View a markdown version of this page

Simple AD ディレクトリを保護する - AWS Directory Service
krbtgt アカウントのパスワードをリセットする

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Simple AD ディレクトリを保護する

重要な注意点

Simple AD は新規顧客に公開されなくなりました。Simple AD に似た機能については、 AWS Managed Microsoft AD または AD Connector を参照してください。詳細については、「Simple AD の可用性の変更」を参照してください。

このセクションでは、Simple AD 環境を保護する際の考慮事項について説明します。

Simple AD krbtgt アカウントのパスワードをリセットする方法

krbtgt アカウントは、Kerberos チケットの交換で重要な役割を果たします。krbtgt アカウントは、Kerberos チケットを付与するチケット (TGT) の暗号化に使用される特別なアカウントであり、Kerberos 認証プロトコルのセキュリティに重要な役割を果たします。Samba AD では、krbtgt は (無効化された) ユーザーアカウントとして表示されます。このアカウントのパスワードは、ドメインがプロビジョニングされた時点でランダムに生成されます。このシークレットにアクセスすると、新しい Kerberos チケットを監査なしで印刷できるため、検出不能なドメイン侵害が発生する可能性があります。詳細については、「Samba ドキュメント」を参照してください。

このパスワードは 90 日ごとに定期的に変更することをお勧めします。Simple AD に結合された Amazon EC2 Windows インスタンスから krbtgt アカウントのパスワードをリセットできます。

注記

AWS Simple AD は Samba-AD を搭載しています。Samba-AD は krbtgt アカウントのために N-1 ハッシュを保存しません。したがって、krbtgt アカウントのパスワードがリセットされると、Kerberos クライアントは、次のサービスチケット (ST) リクエストの間に新しいチケットを付与するチケット (TGT) をネゴシエートする必要があります。サービスの中断を最小限に抑えるには、krbtgt アカウントのパスワードリセットを営業時間外にスケジュールする必要があります。このアプローチにより、進行中のオペレーションへの影響が軽減され、認証の継続性がスムーズになります。

次の手順は、Amazon EC2 Windows インスタンスから krbtgt アカウントのパスワードをリセットする方法を示しています。

前提条件

  • この手順を開始する前に、以下を完了してください.

    • EC2 インスタンスを Simple AD ディレクトリにドメイン結合しました。

    • Simple AD ディレクトリ管理者認証情報があります。この手順では、Simple AD ディレクトリ管理者としてサインインします。

注記

Amazon WorkDocs や Amazon WorkSpaces AWS のサービス などの一部の は、ユーザーに代わって Simple AD を作成します。

Simple AD krbtgt アカウントのパスワードをリセットする

  1. Amazon EC2 コンソールの https://console.aws.amazon.com/ec2/ を開いてください。

  2. Amazon EC2 コンソールで [インスタンス] を選択し、Windows Server インスタンスを選択します。次に、[接続] を選択します。

  3. [インスタンスに接続] ページで [RDP クライアント] を選択します。

  4. [Windows セキュリティ] ダイアログボックスで、Windows サーバーコンピュータにサインインするためのローカル管理者の認証情報をコピーします。ユーザー名を NetBIOS-Name\administrator または DNS-Name\administrator の形式にすることができます。たとえば、Simple AD を作成するの手順に従った場合corp\administratorはユーザー名になります。

  5. Windows Server コンピュータにサインインすると、[Windows 管理ツール] フォルダを選択することで、スタートメニューから [Windows 管理ツール] を開きます。

    システムツールで展開された Windows 管理ツールフォルダを示す Windows スタートメニュー。

  6. Windows 管理ツールダッシュボードで、[Active Directory ユーザーとコンピュータ] を選択して、[Active Directory ユーザーとコンピュータ] を開きます。

    Active Directory ユーザーとコンピュータのショートカットを示す Windows 管理ツールフォルダ。

  7. [Active Directory ユーザーとコンピュータ] ウィンドウで、[表示] を選択し、[高度な機能を有効にする] を選択します。

    詳細機能オプションが選択されているメニューを表示します。

  8. [Active Directory ユーザーとコンピュータ] ウィンドウで、左側のパネルから [ユーザー] を選択します。

    ユーザーフォルダが強調表示された Active Directory ユーザーとコンピュータのナビゲーションツリー。

  9. [krbtgt] という名前のユーザーを見つけ、右クリックして [パスワードのリセット] を選択します。

    パスワードのリセットオプションが強調表示されたコンテキストメニュー。

  10. 新しいウィンドウで、新しいパスワードを二度入力し、[確認] を選択して krbtgt アカウントのパスワードをリセットします。

    パスワードフィールド、チェックボックスオプション、OK およびキャンセルボタンを使用したパスワードのリセットダイアログ。

  11. Windows 管理ツールダッシュボードで、[Active Directory サイトとサービス] を選択します。

    他のショートカットの中で Active Directory サイトとサービスを示す管理ツールフォルダ。

  12. Sites and Services ウィンドウで、[サイト]、[Default-First-Site-Name]、および [サーバー] を展開します。

    NTDS 設定で拡張されたサーバーノードを示す Active Directory サイトとサービスコンソール。

  13. NTDS 設定ウィンドウで、サーバーを右クリックし、[今すぐレプリケート] を選択します。

    NTDS 設定の接続で Replicate Now オプションが強調表示されたコンテキストメニュー。

  14. 他のサーバーに対して、ステップ 13～14 を繰り返します。