【無料セミナー】今さら聞けないActive Directoryドメインサービス

2017年8月4日(金)「今さら聞けないActive Directoryドメインサービス入門」というタイトルで無料セミナーを開催しました。

その時のスライドを公開します。

この無料セミナーは、同じテーマで何度か開催しており、そのたびに若干の修正を加えています。そのため似たようなスライドが公開されていますが、リンクされている可能性もあるので、すべてそのまま残しています。

ややこしいですがご了承ください。

Windows Server 2016 Active Directoryドメインサービス入門 from Global Knowledge Network Japan, Ltd.

【無料セミナー】初めてのPowerShell

7月21日(金)に、無料セミナー「初めてのPowerShell」を開催しました。

暑い中、多くの方にお越しいただき、ありがとうございました。

この時に使用したスライドを共有します。

20170721 初めてのPowerShell

マイクロソフトMVPアワード～アワードキット到着～

「マイクロソフトMVPアワード(日本最多15回目)」でお伝えしたとおり、今年もMicrosoft MVPに認定されました。

恒例のアワードキットが到着したので披露します。

それほど多くない、このブログのPVもMVP認定に貢献してるみたいです。

• 盾、というか賞状(今年はCEOサティアさんのサイン入り)
• トロフィー(?)、通称「鈍器」に付けるリング
• ホログラムシール大小各1(今年から)
• ピンバッジ(今年はマグネットで止めるタイプ、落としそう)
• ネームカード

トロフィー(?)に付けたところ。

毎年思うのですが、このリングの加工精度はもうちょっと何とかならんのか。

ちなみに、この写真、タブレットで撮りました。スマホとかタブレットでこの種の写真を撮ると、斜め上から構えることになって歪むので、上下逆にして、レンズを床に付けるようにすると割とうまく撮れます。

そいいうわけで、今年もどうぞよろしくお願いします。

マイクロソフトMVPアワード(日本最多15回目)

マイクロソフトMVPアワードを再受賞しました。今回で15回目です。15回連続受賞は、日本で2人いて、そのうち1人が私ですので、大変名誉なことです。

※当初「13回目」と書いてましたが、2003年から途切れていないので、15回目のはず。

Microsoft MVPはカテゴリ別の受賞で、私はずっとDirectory Services (Active Directory) または後継のEnterprise Mobilityでした。1回だけ「Virtual Machines」という年があったんですが、12回のうちの1回です。

今回は、Cloud Datacenter Managementで受賞ということで、少しActive Directoryから離れます。

ここ数年はAzureに注力したり、Bluemix Infrastructure (旧称SoftLayer) を担当したり、クラウドの仕事が増えてきたので、そのあたりが評価されたのだと思います。

今日は、3人組アイドルユニット「まなみのりさ」が活動再開というニュースも流れて来てきたり、シンガーソングライター宮崎奈穂子さんが東京マラソンのチャリティ枠で出場が決定したり、いろいろ嬉しいお知らせがありました。

そして、もう1つ、夏のコミックマーケット(夏コミ)に、猫写真サークル「まぐにゃむフォト」として出展します。こちらもよろしくお願いします。

ちなみに、コミケのWebカタログはMicrosoft Azureで動作しています。年に2回、数万サークルを数十万人がアクセスするという負荷変動の激しいサイトです。

Azureポイント対サイトVPN用証明書のハッシュ関数

Microsoft Azureでは「ポイント対サイトVPN」を構成することで、特定のPCからAzureの仮想ネットワークにVPN接続を行うことができます。

この時使われるのが「SSTP (Secure Socket Tunneling Protocol)」で、HTTPSを使った接続を行います。

「Microsoft AzureによるITインフラの拡張」では、ポイント対サイトVPNを構成する演習を行いますが、先日接続ができませんでした。

どうやら、使った証明書に問題があったようです。

演習で使う証明書は、ハッシュ関数としてSHA-1を使っています。しかし、SHA-1は理論的な脆弱性が指摘されていました。2017年2月には実際の攻撃実験も成功しています。

しかし、演習ではセキュリティリスクのあるSHA-1を使い続けていました。演習で使う仮想マシンや仮想ネットワークはその日中に削除しますし、仮想マシンにはサンプルのWebサイトしか存在しないため、問題にはならないと考えていたからです。

