セキュア LDAP で守れ! - AWS Managed Microsoft AD で LDAPS を有効化する

2023年6月12日 00:51

Active Directory で使用される LDAP というプロトコルについて「AWS Directory Service 管理ガイド」のおことばを見ます

LDAP (Lightweight Directory Access Protocol) は、Active Directory に対するデータの読み書きに使用される標準の通信プロトコルです。一部のアプリケーションでは、LDAP を使用して Active Directory のユーザーやグループの追加、削除、または検索を行なったり、そのユーザーを認証するための認証情報を転送したりします。すべての LDAP 通信には、クライアント (アプリケーションなど) とサーバー (Active Directory など) が含まれています。

この LDAP 通信を SSL/TLS で保護できます
セキュアな LDAP -- LDAPS です

この LDAPS の有効化を AWS Managed Microsoft AD でやってみます

SSL/TLS 証明書

LDAPS の実装に必要なモノ -- SSL/TLS 証明書です
SSL/TLS 証明書の発行には認証局が必要になります

前出の「AWS Directory Service 管理ガイド」を確認します

サーバー側の LDAPS を有効にする前に、証明書を作成する必要があります。この証明書は、AWS Managed Microsoft AD ドメインに参加している Microsoft エンタープライズ CA サーバーによって発行される必要があります。

注記
AWS Managed Microsoft AD のサーバー側の LDAPS は、単独の CA から発行される証明書をサポートしていません。また、サードパーティーの認証機関により発行された証明書もサポートしていません。

つまり事実上 Active Directory 証明書サービス (AD CS) 一択です
オレオレ証明書は門前払いです

LDAPS 有効化手順

AWS Managed Microsoft AD で LDAPS を有効化するフローです

セキュリティグループのルールを追加する

AWS Managed Microsoft AD と AD CS を導入するサーバーが疎通するようセキュリティグループのルールを追加します

AD CS をインストールして認証機関を設定する

AD CS をインストールしエンタープライズ CA を構築します

証明書を発行する

Kerberos 認証証明書を発行しドメインコントローラーに登録します

ではやって行きます!

セキュリティグループのルールを追加する

AWS Managed Microsoft AD と AD CS が疎通するようセキュリティグループのルールを追加します

・ AWS Managed Microsoft AD ディレクトリのセキュリティグループ

AWS Managed Microsoft AD ディレクトリのセキュリティグループの名前は「<ディレクトリ ID>__controllers」です
このセキュリティグループを探してアウトバウンドルールを追加します

追加するルール

ちなみに LDAPS ではポート 636 を使用しますが最初から開いてたりします

・ AD CS を導入する EC2 インスタンスにアタッチした AWS セキュリティグループ

AD CS を導入する EC2 インスタンスにアタッチした AWS セキュリティグループに以下のインバウンドルールを追加します

追加するルール

AD CS をインストールして認証機関を設定する

ディレクトリに結合した EC2 インスタンスで役割サービスに [Certification Authority] を選択し AD CS をインストールします

また疎通確認に Ldap.exe というツールが使用できます
[AD DS and AD LDS Tools] でインストールできます
入れておいてあげましょう

インストールが完了したら認証局を構築します
AD CS で構築できる認証局はエンタープライズ CA またはスタンドアロン CA の 2 種類があります

AWS Managed Microsoft AD ディレクトリの LDAPS ではエンタープライズ CA が要件となりますのでエンタープライズ CA を構築します

サーバーマネージャーの通知から [Configure Active Directory Certificate Services on the destination server] をクリックします

[Credential] に管理者ユーザーを指定します
このユーザーは AWS Managed Microsoft AD ディレクトリ内の Admins グループまたは Enterprise Certificate Authority Administrators グループのユーザーである必要があります