無線LANをActiveDirectoryアカウントで認証する
今回の趣旨は無線LANの認証方式としてWPA2エンタープライズを利用し、ActiveDirecrory(AD)アカウントで認証を行う仕組みとなります。
ですので、ADは必須です。先に構築してください。
OSはWindowsServer2016を基に作成しております。
Radius機能としてはWindows機能にある『ネットワークポリシーサーバー(NPS)』を利用します。
１．ネットワークポリシーサーバー(NPS)を有効にする
ADがインストールされているサーバーが望ましいですが、ドメインネットワークに存在する他のサーバーでも構築できます。
１－１．サーバーマネージャーを開き、『役割と機能の追加』を実行します。
１－２．サーバーの役割の選択にて『ネットワークポリシーとアクセスサービス』にチェックを入れて、インストール。
２．NPSをADに登録する
２－１．[Windows管理ツール]内の『ネットワークポリシーサーバー』を起動します。
２－２．NPS(ローカル)を右クリックし、『Active Directoryにサーバーを登録』を選択。
２－３．その後は『OK』で進めてください
３．ネットワークポリシーサーバーの設定
３－２．共有シークレットの作成します。
[テンプレートの管理]→[共有シークレット]を右クリックし、『新規』を選択します。
３－３．テンプレート名と共有シークレットを入力します。
４．RADIUSクライアントの登録
４－１．[RADIUSクライアントとサーバー]→[RADIUSクライアント] を右クリックし、『新規』を選択します。
４－２．フレンドリ名に認証対象となるアクセスポイントの名称を入力し、そのアクセスポイントのIPを入力します。
共有シークレットでは先ほど作成したテンプレートをプルダウンから選択します。
５．接続要求ポリシーの登録
５－１．[ポリシー] → [接続要求ポリシー] を右クリックし、『新規』を選択します
５－２．ポリシー名に名称を入力し、『次へ』をクリック。
５－３．[条件の指定]画面で『追加』ボタンを押し、一番下の『NASポートの種類』を選択して『追加』を押し、『ワイヤレス-IEEE 802.11』にチェックを入れて『OK』をクリック。
５－４．その他、何も変更せずに『次へ』をクリックして進める。
６．ネットワークポリシーの登録
６－１．[ポリシー] →[ネットワークポリシー] を右クリックし、『新規』を選択します
６－２．ポリシー名に、適当な名称をつけ、『次へ』をクリック
６－３．[条件の指定]画面で『追加』ボタンを押し、『Windowsグループ』を選択して『追加』を押し、『グループの追加』をクリック。
６－４．接続を許可するグループを選択します
６－５．アクセス許可の指定では、『アクセスを許可する』を選択
６－６．[認証方法の構成]画面で『追加』ボタンを押し、『Microsoft: 保護されたEAP(PEAP)』を選択し、『セキュリティレベルの低い認証方法』のチェックを全て外して『次へ』をクリック
６－７．その他、何も変更せずに『次へ』をクリックして進める。
７．AD証明書サービスをインストールする
７－１．サーバーマネージャーを開き、『役割と機能の追加』を実行します。
７－２．サーバーの役割の選択にて『ActiveDirectory証明書サービス』にチェックを入れて、インストール。
７－３．『証明機関』にチェックを入れ、次へ。
７－４．インストール後、証明書サービスを設定していきます。
８．Radiusサーバー証明書の自動配付
８－１．[Windows管理ツール]→[証明機関]を起動する
８－２．[証明書テンプレート]→[管理]をクリック
８－３．[RASおよびIASサーバー]を右クリックし、『テンプレートの複製』を選択
８－４．[全般]タブにてテンプレート表示名と有効期間を設定。
『ActiveDirectoryの証明書を発行する』にチェックを入れます。
８－５．[セキュリティ]タブで『RAS And IAS Servers』を選択し、読み取りと自動登録にチェックします
８－６．[証明書テンプレート]→[新規作成]→[発行する証明書テンプレート]をクリック
８－７．作成したテンプレートをクリックします
８－８．[グループポリシーの管理]を起動し、『このドメインにGPOを作成し、このコンテナーにリンクする』をクリックします。
８－９．GPO名を入力します。
８－１０．作成したポリシーを右クリックし、『編集』を選択します。
８－１１．[コンピュータの構成]→[ポリシー]→[Windowsの設定]→[セキュリティの設定]→[公開キーのポリシー]から『証明書サービスクライアント-自動登録』を右クリック、『プロパティ』を選択します。
８－１２．[構成モデル]を『未構成』から『有効』に変更する。『有効期限が切れた証明書を書き換え、保留中の証明書を更新、および失効した証明書を削除する』と『証明書テンプレートを使用する証明書を更新する』にチェックし、『OK』。
８－１３．NPSにてEAPで利用する証明書を作成した証明書に切り替えます。
９．アクセスポイントの設定
アクセスポイントのRadius設定にてNPSがインストールされているIPや共有シークレットなどを入力します。
アクセスポイントの設定については個々のメーカーマニュアルを参照してください。
１０．PCから認証する
PCからアクセスポイント名(SSID)を探し、接続を行います。
従来ですと『Windowsユーザーアカウントの使用』にチェックを入れれば、自動的にADアカウントとパスワードが入りますが、『(ドメイン名)\(ユーザー名)』となることがありますので、認証に失敗する可能性があります。
その場合はユーザー名をドメイン名なしで手入力してください。
end