しかし、Azure側がSHA-1の受け入れを停止したようです。

この問題を解決するには、SHA-2などSHA-1よりも強力なハッシュ関数を使って証明書の再作成を行います。

テキストでは、マイクロソフトがWindows SDKとともに配布しているmakecert.exeを使った例を紹介してます。そこで指定している「sha1」というパラメーターを「sha256」に変更してください。

【自己署名ルート証明書】
makecert -sky exchange -r -n "CN=G20K-Root" -pe -a sha256 -len 2048 -ss My "C:\G20K-Root.cer"

【クライアント証明書】
makecert -n "CN=G20K-Client" -pe -sky exchange -m 96 -ss My -in "G20K-Root" -is my -a sha256

自己署名証明書は、PowerShellの「New-SelfSignedCertificate」でも構成できます。こちらの方が少し複雑なように見えますが、Windows SDKのインストールが不要なので、むしろ簡単かもしれません。

詳しくは「PowerShell を使用したポイント対サイト接続の証明書の生成とエクスポート」をお読みください。

仮想マシンの利用料金の試算(AWS、Azure、Bluemix)【追記】さくらインターネットの場合

パブリッククラウドで最も高価なサービスは、やはり仮想マシンでしょう。

クラウド各社の仮想マシン(またはベアメタルサーバー)の利用料金を試算してみました。Azureは1分単位、AWSやBluemix Infrastructureは1時間単位の課金ですが、今回は比較を簡単にするため1ヶ月の課金にそろえました。

AWSはいつも「安い」と言われますが、安いのはネットワークとストレージであって、仮想マシンはそれほど安くないことが分かります。ただし、仮想マシンには豊富な割引オプションがあるため、運用によってはかなりコストを削減できます。

逆に「高い」と言われるBluemix Infrastructureが案外安くなっています。Bluemix Infrastructureが高価なのはネットワーク機器などのアプライアンス製品なので、単純にサーバーを構築するだけだったらそれほど高価ではないことが分かります。

ただし、Bluemix Infrastructureは可用性に関する考え方が違うので、サービスレベルを他社と同列に扱うことはできません。

【仮想マシン要件】

• サーバー…4コア、8GBメモリ
• ディスク…128GBシステムディスク + 1TBデータディスク (1,000 IOPS)
• ネットワーク…月間500GBのアウトバウンド通信
• データセンター…東京(東日本)
• OS…Windows Server 2016 Standard (AzureはDatacenter)

【計算資料】

各社のサーバー性能は以下の通りです。ここでは、これらのパラメータを考慮せずに計算します。なお、AWSとAzureの性能あたりコストはほぼ同等というベンチマーク結果があります。

• AWS…ECU (EC2 Compute Unit): 2007年OpteronまたはXeon(1～1.2GHz)相当
  参考: Amazon EC2 料金
• Azure…ACU (Azure Computing Unit)
  参考: Azure コンピューティング ユニット (ACU)
• 1 ACU = 1 ECU × 46 と仮定(Azure と AWS のインスタンス性能比較)

【AWSでの試算】

1ヶ月744時間として、以下の構成で$531/月、6万円/月くらいでしょうか。ただし、AWSには豊富な割引オプションがあり、仮想マシンは最大75%の割引があります。

なお、AWSの汎用SSDは10.000 IOPSを実現できるので、汎用SSDで計算しました。

• サーバー: $324…c4.xlargeサイズ(4コア、7.5GBメモリ)
• システムディスク: $15...汎用SSD($0.12/GB) × 128GB
• データディスク: $122…汎用SSD($0.12/GB) × 1024GB
• アウトバウンド通信:$70…0.14/GB×499GB(無料枠は1GB)

c4.xlargeサイズは16 ECUなので、コアあたり4 ECUとなります。Azureの場合はコアあたり210～250ACUなので、4×46=186ACUのCPUとほぼ同等の速度と考えられます。

【Azureでの試算】

1ヶ月744時間として、以下の構成で41,463円/月になります。Azureのハードディスクは500IOPSなので、2台構成のRAID-0で1,000IOPSを実現します。

• サーバー: 33,087円…F4サイズ(4コア、8GBメモリ)
• システムディスク: 300円...128GB管理ディスク(S10)
• データディスク: 1,109円…512GB管理ディスク(S20)× 2
• アウトバウンド通信:6,967円…14.08/GB×495GB(無料枠は5GB)

