AD FS 用の Microsoft Entra Connect Health エージェント

この記事では、Microsoft Entra Connect Health エージェントをインストールして構成する方法について説明します。 以下のドキュメントは、Microsoft Entra Connect Health を使用した AD FS インフラストラクチャのインストールと監視に固有のものです。 Microsoft Entra Connect Health を使用した Azure AD Connect (同期) の監視については、「同期に Azure AD Connect Health を使用する」を参照してください。また、Microsoft Entra Connect Health を使用した Active Directory Domain Services の監視については、「AD DS での Microsoft Entra Connect Health の使用」を参照してください。

エージェントをダウンロードする方法を確認してください。

必要条件

次の表に、Microsoft Entra Connect Health を使用するための要件の一覧を示します。

新しいバージョンのエージェントと自動アップグレード

新しいバージョンの Health エージェントがリリースされると、既存のインストール済みエージェントはすべて自動的に更新されます。

Azure サービスのエンドポイントに対する送信接続

インストール時と実行時には、エージェントから Microsoft Entra Connect Health サービスのエンド ポイントに接続できる環境が必要です。 ファイアウォールにより送信接続がブロックされている場合は、次の表の URL が既定でブロックされていないことを確認してください。

これらの URL のセキュリティの監視や検査は無効にしないでください。 代わりに、他のインターネット トラフィックを許可するようにそれらを許可します。

これらの URL が、Microsoft Entra Connect Health サービス エンドポイントとの通信手段となります。 この記事の後半で、Test-AzureADConnectHealthConnectivity を使用して送信接続を確認する方法について説明します。

エージェントをダウンロードする

Microsoft Entra Connect Health エージェントをインストールするには、以下のようにします。

• Microsoft Entra Connect Health をインストールできる要件が満たされていることを確認します。
• AD FS 用 Microsoft Entra Connect Health の使用を開始します。
  • AD FS 用 Microsoft Entra Connect Health エージェントをダウンロードします。
  • インストール手順を参照します。
• 同期用 Microsoft Entra Connect Health の使用を開始します。
  • 最新バージョンの Microsoft Entra Connect をダウンロードしてインストールします。 同期用の正常性エージェントは、Microsoft Entra Connect (バージョン 1.0.9125.0 以降) のインストール時に構成要素としてインストールされます。
• AD Domain services 用 Microsoft Entra Connect Health の使用を開始します。
  • AD Domain Services 用 Microsoft Entra Connect Health エージェントをダウンロードします。

AD FS 用のエージェントをインストールする

エージェントをインストールする前に、AD FS サーバーのホスト名が一意であり、AD FS サービスに存在しないことを確認してください。

エージェントのインストールを開始するには、ダウンロードした .exe ファイルをダブルクリックします。 最初のダイアログで、[インストール] を選択します。

プロンプトが表示されたら、エージェントの登録に必要な権限を持つ Microsoft Entra アカウントでサインインします。 既定では、ハイブリッド ID 管理者アカウントにアクセス許可が与えられます。

サインインすると、インストール プロセスが完了し、ウィンドウを閉じることができます。

この時点でエージェント サービスが自動的に開始し、エージェントは必要なデータをクラウド サービスに安全にアップロードできるようになります。

エージェントがインストールされたことを確認するには、サーバーで次のサービスを探します。 構成が完了していれば、これらのサービスが既に実行されているはずです。 そうでない場合は、構成が完了するまで停止しています。

• Microsoft Entra Connect Agent Updater
• Microsoft Entra Connect Health エージェント

AD FS の監査を有効にする

利用状況分析機能でデータを収集および分析する必要があるため、Microsoft Entra Connect Health エージェントは、AD FS 監査ログ内の情報にアクセスできる必要があります。 既定では、これらのログは有効になっていません。 AD FS サーバーで、AD FS の監査を有効にしたり、AD FS の監査ログを特定したりするには、次の手順を使用します。

AD FS の監査を有効にするには

1. [スタート] 画面で [サーバー マネージャー] を開き、 [ローカル セキュリティ ポリシー] を開きます。 または、タスク バーで [サーバー マネージャー] を開き、[ツール]、[ローカル セキュリティ ポリシー] を選択します。

2. " [セキュリティの設定]\[ローカル ポリシー]\[ユーザー権利の割り当て] " フォルダーに移動します。 [セキュリティ監査の生成] をダブルクリックします。

