ネットワークデバイスの管理用パスワードを集中管理しよう（前編）：Windows Server 2012 ×「ちょっとだけ連携」でネットワーク管理を便利に（3）（5/5 ページ）

【3. RADIUSサーバにRADIUSクライアントを登録】

　RADIUSでは、管理者が許可していないデバイスに勝手にRADIUSサーバが利用されないように、RADIUSサーバとクライアントがお互いの情報を事前に登録しておく必要があります。

　このとき「共有シークレット」と呼ばれるパスワード文字列も登録します。共有シークレットに使用する文字列は何でもかまいませんが、RADIUSクライアントとサーバが、互いを正しい相手かどうか確認するために使用するものなので、両者でまったく同じ値を設定する必要があります。

図6　共有シークレットの登録^（注5）

　RADIUSサーバ側で、RADIUSクライアントを登録する手順は以下の通りです。

1.server001で管理ツール［ネットワークポリシーサーバー］を起動します。［RADIUSクライアント］を右クリックし、［新規］を選択します。

画面41

2.次のようにネットワークデバイスを登録します。

　例では、連載1回目で構成した、シスコのレイヤ3スイッチを指定しています。

画面42

3.登録ができたら［OK］をクリックします。

4.1〜3の手順を繰り返し、RADIUSクライアントとなるネットワークデバイスをすべて登録します。

　以上でRADIUSサーバの設定は完了です。次のステップでは、アカウントロックアウト機能を有効化します。

（3）アカウントロックアウトの設定（オプション）

　これまでの手順で、RADIUSサーバの設定は終了しました。最後にパスワードクラッキングの対策として、アカウントロックアウト機能を設定します。なお、アカウントロックアウト機能自体は必須設定ではないため、必要がなければ省略してもかまいません。

　アカウントロックアウトとは、Active Directoryの機能で、パスワードの入力をたて続けに間違えたときに、そのアカウントを一時的に使用不可能な状態にできます。主に、管理者のパスワードを推測して不正にアクセスしようとするユーザーに対して有効な機能です。なお、パスワード入力ミスの回数や、ロックアウトされる期間などは、管理者が自由に設定できます。

図7　アカウントロックアウト機能

　Active Directoryユーザーに対するロックアウト機能は、デフォルトでは無効化されていますが、以下のいずれかの方法で有効化できます。

（1）すべてのドメインユーザーに適用する場合（ドメインのグループポリシー）

　Windows 2000からサポートされている機能で、Active Directoryのグループポリシー機能を使用します。管理ツール［グループポリシーの管理］を使って、ドメイン全体に適用されるグループポリシーとして、アカウントロックアウトポリシーを設定します。この方法では、Active Directoryドメイン内のすべてのユーザーに対して同じアカウントロックアウトポリシーが適用されます。

（2）一部のユーザーやグループに適用する場合（FGPP）

　Windows Server 2008からサポートされた比較的新しい機能で、「細かい設定が可能なパスワードポリシー（FGPP：Fine-Grained Password Policy）」と呼ばれています。この方法では、アカウントロックアウトをはじめとするパスワードにかかわる設定を、ユーザーやグループ単位で個別に指定できるため、（1）の方法よりも柔軟な設定ができます。

（3）RADIUSサーバで認証されるときだけ適用する場合（レジストリの直接変更）

　上記の（1）と（2）の方法は、Windowsクライアントがドメインにサインインする場合と、RADIUSサーバ経由で認証される場合の両方に適用されます。RADIUSサーバ経由で認証されるときだけ、ロックアウト機能を適用する場合は、レジストリを直接変更します。

　ここでは上記のうち、最も柔軟な対応ができる（2）のFGPPを使って、「netadminsグループのメンバーは、10分以内にパスワードを5回間違えたら30分間アカウントをロックアウトする」ように構成する方法を紹介します。

1.ドメインコントローラー「dc001」でAdministratorとしてサインインし、Active Directory管理センターを起動します。

2.［ドメイン名（ローカル）］−［system］−［Password Settings Container］をクリックします。その後、［タスク］にある［新規］−［パスワードの設定］をクリックします。

画面43

3.［パスワードの設定の作成］ウインドウが表示されたら、以下のように設定します。

画面44

4.［追加］をクリックします。

5.［選択するオブジェクト名を入力してください：］にnetadminsと入力し、［名前の確認］をクリックします。その後、［OK］をクリックします。

画面45

6.［OK］をクリックし、ロックアウトポリシーが作成されたことを確認します。

画面46

　ロックアウトポリシーが正しく動作するかを確認するには、netadmin1でサインインするときにわざとパスワードを間違えます。［許可される失敗したログオン試行回数：］で指定した回数以上、わざとパスワードを間違えてサインインしようとすると、アカウントがロックアウトされるはずです。

One Point：ロックアウトされたアカウントを解除する方法

　アカウントロックアウトポリシーによってロックアウトされたアカウントは、ロックアウト期間が経過すればロックアウトは解除されます。ただし、ロックアウト期間よりも早く解除したい場合や、［管理者が手動でアカウントのロックを解除するまで］を選択した場合は、管理ツール［Active Directory管理センター］でロックアウトされたユーザーを選択し、［ロック解除］をクリックします。

画面47

　以上でRADIUSサーバとActive Directoryの設定は終了です。次回は、ネットワークデバイス側の設定を行います。