME \
    --direction=OUTBOUND

次のように置き換えます。

DOMAIN: マネージド Microsoft AD ドメインの FQDN。
TARGET_DNS_IP_ADDRESSES: 以前に収集したオンプレミス DNS IP アドレス。
TARGET_DOMAIN_NAME: オンプレミスドメインの FQDN。

双方向の信頼を作成するには、次の gcloud CLI コマンドを実行します。

gcloud active-directory domains trusts create DOMAIN \
    --target-dns-ip-addresses=TARGET_DNS_IP_ADDRESSES \
    --target-domain-name=TARGET_DOMAIN_NAME \
    --direction=BIDIRECTIONAL

詳細については、create コマンドをご覧ください。

双方向の信頼を検証する

マネージド Microsoft AD ドメインに双方向の信頼を構成したら、オンプレミスドメインから送信の信頼を検証する必要があります。一方向の信頼性を作成する場合は、この手順をスキップできます。

送信の信頼を検証するには、次の手順を行います。

ドメインまたはエンタープライズの管理者アカウントを使用して、オンプレミスのドメインコントローラーにログインします。
[Active Directory Domains and Trusts] を開きます。
ドメインを右クリックして、[プロパティ] を選択します。
[信頼] タブで、マネージド Microsoft AD ドメインに対する送信の信頼を選択します。
[プロパティ] をクリックします。
[全般] タブで [検証] を選択します。

トラブルシューティング

信頼の作成中に問題が発生した場合は、トラブルシューティングのヒントを試すことができます。

次のステップ

信頼を管理する方法を学ぶ。
信頼へのアクセスに関するトラブルシューティングを確認する。