サイバーセキュリティとActive Directoryにおける信頼関係とは？仕組みと重要性を徹底解説

Active Directoryにおける信頼関係とは？

Active Directoryにおける信頼関係とは、2つのドメインをつなぐ論理的な接続のことです。この関係において、認証要求を受け入れる側のドメインを「信頼するドメイン（trusting domain）」、認証を委ねられる側のドメインを「信頼されるドメイン（trusted domain）」と呼びます。信頼関係が確立されると、信頼されるドメインでのログオン認証が、信頼するドメイン側でも有効になります。

ドメイン間の信頼関係を確認する方法

1. [Active Directory ドメインと信頼関係] を開きます。
2. 確認したい信頼関係を持つドメインに移動し、プロパティを開きます。
3. [信頼] タブから、プロパティを表示したい信頼を選択します。
4. [検証] ボタンをクリックして、信頼関係が正常に機能しているかを確認します。

信頼関係とは何か

信頼関係とは、ドメイン同士をつなぐ通信および管理上のリンクです。2つのドメイン間に信頼関係があれば、ユーザーやグローバルグループは、作成されたドメインとは別のドメインに存在できるようになります。各ドメインは、他のドメインとの信頼関係に基づいて、ユーザー認証を代行してもらうことができます。

サイバーセキュリティにおける「信頼」の課題

サイバーセキュリティの分野では、信頼の欠如が侵害対策における大きな課題となっています。情報システム研究では、電子商取引に関わる企業にとって、信頼がプライバシーへの懸念、セキュリティへの懸念、機会主義的な行動への懸念を軽減する重要な役割を果たすことが示されています。

ネットワークにおける信頼とは？

Microsoft Windows Serverオペレーティングシステムでは、信頼関係はドメイン間通信の手段として採用されています。信頼関係を確立することで、ユーザーは異なるドメインのリソースへアクセスできるようになります。認証は信頼を通じて行われ、あるドメインが別のドメインの権限を信頼する仕組みです。

Kerberosとドメインコントローラーの重要性

Kerberosは、セッションデータの整合性とユーザーの身元を検証する認証プロトコルです。ドメインコントローラー（DC）にはKerberosサービスが搭載されており、Windows 2000以降のすべてのワークステーションとサーバーはKerberosクライアントを使用します。ユーザーが最初にKerberos認証を受けると、その後はエンタープライズリソースへのアクセスが1回のサインオンで可能になります。

法律における信頼関係（信託）とは？

法律の分野では、信託（trust）は次のように定義されます。財産が受託者（trustee）と呼ばれる個人または団体に帰属し、その受託者が受益者（beneficiary／cestui que trust）と呼ばれる他者のために、信託として財産を管理・保有しなければならない場合に生じる衡平法上の関係です。

人を信頼するとはどういうことか

誰かを信頼するということは、その人の人格や誠実さを信じることを意味します。相手の意図が善良であると確信できなければ、真の信頼は生まれません。また、信頼には「人は必ず過ちを犯すものだ」という事実を受け入れる姿勢も含まれます。堅固な信頼関係を築くには時間がかかりますが、それだけの価値があります。

ゼロトラストとは？

ゼロトラストは、サイバーセキュリティ業界で注目される最新の概念です。ゼロトラストの考え方では、「信頼すること自体に脆弱性がある」と認識します。ネットワーク内のユーザーが脅威アクターであれ悪意のある内部者であれ、一度侵入されれば横方向に移動し、任意のデータへアクセスしたり持ち出したりできてしまうためです。

サイバーセキュリティの5つの種類

• 重要インフラ向けサイバーセキュリティ
• ネットワークセキュリティ
• クラウドセキュリティ
• IoT（モノのインターネット）セキュリティ
• アプリケーションセキュリティ

Active Directoryで信頼関係が果たす役割

Active Directoryは、フォレスト間、ツリー間、ドメイン間の双方向の信頼など、一部の信頼関係を自動的に作成します。これにより、組織全体のリソースへのアクセス管理が効率化されます。

