環境の準備

Cisco Directory Connector のシステム要件

Cisco Directory Connector は、サポートされている以下の Windows サーバにインストールできます。

Windows Server 2016
Windows Server 2012 R2
Windows Server 2012
Windows Server 2008 R2
Windows Server 2003

（注）

仮想マシンのログインの場合は、管理者アカウントの権限で少なくともドメイン情報が読み取れる必要があります。

Cisco Directory Connector は、Active Directory 2008、2008 R2、2012、および 2012 R2 と連携します。また、次の点に注意してください。

Cisco Directory Connector がインストールされているマシン上に .NET Framework v3.5 が必要です。何らかの問題が生じた場合は、「 Enable .NET Framework 3.5 by using the Add Roles and Features Wizard」の指示に従います。
TLS1.2 を有効にする必要がある場合は、.NET Framework v3.5（Cisco Directory Connector に必要）および .NET Framework v.4.5（TLS1.2 に必要）をインストールする必要があります。
Active Directory フォレストの機能レベル 2（Windows Server 2003）またはそれ以降が必要です。（詳細については、「What Are Active Directory Functional Levels?」を参照してください）

最小ハードウェア要件

Cisco Directory Connector は以下を備えたコンピュータが必要です。

8 GB の RAM
50 GB のストレージ
CPU の最小要件なし

Cisco Directory Connector の前提条件

ネットワークの要件

ネットワークがファイアウォールの背後にある場合は、システムが HTTPS（ポート 443）でインターネットにアクセスできることを確認します。

Cisco Spark 組織の設定

Cisco Directory Connector を実行する前に、ご利用のシングルサインオン環境と Cisco Spark を統合します。次に、メール通知を抑制し、新たに Cisco Spark に同期されたユーザが招待メールを受け取らないようにできます。
クラウドに同期するユーザのメールアドレスを含むドメインを追加、確認、申請します。新しい Cisco Spark ユーザアカウントをアクティブ状態で Cisco Spark Control Hub に表示するには、ドメインを確認して申請し、シングルサインオンを統合する必要があります。
10,000 人を超えるユーザの同期に Cisco Directory Connector を使用する場合は、Support Case Manager を使用して Cisco Spark のケースを開始し、自分の組織を大規模組織の一覧に追加する必要があります。この手順を実行しないと、同期されたユーザが Cisco Spark Control Hub に表示されません。

Cisco Directory Connector のインストール

Cisco Directory Connector と Active Directory Domain Service/Active Directory Lightweight Directory Services（AD DS/AD LDS）は別々のマシンにインストールすることをお勧めします。
Cisco Directory Connector をインストールしたマシンは、DNS が有効なオンプレミスのドメインに対して Cisco Directory Connector マシンを認証するのに、管理者アカウントが必要です。
ドメインが複数の場合は、各 Active Directory ドメインに Cisco Directory Connector を 1 つずつインストールするようにしてください。別の既存ドメイン（A）上に同期済みユーザのデータを保持しながら、新しいドメイン（B）を同期する場合は、サポートされている Windows サーバを別に用意してドメイン（B）の同期用の Directory Connector をインストールしてください。

AD LDS と Cisco Directory Connector

AD LDS と Directory Connector

エンタープライズディレクトリ対応アプリケーションは、データモデルの制約（LDAP パーティションビューが 1 つ、または部門（OU）ビューが 1 つ）を受けることがあります。このようなアプリケーションは、AD DS で認証するユーザ、アプリケーション、ネットワークリソースに関連付けられているデータにアクセスする必要があり、これらは企業内の複数のフォレスト、ドメイン、OU に配置されています。

この状況で AD LDS は、ユーザデータベースとさまざまな AD ドメインコントローラ、またはその他の LDAP ソースを同期するのに使用されます。このようなケースでは、Cisco Directory Connector をインストールするときに AD LDS の項目で [ドメインアカウント（Domain Account）] を選択します。

環境に複数のドメイン/フォレストがある場合は、AD LDS をセットアップして Cisco Directory Connector を親ドメインにバインドします。AD LDS は、Cisco Directory Connector に複数のドメイン/フォレストの統合ビューを提供します。

AD LDS について

Microsoft Active Directory Lightweight Directory Service（AD LDS）を使用して、ディレクトリ対応アプリケーションにディレクトリサービスを提供できます。ディレクトリ対応アプリケーションデータは、組織の Active Directory ドメインサービス（AD DS）データベースではなく、AD LDS を使用して格納できます。