3. [ローカル セキュリティの設定] タブで、AD FS サービス アカウントが表示されていることを確認します。 一覧に表示されていない場合は、[ユーザーまたはグループの追加] を選択し、AD FS サービス アカウントを一覧に追加します。 [OK] をクリックします。

4. 監査を有効にするには、管理者としてコマンド プロンプト ウィンドウを開き、次のコマンドを実行します: auditpol.exe /set /subcategory:"Application Generated" /failure:enable /success:enable

5. [ローカル セキュリティ ポリシー] を閉じます。

   重要

   残りの手順は、プライマリ AD FS サーバーにのみ必要です。

AD FS サーバーで監査プロパティを有効にする

1. AD FS 管理スナップインを開きます。 ( [サーバー マネージャー] で、 [ツール]>[AD FS の管理] の順に選択します。)
2. 操作ペインで、 [フェデレーション サービス プロパティの編集] を選択します。
3. [フェデレーション サービス プロパティ] ダイアログの [イベント] タブを選択します。
4. [成功の監査] および [失敗の監査] のチェック ボックスをオンにし、[OK] を選択します。 成功の監査と失敗の監査は、既定で有効にする必要があります。

AD FS サーバーで監査プロパティを有効にする

1. PowerShell ウィンドウを開き、次のコマンドを実行します。

   Set-AdfsProperties -AuditLevel Verbose

既定では "基本" 監査レベルが有効になっています。 詳細については、Windows Server 2016 での AD FS 監査の強化に関するページを参照してください。

詳細ログを確認する

詳細ログが有効になっていることを確認するには、次のようにします。

1. PowerShell ウィンドウを開き、次のコマンドを実行します。

   Get-AdfsProperties

2. Auditlevel が verbose に設定されていることを確認します

AD FS サービス アカウントの監査設定を確認する

1. " [セキュリティの設定]\[ローカル ポリシー]\[ユーザー権利の割り当て] " フォルダーに移動します。 [セキュリティ監査の生成] をダブルクリックします。
2. [ローカル セキュリティの設定] タブで、[AD FS サービス アカウント] が一覧に含まれることを確認します。 一覧に表示されていない場合は、[ユーザーまたはグループの追加] を選択し、AD FS サービス アカウントを一覧に追加します。 [OK] をクリックします。
3. [ローカル セキュリティ ポリシー] を閉じます。

AD FS の監査ログを確認する

AD FS の監査ログを有効にした後は、イベント ビューアーを使って AD FS の監査ログを確認できます。

1. イベント ビューアーを開きます。
2. [Windows ログ] に移動し、 [セキュリティ] を選択します。
3. 右側のペインで [現在のログをフィルター] を選択します。
4. [イベント ソース] で [AD FS の監査] を選択します。
5. AD FS のイベントの完全な一覧については、こちらをご覧ください。

監査ログの詳細については、「操作に関する質問」を参照してください。

次の表に、監査レベルのイベントに対応する一般的なイベントの一覧を示します

基本的な監査レベルのイベント

詳細については、こちらで AD FS イベントの完全な一覧を参照してください。

詳細な監査レベルのイベント

詳細については、こちらで AD FS イベントの完全な一覧を参照してください。

Microsoft Entra Connect Health サービスへの接続をテストする

Microsoft Entra Connect Health エージェントと Microsoft Entra Connect Health サービスの接続は、場合によって切断されることがあります。 この接続喪失の原因としては、ネットワークの問題、アクセス許可の問題、およびその他のさまざまな問題が考えられます。

エージェントから Microsoft Entra Connect Health サービスにデータを送信できない状態が 2 時間以上続くと、ポータルに "Health Service data is not up to date (Health サービス データが最新ではありません)" というアラートが表示されます。

次の PowerShell コマンドを実行すると、問題が発生した Microsoft Entra Connect Health エージェントから Microsoft Entra Connect Health サービスへのデータ アップロードが可能かどうかを調べることができます。

Test-AzureADConnectHealthConnectivity -Role ADFS

Role パラメーターは、現在、以下の値を受け取ります。

• ADFS
• Sync
• ADDS

Microsoft Entra Connect Health を使用して AD FS を監視する

AD FS のアラート

Microsoft Entra Connect Health のアラート セクションには、アクティブなアラートの一覧が表示されます。 各アラートには、関連情報、解決の手順、関連ドキュメントのリンクが含まれます。

