mcpField
W
windows-infra-admin

windows-infra-admin

github.com/404kidwizクラウド・DevOps138 回インストール
リポジトリ

windows-infra-admin について

windows-infra-admin は、企業の Windows 環境を管理する担当者向けの運用スキルです。Active Directory、Group Policy、PowerShell 自動化、ハイブリッド ID に加え、Intune と Windows Server の役割管理を扱います。

主な機能

  1. 01Active Directory のフォレスト、ドメイン、ユーザー管理
  2. 02Group Policy の設定とトラブル対応
  3. 03PowerShell による管理自動化
  4. 04Entra ID Connect によるハイブリッド ID 設定
  5. 05Intune のデバイス登録管理
  6. 06DNS、DHCP、IIS などのサーバー役割管理

活用シーン

  1. 01Active Directory の構成や移行の計画
  2. 02セキュリティ基準に沿った端末ポリシー強化
  3. 03ユーザー登録とレポートの自動化
  4. 04リモート従業員向け Intune 登録の設定

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/404kidwiz/claude-supercode-skills --skill windows-infra-admin

インストール後、Claude Code で/windows-infra-adminを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

references/
ad_quickstart.md
windows_patterns.md
scripts/
configure_dns.ps1
manage_ad_users.ps1
setup_gpo.ps1

詳細

Windows インフラストラクチャ管理者

目的

Active Directory、ハイブリッド ID、PowerShell の自動化を専門とする、Windows Server およびエンタープライズ管理の専門知識を提供します。グループポリシー、Intune、包括的なインフラストラクチャ管理を通じて、エンタープライズ Windows 環境を管理します。

使用する場面

  • Active Directory のトポロジ（フォレスト、ドメイン、サイト）の設計またはトラブルシューティング
  • セキュリティ強化（CIS Benchmarks）のためのグループポリシーオブジェクト（GPO）の実装
  • PowerShell による管理タスク（ユーザー作成、レポート作成）の自動化
  • ハイブリッド ID（Azure AD Connect / Cloud Sync）の構成
  • Windows Server の役割（DNS、DHCP、IIS、NPS、WSUS）の管理
  • Intune / Autopilot によるエンドポイントの展開
  • AD の災害復旧計画（フォレストの復旧）

例

例 1：AD のハイブリッド ID への移行

**シナリオ：**オンプレミスの AD を Azure AD によるハイブリッド ID に移行します。

実装：

  1. Azure AD Connect の同期トポロジを設計
  2. パスワードハッシュ同期を実装
  3. シームレスなシングルサインオンを構成
  4. 条件付きアクセス ポリシーを設定
  5. ハイブリッド参加証明書を作成

結果：

  • クラウドアプリでシームレスな認証を実現
  • パスワード関連のサポートチケットを 99％削減
  • MFA によってセキュリティ体制を改善
  • Microsoft 365 への移行基盤を構築
例 2：GPO によるセキュリティ強化

**シナリオ：**CIS Benchmarks に準拠するよう Windows エンドポイントを強化します。

実装：

  1. 現在の GPO 環境を分析
  2. セキュリティベースライン GPO を作成
  3. パスワードポリシー（NIST ガイドライン）を実装
  4. ファイアウォールと BitLocker のポリシーを構成
  5. 監査ログを設定

結果：

  • CIS Benchmarks への準拠率 95％を達成
  • セキュリティインシデントを 70％削減
  • 外部セキュリティ監査に合格
  • コンプライアンスのための明確な監査証跡を確保
例 3：Intune 登録の自動化

**シナリオ：**リモートワーカー向けの Windows デバイスのオンボーディングを自動化します。

実装：

  1. ゼロタッチ展開のために Autopilot を構成
  2. 登録ステータス画面のポリシーを作成
  3. セキュリティ設定用の構成プロファイルを実装
  4. 条件付きアクセス ポリシーを設定
  5. セルフサービスの BitLocker 回復機能を作成

結果：

  • デバイスを 30 分以内に使用可能な状態に
  • IT サポートへの問い合わせを 80％削減
  • デバイス間で一貫したセキュリティ構成を実現
  • ユーザー満足度を向上

ベストプラクティス

Active Directory
  • 正常性の監視：dcdiag と repadmin による定期的なチェック
  • バックアップ：システム状態を毎日バックアップし、復元テストを実施
  • 最小権限：管理者アカウントと通常アカウントを分ける
  • クリーンアップ：古いオブジェクトを定期的に削除
グループポリシー
  • テスト：まずパイロット環境で GPO を必ずテスト
  • ドキュメント化：GPO の目的と設定を文書化
  • セキュリティ：セキュリティフィルターを適切に使用
  • レビュー：GPO を毎年レビューして整理
PowerShell の自動化
  • エラー処理：包括的な try/catch/finally を使用
  • モジュール：再利用可能なモジュールを作成
  • ログ記録：自動化のすべてのアクティビティを記録
  • テスト：本番環境で使用する前にスクリプトをテスト
セキュリティ
  • パッチ適用：迅速なパッチ展開（30 日以内）
  • MFA：すべての管理者アクセスで MFA を必須化
  • 監査：高度な監査ログを有効化
  • LAPS：ローカル管理者パスワードに使用
ハイブリッド ID
  • 同期の正常性：Azure AD Connect を監視
  • 条件付きアクセス：クラウドアクセスにポリシーを適用
  • パスワード保護：禁止パスワードリストを有効化
  • アクセスレビュー：アクセスを定期的にレビュー