AD LDS と AD DS を併用し、中央にセキュリティアカウントを格納し（AD DS）、それとは別の場所（AD LDS）にアプリケーション設定とディレクトリデータを格納できます。

AD LDS では、以下が可能になります。

AD のレプリケーションに伴うオーバーヘッドを軽減する。
アプリケーションをサポートするために AD スキーマを拡張する必要がなくなる。
ディレクトリ対応アプリケーションに対応する必要があるサーバに AD LDS サービスのみを展開するようにディレクトリ構造をパーティショニングする。

AD LDS を使用する必要がある 7 つのシナリオについては、「When Should I Use AD LDS Role?」を参照してください。

「AD LDS Getting Started Step-by-Step Guide」に従って、AD LDS 環境をセットアップできます。

Directory Connector での AD LDS の使用

Windows Server 2008 の Server Core インストールオプションと Itanium-Based システムの Windows Server 2008 では、利用できるサーバの役割が限られています。

始める前に

AD LDS の使用に関するドキュメントを確認します。

手順

ステップ 1	Windows Server 2008 を実行しているコンピュータに AD LDS サーバの役割をインストールするには、「Install the AD LDS Server Role」を参照します。
ステップ 2	AD LDS インスタンスを利用し始めるには、「Practice Working with AD LDS Instances」を参照してください。
ステップ 3	ファイルのデータを AD LDS インスタンスにインポートするには、「Import data into an AD LDS instance」を参照します。
ステップ 4	AD DS からインポートするには、「Synchronize with AD DS」を参照してください。
ステップ 5	AD LDS に複数のパーティションをセットアップしている場合は、必要なパーティションを 1 つ選択し、Cisco Directory Connector の [組織を確認（Confirm Organization）] ウィンドウで [確認（Confirm）] をクリックします。

Web プロキシの統合

Directory Connector と Web プロキシの統合

環境で Web プロキシ認証が有効な場合でも、Cisco Directory Connector を使用できます。

透過型 Web プロキシを使用する組織では、認証がサポートされません。Cisco Directory Connector は問題なく接続し、ユーザを同期します。

次のいずれかの方法で対処してください。

Internet Explorer から Explicit Web プロキシを使用する（Directory Connector は Web プロキシ設定を継承）
.pac ファイルから Explicit Web プロキシを使用する（Cisco Directory Connector は企業固有のプロキシ設定を継承する）
変更せずに Cisco Directory Connector で動作する透過型プロキシを使用する

ブラウザから Web プロキシを使用する

Internet Explorer から Web プロキシを使用するように、Cisco Directory Connector を設定できます。

Cisco DirSync サービスが現在サインインしているユーザとは異なるアカウントで実行されている場合は、このアカウントでもサインインして Web プロキシを設定する必要があります。

手順

ステップ 1

Internet Explorer から [インターネットオプション] に移動し、[接続] をクリックしてから [LAN の設定] を選択します。

ステップ 2

Web プロキシで、Cisco Directory Connector がインストールされている Windows インスタンスを指定します。Cisco Directory Connector は、これらの Web プロキシ設定を継承します。

ステップ 3

環境でプロキシ認証を使用している場合は、許可リストにこれらの URL を追加します。

cloudconnector.cisco.com（同期）
idbroker.webex.com（認証）

これは、サイト全体（すべてのホスト）で実行することも、Cisco Directory Connector のホストのみで実行することもできます。

（注）

URL を許可リストに追加して Web プロキシを完全にバイパスする場合は、ファイアウォールの ACL テーブルを更新し、それらの URL への直接アクセスを Cisco Directory Connector に許可してください。

PAC ファイルで Web プロキシを設定する

.pac ファイルを使用するようにクライアントブラウザを設定できます。このファイルは、Web プロキシのアドレスとポート情報を提供します。Cisco Directory Connector は、企業固有の Web プロキシ設定を直接継承します。

手順

ステップ 1

Cisco Directory Connector が問題なく接続されて、Cisco Spark および WebEx とユーザ情報を同期できるようにするには、Cisco Directory Connector がインストールされているホストに対して cloudconnector.cisco.com のプロキシ認証が .pac ファイルの設定で無効になっていることを確認します。