Active Directoryで信頼関係を作成する手順

1. [Active Directory ドメインと信頼関係] スナップインを開きます。
2. 左ペインで対象ドメインを右クリックし、[プロパティ] を選択します。
3. [信頼] タブをクリックして、信頼の一覧を表示します。
4. [新しい信頼] ボタンをクリックします。
5. 新しい信頼ウィザードが開いたら、[次へ] をクリックします。
6. 相手ドメインのDNS名を入力して [次へ] をクリックします。

2つのドメイン間に一方向の信頼を設定する方法

1. ドメインノードを右クリックしてプロパティを開きます。
2. [全般] タブの隣にある [信頼] タブを開き、[新しい信頼] を選択します。
3. 信頼する相手の名前を入力して [次へ] をクリックします。

ドメイン間の信頼関係はどのように作成・管理されるのか

信頼関係に基づき、管理者はあるドメインのユーザーに対して、別のドメイン内のリソースへのアクセス権限を付与できます。逆に言えば、信頼関係が確立されていない限り、管理者が他ドメインのユーザーに自ドメインのリソースへの権限を与えることはできません。

双方向の信頼関係とは？

双方向の信頼とは、ドメインAがドメインBを信頼し、同時にドメインBもドメインAを信頼する構成のことです。この設定により、認証要求が両ドメイン間を行き来できます。双方向の信頼には、推移的（transitive）なものと非推移的（nontransitive）なものがあります。

コンピューターの信頼関係とは？

信頼関係を設定すると、ドメインごとに1回のログオンで済むようになります。リモートドメインのコンピューターにログオンする場合でも、ホームドメインのコントローラーがログオンを検証するため、シングルサインオンが実現します。

サイバーセキュリティにおいて信頼が重要な理由

組織では、従業員がオンラインで安全に行動すること、セキュリティチームがネットワークを防御すること、ソフトウェアプラットフォームが安定して動作することが信頼されています。つまり、サイバーセキュリティは信頼の上に成り立っていますが、信頼は決して当然のものとして扱ってはなりません。

信頼の本当の意味

信頼とは、人や物事の人格、能力、強さ、誠実さを頼りにできるという確信のことです。また、将来への依存や期待を指す場合もあります。例えば、信用購入によって配達された商品の代金を後日支払うことも、一種の信頼に基づく取引といえます。

コンピューターが信頼関係を失う原因

パスワードが正しくない場合、コンピューターはドメインとの信頼関係を確立できません。これはWindowsの再インストール後に発生することが多い問題です。この場合、ローカルコンピューターの現在のパスワードが、ADドメイン内のコンピューターオブジェクトに保存されているパスワードと一致しなくなっています。

コンピューターの信頼関係エラーを修復する方法

1. ローカル管理者としてコンピューターにログオンします。
2. スタート画面で [コンピューター] を右クリック（または長押し）し、[プロパティ] を選択します。
3. コンピューター名をクリックし、[設定の変更] を選択します。

「このワークステーションとプライマリドメイン間の信頼関係が失敗しました」とは？

このエラーは、ワークステーションとプライマリドメインの間の信頼が失われていることを示しています。通常、ADドメインがコンピューターを信頼しなくなるのは、ローカルコンピューターに保存されたパスワードとADに保存されたパスワードが一致しなくなったためです。両者のパスワードが同期していることが確認できない限り、ADはそのコンピューターを信頼できません。

Active Directoryの信頼の仕組み

AD DSの信頼は、UNIXレルム、AD DSドメイン、AD DSフォレストを接続し、安全な認証通信を提供します。信頼を利用することで、ユーザー、グループ、コンピューターに対して、他のエンティティのリソースへのアクセスを許可できます。信頼の設定は、「自分が信頼する相手に、自分のリソースへのアクセスを許可する」ことに似ています。