【図解】Active DirectoryをMFA化するしくみ｜VPN・RDP・ファイルサーバにスマホ承認を足すには

AD に MFA（スマホ承認）を足すとき、どこに何を入れると、どの認証を守れるのかを図解します。 図と参考資料はブログ記事で：https://hirotanoblog.com/ad-mfa-archi... AD の標準機能だけでは、VPN やファイルサーバの認証にスマホの承認を挟めません。この動画では、MFA を差し込む4つの場所（認証プロキシ、ログオン画面、DC、クラウド IdP）と、それぞれで変わる設定・守れる範囲を、構成図とシーケンス図で整理します。 ▼目次 0:00 はじめに 0:42 ADの認証にMFAを挟めない理由 2:08 MFAを差し込む4つの場所 2:56 ① 認証プロキシ型 5:28 ② ログオン画面のエージェント型 8:04 ③ DC連携型 10:10 ④ クラウドIdP型 10:41 4つのパターンの比較 11:17 利用者から見たMFA 12:51 導入の手順と設計で決めること 14:12 まとめ ▼参考資料（動画で紹介したしくみ・設定の出典。2026年10月10日時点で確認） ・ADの認証はKerberosとNTLM：Credentials processes in Windows authentication（Microsoft） https://learn.microsoft.com/en-us/win... ・Windowsのログオンの種類：Windows logon scenarios（Microsoft） https://learn.microsoft.com/en-us/win... ・TGTの有効期限は既定で10時間：Maximum lifetime for user ticket（Microsoft） https://learn.microsoft.com/en-us/pre... ・Windows Hello for Business：How it works（Microsoft） https://learn.microsoft.com/en-us/win... ・スマートカード：Smart card certificate requirements（Microsoft） https://learn.microsoft.com/en-us/win... ・① 認証プロキシ型：Duo Authentication Proxy Reference（ベンダー資料） https://duo.com/docs/authproxy-reference ・① RADIUSでの構成：Duo Authentication Proxy for RADIUS（ベンダー資料） https://duo.com/docs/radius ・① LDAPでの構成：Duo Authentication Proxy for LDAP（ベンダー資料） https://duo.com/docs/ldap ・NPSはWindows ServerのRADIUSサーバ：Network Policy Server（Microsoft） https://learn.microsoft.com/en-us/win... ・NPSのMFA拡張機能とEntra IDへの同期：NPS extension（Microsoft） https://learn.microsoft.com/en-us/ent... ・② ログオン画面のエージェント型：Duo for Windows Logon & RDP（ベンダー資料） https://duo.com/docs/rdp ・② PowerShellのリモート操作：Duo Windows Command Line Protection（ベンダー資料） https://duo.com/docs/windows-command-... ・③ DC連携型：Duo Legacy AD Protection（ベンダー資料） https://duo.com/docs/legacy-ad-protec... ・③ DC連携型：Silverfort General 2-Pager（ベンダー資料、PDF） https://www.silverfort.com/wp-content... ・③ DCに入れるモジュール：Silverfort on Your Domain Controllers（ベンダー資料、PDF） https://go.silverfort.com/hubfs/Solut... ・③ DC連携型：Silverfort for Active Directory（ベンダー資料、PDF） https://www.silverfort.com/wp-content... ・③ DC連携型：Entra Private Access for domain controllers（Microsoft） https://learn.microsoft.com/en-us/ent... ・④ AD FSにMFAのアダプタを足す：Duo for Microsoft AD FS（ベンダー資料） https://duo.com/docs/adfs ・ユーザーの同期（一方向・パスワードは取り込まない）：Synchronizing Users from AD（ベンダー資料） https://duo.com/docs/adsync ・スマホの登録：Duo Guide: Enrollment（ベンダー資料） https://guide.duo.com/enrollment ・番号照合：Number matching in MFA push notifications（Microsoft） https://learn.microsoft.com/en-us/ent... ・認証方式の強さ：Duo Authentication Methods Security Guide（ベンダー資料） https://duo.com/docs/authentication-m... ・バイパスコード：Duo Administration - Managing Users（ベンダー資料） https://duo.com/docs/administration-u... ▼この動画について ・図解スライドと合成音声のナレーションで、ブログ記事の内容を説明しています。 ・ナレーション：VOICEPEAK 女性1（声優：若守みづき） ▼免責事項 ・Cisco Duo、Silverfort、Microsoft の公開資料をもとに、しくみを一般化して説明しています。製品ごとの仕様や設定は、各メーカーのドキュメントでご確認ください。 ・掲載内容は個人の見解です。 ・できるだけ正確な情報をお伝えするよう努めていますが、正確性や安全性を保証するものではありません。公開後に情報が古くなることもあります。 ・この動画の内容を参考にしたことで生じたトラブルについては、責任を負いかねます。あらかじめご了承ください。 ・ブログの免責事項：https://hirotanoblog.com/disclaimer/ ▼ブログ https://hirotanoblog.com/ #ActiveDirectory #MFA #セキュリティ