SSDにすると以下のようになり、58,222円に上がります。なお、SSDは高速なのでシングルディスクで構成しました。

• サーバー: 33,087円…Fs4サイズ(4コア、8GBメモリ)
• システムディスク: 2,312円...128GB管理ディスク(P10)
• データディスク: 15,854円…1024GB管理ディスク(P30)
• アウトバウンド通信:6,967円…14.08/GB×495GB(無料枠は5GB)

F/FSシリーズはコアあたり210～250ACUなので、c4.xlargeの186よりも少し速くなります。

【Bluemix Infrastructureでの試算:仮想マシン】

以下の構成で$299.02/月、34,000円くらいでしょうか。

• サーバー:$68…4コア(2 GHz)パブリック仮想マシン
• メモリ: $86…8GBメモリ
• システムディスク: $4.52...100GB SATA
• データディスク: $64…500GB SAN × 2
• OS: $50…Windows Server 2016 Standard
• パブリックIPアドレス: $4…4個
• アウトバウンド通信:$22.5…$0.09/GB×250GB(仮想マシンの無料枠は250GB)

【Bluemix Infrastructureでの試算:ベアメタルサーバー】

以下の構成で$492/月、55,000円くらいでしょうか。

• サーバー:$153…Intel Xeon E3-1270v3 4 コア(3.50 GHz)
• メモリ: $86…8GBメモリ
• システムディスク: $27...1TB SATA
• データディスク: $186…960GB SSD(最小構成)
• OS: $36…Windows Server 2016 Standard
• パブリックIPアドレス: $4…4個
• アウトバウンド通信: $0…月額課金ベアメタルサーバーは500GBまで無料

追記【さくらインターネットでの試算:ベアメタルサーバー】

では、ここでホスティング事業者として有名な「さくらインターネット」のサーバーで試算してみましょう。さくらインターネットでは仮想マシンやクラウドサービスも提供していますが、ここでは一般的なベアメタルサーバーで試算します。

• サーバー:12,960円+初期費用27,000円…Xeon 4コア(3.4 GHz)
• メモリ: 0円…8GBメモリ(基本サイズ)
• ディスク:1,080円+初期費用59,400円 ..1TB SATA × 2
• OS: 3,240円…Windows Server 2012 R2 Standard

以上の構成で、初期費用86,400円、月額利用料17,280円になります。

つまり、初月は10万円以上かかってしまいます。しかし、4ヶ月間の累計は155,520円となり、1ヶ月あたり38,880円になります。1年間だと累計293,760円、1ヶ月あたり24,480円で、クラウドよりはずっと安くなります。

「クラウドの仮想マシンは、連続稼働を前提にすると、それほど安くはない」という意味をお分かりいただけたかと思います。

Hyper-VまたはAzure上のドメインコントローラーでの時刻同期

以前、Hyper-V上のドメインコントローラーについて書きました(Hyper-V 仮想化環境での時刻同期)。

この時は「ドメインコントローラーについては、Hyper-Vを使ったホストとの同期を停止する」と紹介しています。根拠は、マイクロソフトの公開文書「仮想化ドメイン コントローラーの展開に関する考慮事項」です。

Microsoft Azureの仮想化基盤はHyper-Vなので、Azure上のドメインコントローラーについても同じことが言えるはずです。

しかし、Azureテクニカルサポート チームのブログ「Azure 仮想マシンの時刻同期の仕組み」では、ホスト同期を無効にする方法について触れつつも「基本的には、Azure に時刻同期を任せてしまう、という考えで、既定のままにしていただくことが便利です」とあります。

矛盾するようですが、以下のようなことではないかと想像します。

Hyper-V、つまりオンプレミス環境では複数の仮想化ホスト(物理マシン)の時刻同期がきちんと行われていない可能性があります。こうした状況でホスト同期を行うことはリスクが大きいため、ドメインコントローラー自身が持つNTP時刻同期を使う方が無難です。

しかし、Azure内にあるすべての物理マシンは時刻同期が正しく行われています。このような環境では、ホスト同期を優先した方がリスクが小さいと考えられます。

逆に言うと、すべてのHyper-Vホストが適切に時刻同期している環境であれば、ホスト同期を有効にしたままで問題ない(むしろ推奨される)と思われます。