アクティブまたは解決済みのアラートをダブルクリックすると、新しいブレードが開かれ、追加情報、アラートを解決するための手順、関連ドキュメントへのリンクなどが表示されます。 過去に解決されたアラートの履歴データも表示できます。

AD FS の利用状況分析

Microsoft Entra Connect Health の利用状況分析では、フェデレーション サーバーの認証トラフィックを分析できます。 [利用状況分析] ボックスをダブルクリックすると、[利用状況分析] ブレードが開き、いくつかのメトリックとグループ分けが表示されます。

追加のメトリックの選択、時間範囲の指定、グループ分けの変更を行うには、利用状況の分析グラフを右クリックし、[グラフの編集] を選択します。 これで、時間範囲の指定、別のメトリックの選択、グループ分けの変更を行うことができます。 さまざまな "メトリック" に基づいて認証トラフィックの分布を確認し、次のセクションに示す "グループ化" という関連パラメーターを使用して各メトリックをグループ化できます。

メトリック: 合計要求数 - AD FS サーバーによって処理された要求の合計数。

メトリック: 失敗した要求の合計数 - フェデレーション サービスによって処理され、失敗した要求の合計数。 (このメトリックは、Windows Server 2012 R2 の AD FS でのみ使用できます)

メトリック: ユーザー数 - AD FS を使用して活発に認証を受けている一意のユーザーの平均数

AD FS のパフォーマンスの監視

Microsoft Entra Connect Health のパフォーマンスの監視は、メトリックに関する監視情報を提供します。 [監視] ボックスを選択すると、新しいブレードが開かれ、メトリックに関する詳細情報が表示されます。

ブレードの上部にある [フィルター] を選択すると、サーバーごとにフィルター処理して個々のサーバーのメトリックを表示することができます。 メトリックを変更するには、監視ブレードの監視グラフを右クリックし、[グラフの編集] を選択します (または [グラフの編集] ボタンを選択します)。 開いた新しいブレードのドロップダウンから追加のメトリックを選択し、パフォーマンス データを表示する時間の範囲を指定します。

ユーザー名とパスワードを使用したログインに失敗したユーザー上位 50 名

AD FS サーバーで認証要求が失敗する一般的な理由の 1 つは、無効な資格情報、つまり、間違ったユーザー名かパスワードが要求に使用されていることです。 通常は、パスワードが複雑である場合、パスワードを忘れた場合、または入力ミスがあった場合に発生します。

一方で、AD FS サーバーで処理される要求の数が想定以上に増える原因は他にもあります。たとえば、アプリケーションにキャッシュされているユーザー資格情報の有効期限が切れた、よく使用されるパスワードを使用して悪意のあるユーザーがアカウントにサインインしようとした、などが挙げられます。 これらの 2 つの例は、要求の増加につながる可能性が高い理由です。

Microsoft Entra Connect Health for ADFS では、無効なユーザー名またはパスワードでログインが失敗した上位 50 名のユーザーに関するレポートを表示できます。 このレポートは、ファーム内のすべての AD FS サーバーによって生成される監査イベントに基づいて作成されます。

このレポートから、次の情報を簡単に確認することができます。

• 過去 30 日間に間違ったユーザー名/パスワードが原因で失敗した要求の合計数
• 無効なユーザー名/パスワードでログインに失敗したユーザーの日単位の平均数

この部分をクリックすると、詳細な情報が記載されたメイン レポート ブレードが表示されます。 このブレードにはグラフがあり、ユーザー名またはパスワードが間違っている要求に関する基準を確立するために役立つトレンド情報が示されます。 さらに、上位 50 人のユーザーと過去 1 週間の失敗した試行回数の一覧が表示されます。 過去 1 週間の上位 50 人のユーザーを調べると、間違ったパスワードの試行の急増を特定するのに役立つ可能性があります。

このグラフには、次の情報が表示されます。

• 無効なユーザー名/パスワードが原因で失敗したログインの日単位の合計数
• ログインが失敗した一意のユーザーの日単位の合計数
• 前回の要求のクライアント IP アドレス

このレポートには、次の情報が表示されます。

関連リンク

• Microsoft Entra Connect Health
• Microsoft Entra Connect Health エージェントのインストール
• 危険な IP レポート