ステップ 2

環境でプロキシ認証を使用している場合は、許可リストにこれらの URL を追加します。

cloudconnector.cisco.com（同期）
idbroker.webex.com（認証）

これは、サイト全体（すべてのホスト）で実行することも、Cisco Directory Connector のホストのみで実行することもできます。

（注）

NTLM プロキシ

Cisco Directory Connector は、NT LAN Manager（NTLM）をサポートしています。NTLM は、ドメインデバイス間で Windows 認証をサポートし、セキュリティを確保する方法の 1 つです。

NTLM の設計

ほとんどの場合、ユーザはクライアント PC から別のワークステーションのリソースにアクセスしようとします。安全な方法で行うためのチャレンジが関連してきます。

一般的には、NTLM の技術的な設計は、「チャレンジ」と「レスポンス」のメカニズムに基づいています。

ユーザは Windows アカウントとパスワードを使用してクライアント PC にサインインします。パスワードはローカルに保存されません。ローカルには、プレーンテキストのパスワードではなく、パスワードのハッシュ値が保存されます。ユーザがパスワードを使ってクライアントにサインインすると、Windows OS は、格納されているハッシュ値と入力したパスワードのハッシュ値を比較します。両方が同じ場合、認証に合格します。

ユーザが別のサーバーのリソースにアクセスする場合、クライアントは、プレーンテキストのアカウント名を使用してサーバにリクエストを送信します。
サーバはリクエストを受け取ると、16 ビットのランダムキーを生成します。このキーは、チャレンジ（Nonce）キーと呼ばれます。サーバは、チャレンジをクライアントに送り返す前にいったん保存します。次にサーバは、クライアントにプレーンテキストでチャレンジを送信します。
クライアントは、サーバから送信されたチャレンジを受け取るとすぐに、手順 1 で説明したハッシュ値で暗号化します。暗号化した値は、サーバに送り返されます。
サーバは、暗号化された値をクライアントから受け取ると、確認のためにドメインコントローラに送信します。リクエストには、アカウント名、クライアントが送信した暗号化されたチャレンジ、元のプレーンテキストのチャレンジが含まれます。
ドメインコントローラは、アカウント名に従ってパスワードのハッシュ値を取得できます。次にドメインコントローラは、元のチャレンジに暗号化を実行できます。ドメインコントローラは、受け取ったハッシュ値と暗号化されたハッシュ値を比較できます。同じ場合、検証が成功します。

（注）

Windows は、オペレーティングシステムにセキュリティ認証が組み込まれているため、アプリケーションで簡単にセキュリティ認証をサポートできます。このため、さらに設定を完了する必要はありません。

透過型プロキシの設定

このシナリオでは、ブラウザは透過型 Web プロキシが http リクエスト（ポート 80/ポート 443）をインターセプトしていることを認識しません。また、クライアント側の設定は必要ありません。

手順

ステップ 1	透過型プロキシを導入し、Cisco Directory Connector がユーザを接続して同期できるようにします。
ステップ 2	Cisco Directory Connector の起動時に予期されたブラウザの認証ポップアップウィンドウが表示された場合に、プロキシが正しく設定されていることを確認します。

プロキシ認証の無効化

認証リクエストの処理にプロキシサーバを使用しない場合は、企業内でプロキシ認証を無効にできます。

Directory Connector へのプロキシ認証の設定

アクセスコントロールリストを作成し、許可リストに URL cloudconnector.cisco.com を追加します。

企業のファイアウォールサーバ上で以下を実行します。

手順

ステップ 1	有効になっていない場合は、DNS ルックアップを有効にします。
ステップ 2	この接続の予測帯域幅を判断します（Cisco Directory Connector：~ 2 mb/s またはそれ以下）。これは必須ではない場合があります。
ステップ 3	Cisco Directory Connector ホストに適用するアクセスコントロールリストを作成し、許可リストに追加するターゲットとして cloudconnector.cisco.com を指定します。次に例を示します。 `access-list 2000 acl-inside extended permit TCP [IP of the Directory Connector] cloudconnector.cisco.com eq https`
ステップ 4	この ACL を、この単一のホスト（Cisco Directory Connector）にのみ該当する適切なファイアウォールインターフェイスに適用します。
ステップ 5	企業内の他のホストは Web プロキシの使用が引き続き必須となるように、暗黙の deny ステートメントを適切に設定します。

ディレクトリコネクタ用導入ガイド

偏向のない言語

翻訳について

Book Title

ディレクトリコネクタ用導入ガイド

Chapter Title