アイデンティティリスク評価によるメンバーサーバーへの通信
本ナレッジでは、アイデンティティリスク評価により発生するメンバーサーバーへの通信について説明します。
目次
機能の概要
アイデンティティリスク評価は、Active DirectoryやMicrosoft 365の構成におけるリスクや構成ミスを特定し、リスクスコアやレポートによりリスク状況を可視化する機能です。
アイデンティティリスク評価の詳細はこちらのドキュメントをご参照ください。
アイデンティティリスク評価機能は「GRC（ガバナンス/リスク/コンプライアンス） オプション 」に含まれる機能です。当該オプションライセンスを購入していない場合は、アイデンティティリスク評価機能の一部機能のみご利用いただけます。
オプションライセンスの詳細はこちらのナレッジをご参照ください。
機能により発生する通信
ADManager Plusは、アイデンティティリスク評価機能の一環として、メンバーサーバー（ドメインに参加しているドメインコントローラー以外のWindowsサーバー）と通信してセキュリティの構成ミスを評価します。収集された情報は、各サーバーがセキュリティ基準に準拠しているかどうかを判断し、対応するリスク評価レポートを作成するために使用されます。
なお、アイデンティティリスク評価機能はデフォルトで有効化されているため、機能を使用していない、もしくはオプションライセンスを適用していない場合でも、メンバーサーバーへの通信は発生いたします。
アイデンティティリスク評価機能によるメンバーサーバーへの通信を停止する場合は、本ナレッジの「機能の無効化手順」をご参照ください。
以下は当該機能により発生する通信です。
| 通信方法 | ポート | 目的 |
|---|---|---|
| Remote Registry | TCP 445 (SMB)またはTCP 139 | 対象サーバーから、レジストリベースのセキュリティ設定を取得します。 |
| WMI | TCP 135および動的RPCポート（主に49152–65535） | OSおよびサービスの設定情報を収集します。 |
| PowerShell Remoting (WinRM) | TCP 5985 (HTTP)またはTCP 5986 (HTTPS) | リモートでPowerShellコマンドを実行し、設定情報を取得します。 |
| LDAP | TCP 389または636 | ドメインコントローラー経由でActive Directoryにクエリを実行します（メンバーサーバーに直接接続することはありません）。 |
※上記の通信を実行する際、ADManager Plusは［ディレクトリ/アプリケーション設定］にて設定されたドメイン資格情報を使用します。
機能の無効化手順
- ADManager Plusに管理者としてログインします。
- ［ガバナンス］タブ→「リスク管理」配下の［アイデンティティリスク評価］を開きます。
- ［データ同期時間の設定］をクリックし、「データ同期スケジュールを有効にする」を無効化し、［保存］をクリックします。