呼び出してはいけない場合：

  • 物理ハードウェア障害のトラブルシューティング → network-engineer（ネットワークの場合）またはベンダーサポートを使用
  • Linux サーバーの管理 → linux-admin（利用可能な場合）または devops-engineer を使用
  • .NET アプリケーションの開発 → csharp-developer を使用
  • クラウドネイティブな Azure リソース（VM、VNet）の構成 → azure-infra-engineer を使用

主な機能

Active Directory 管理
  • AD フォレスト、ドメイン、信頼関係の管理
  • ユーザーとグループのライフサイクル管理の実装
  • 組織単位と委任の構成
  • 認証とレプリケーションの問題のトラブルシューティング
グループポリシーの管理
  • セキュリティ設定用の GPO の作成と管理
  • セキュリティベースラインと CIS ベンチマークの実装
  • ポリシー適用の問題のトラブルシューティング
  • ポリシー設定とフィルタリングの管理
PowerShell による自動化
  • 管理用の PowerShell スクリプトの作成
  • ユーザーのプロビジョニングとレポート作成の自動化
  • モジュールを使用した Active Directory の管理
  • エラー処理とログ記録の実装
ハイブリッド ID
  • 同期用の Entra ID Connect の構成
  • ハイブリッド ID シナリオの管理
  • 条件付きアクセス ポリシーの実装
  • Intune によるデバイス登録の管理
ワークフロー 2：ハイブリッド ID のセットアップ（Entra ID Connect）

**目標：**オンプレミスのユーザーを Azure AD に同期し、Office 365 にアクセスできるようにします。

手順：

  1. 前提条件

    • AD をクリーンアップします（IdFix ツール）。
    • Azure ポータルでドメインを検証します。

  2. Azure AD Connect のインストール

    • **パスワード ハッシュ同期（PHS）**を選択します（最も堅牢です）。
    • **SSO（シングル サインオン）**を有効にします。

  3. フィルタリング

    • OU でフィルターします（User_OU のみ同期し、Admin_OU と Service_Accounts は除外します）。

  4. 検証

    • Synchronization Service Manager を確認します。
    • Azure Portal でユーザーの「Directory Synced: Yes」を確認します。

4. パターンとテンプレート

パターン 1：階層型管理（セキュリティ）

**ユースケース：**認証情報の窃取（Pass-the-Hash）の防止。

  • **Tier 0（ID）：**ドメイン管理者。DC にのみログインできます。（レッドカード／トークン）。
  • **Tier 1（サーバー）：**サーバー管理者。アプリケーションサーバーにログインできます。
  • **Tier 2（ワークステーション）：**ヘルプデスク。ワークステーションにログインできます。
  • *ルール：*下位の階層から上位の階層の資産にログインすることはできません。
パターン 2：DFS 名前空間（ファイル共有）

**ユースケース：**ファイルサーバー名の抽象化。

  • 不適切：\\Server01\Share を割り当てます。Server01 が停止すると、リンクが切れます。
  • 適切：\\corp.com\Data\Share を割り当てます。
    • \\corp.com\Data は DFS 名前空間です。
    • \\Server01\Share（ターゲット）を指します。
    • \\Server02 への移行はユーザーには見えません。
パターン 3：JEA（必要最小限の管理）

**ユースケース：**ドメイン管理者にすることなく、ヘルプデスクにパスワードのリセットを許可します。

# Role Capability File (.psrc)
VisibleCmdlets = @{
    'Set-ADAccountPassword' = @{ Parameters = @{ Name = 'Identity' } }
    'Unlock-ADAccount' = @{ Parameters = @{ Name = 'Identity' } }
}

6. 統合パターン

azure-infra-engineer:
  • 引き継ぎ：Windows 管理者がオンプレミス AD を管理 → Azure エンジニアが Entra ID Connect をセットアップします。
  • 連携：VPN（IaaS DC）を介して AD を Azure に拡張します。
  • ツール：Azure Active Directory。
security-auditor:
  • 引き継ぎ：監査担当者が「ユーザーアクセスレビュー」を依頼 → Windows 管理者が PowerShell でグループメンバーシップのレポートを作成します。
  • 連携：パスワードポリシーと MFA を適用します。
  • ツール：AD Audit Plus、Splunk。
network-engineer:
  • 引き継ぎ：ネットワークエンジニアが VLAN をセットアップ → Windows 管理者が DHCP スコープ／IP ヘルパーを構成します。
  • 連携：DNS 名前解決（スプリットブレイン DNS）。
  • ツール：IPAM。

コメント

Markdown 対応