agent-directory は何をしますか？
Active Directory を拡張し、Kerberos 認証、サンドボックス化、およびユーザーやサービスのように制御されたアクセスで AI エージェントのアイデンティティを管理します。
概要
このスキルは、Active Directory (AD) の機能を拡張し、AI エージェントを組織内の第一級のプリンシパルとして扱えるようにします。各エージェントは一意の AD オブジェクトとして作成され、以下の機能を提供します:
- Kerberos 認証: エージェントは Kerberos チケットを使用してネットワークサービスに安全に認証できます。
- サンドボックス化: エージェントごとにアクセス権限とリソースの分離が設定されます。
- 制御されたアクセス: 管理者は AD のグループポリシーや ACL を使用して、エージェントの動作をきめ細かく制御できます。
セットアップ
- AD スキーマの拡張: エージェントクラスと属性を追加するためにスキーマを更新します（例:
agentIdentityクラス）。 - エージェントアカウントの作成:
New-ADAgentなどの PowerShell コマンドレットを使用してエージェントアカウントを作成します。 - Kerberos SPN の構成: エージェントにサービスプリンシパル名 (SPN) を割り当てます。
- サンドボックスポリシーの適用: Group Policy を使用して、エージェントのプロセスとファイルシステムの制限を設定します。
使用例
# 新しい AI エージェントを作成
New-ADAgent -Name "Chatbot-01" -AgentType "Conversational" -SPN "agent/chatbot01.contoso.com" -ManagedBy "Domain Admins"
# エージェントに Kerberos 委任を設定
Set-ADAgentDelegation -Identity "Chatbot-01" -AllowedServices "HTTP/webservice.contoso.com", "LDAP/dc01.contoso.com"
# エージェントのアクセスログを監査
Get-ADAgentLog -Identity "Chatbot-01" -StartTime (Get-Date).AddDays(-1)
要件
- OS: Windows Server 2016 以降 (AD スキーマ拡張対応)
- PowerShell: 5.1 以降、または PowerShell 7 以上 (ActiveDirectory モジュール)
- 権限: スキーマ管理者権限 (初回セットアップ時)、ドメイン管理者権限 (エージェント管理時)
注意事項
- スキーマ拡張は元に戻せないため、本番環境に適用する前にテストドメインで検証してください。
- エージェントのサンドボックスは、Windows の AppLocker や Software Restriction Policies と組み合わせて使用することを推奨します。
- Kerberos 認証には、エージェントとサービス間の時刻同期が必要です (NTP の使用を推奨)。