シンジです。社内デバイスは全部Windowsですとは言いにくい時代になった昨今、Mac達は野放しにされ、例外とかいう常套句で社内ポリシーから逃げてきましたが、残念ながらmacOSのユーザー配布をADからAzureADを経由することで完全統制する方法が仕上がってきたので現状の話です。 ADとMacの相性は悪い 読者の中にMac利用者が居たとしても、そのMacをActive Directoryの配下に置いて、そこからユーザーを発行して展開したことある人は少ないでしょうし、試しにやってみた人が居たとしても運用したことがある人はもっと少ないのではと思っています。もしそれら全てを経験し、それを売りに仕事をしている方が居たとしたら、このブログによって廃業します。 管理者がMacを直接触ってセットアップする必要があった 今時ゼロタッチデプロイですよ。箱から空けたらユーザーがすぐに使える、管理者が電源を入

はじめに Azure AD にアプリケーションを登録し、SAML 連携することで、Azure AD ユーザーから SAML 連携したアプリケーションにシングル サインオンできるようになります。 また、ギャラリー内のエンタープライズ アプリケーションの場合は、下記 Microsoft 公開情報に、チュートリアルとして Azure AD 側、アプリケーション側それぞれの設定方法が画面ショット付きで記載されております。 -参考情報 SaaS アプリケーションと Azure Active Directory の統合に関するチュートリアル URL:https://docs.microsoft.com/ja-jp/azure/active-directory/saas-apps/tutorial-list しかしながら実際にチュートリアルとおりに設定してもエラーが出てしまい、シングル サインオンに失敗

MicrosoftがAzure ADで「FIDO2」対応、パブリックプレビュー開始：パスワードはもはや時代遅れ Microsoftは「Azure Active Directory」（Azure AD）で、「FIDO2」セキュリティキーのサポート機能のパブリックプレビュー版の提供を開始した。パスワードレス認証がまた一歩前進した形だ。 Microsoftは2019年7月10日（米国時間）、「Azure Active Directory」（Azure AD）でパスワードレス認証を可能にしたと発表した。 「FIDO2」セキュリティキーをサポートするパブリックプレビュー版の提供を開始したことで、Azure ADに接続する全てのアプリケーションとサービスへのシームレスで安全な、パスワードレスアクセスを提供する第一歩になったという。 FIDO2は非営利団体「FIDO Alliance」が推進するオープン

こんにちは。開発基盤ユニットの森岡 (@selmertsx) です。Speeeでは全社的なセキュリティの向上として、社員のアクセス管理にIDaaS(Identity as a service)を導入しています。このブログではIDaaS導入の背景と、Cloud Runを用いたIDaaSへのID情報反映の自動化の仕組みについて、またその監視やCI/CDについて説明していきます。 IDaaS導入及び設定自動化の背景 IDaaSという言葉についてあまり馴染みがない方もおられるかも知れませんが、SSO(Single Sign On)という言葉についてはみなさん耳にしたことがあるのではないでしょうか。実はSSOはIDaaSというサービスの機能のごく一部でして、他にもIDaaSは、従業員のID管理、ユーザープロビジョニング、アクセス管理、多要素認証、リスクベース認証、SAML認証や監査対応のためのレポー

この記事は一休.com アドベントカレンダーの24日目の記事です。 qiita.com 社内情報システム部の大多和（id:rotom）です。 一休には2018年8月に入社し、情報システムエンジニアとして、IT を活用した業務改善、オフィス環境の構築を中心とした社内の「情シス」業務全般を担当しています。 本エントリでは、表立って登場することの少ない「情シス」が普段何をしているか、ご紹介していきます。 情シスのお仕事 社内情報システム部は「システム本部」に所属しており、現在 6人 のメンバで業務を行っています。 一休における情シスは以下の2つの側面を持っています。 コーポレートエンジニアリング：社内ツールやシステムの導入及び管理運用、bot やスクリプト開発による業務の効率化などの業務改善の他、オフィスの IT インフラ環境の構築、改善など、IT を活用し、より社員がよりパフォーマンスを発揮で

2018年9月22日、Japan Azure User Groupが主催するイベント「Japan Azure User Group 8周年イベント」が開催されました。JAZUG設立8周年を記念した本イベント。Microsoft Azureを用いてサービス開発を行うエンジニアたちが一堂に会し、自身の経験と知見を元に新たな活用法などを語ります。プレゼンテーション「初めてのAzure構築〜契約のトラップに巻き込まれたお話〜」に登場したのは、パーソルテクノロジースタッフ株式会社の岩井大祐氏。講演資料はこちら Azureの契約で経験した問題について 岩井大祐氏（以下、岩井）：それでは、技術ではなくて、Azureの契約というお話になってしまうんですが、私の実体験ということでお話ししたいと思います。 「初めてのAzure構築～契約のトラップに巻き込まれたお話～」ということで、パーソルテクノロジースタッフ

こんにちは、Azure ID チームの田中です。 Azure AD では、ユーザー名、パスワードによるサインインだけでなく、多要素認証(MFA) を簡単に構成することができます。 私たちのサポートチームでは多要素認証(MFA) についてよくお問い合わせをいただくのですが、 今回はMFA を有効化しているのにも関わらず、MFA を求められないことがあるということで、Azure MFA を要求されないケースについて、その理由を含めて紹介します。 MFAとは？ Multi-Factor Authentication の略で、ユーザー名・パスワードの認証にプラスして別の認証を求める機能を指します。 例えば社内ネットワーク以外からのアクセスであれば、ユーザー名とパスワードだけではなく、SMS 認証を強制することが可能になり、セキュリティをさらに高めることができます。 Azure の機能では電話認証(

Always on the clock これまでに、セミナーやカンファレンス、書籍を通じてお会いした方々、そしてこれから出会うであろう方々のために Microsoft テクノロジーを中心とした情報を株式会社エストディアンの国井 傑 (くにい すぐる) が提供するブログです。 皆さんこんにちは。国井です。 前回はAzure AD B2Bでゲストユーザーの作り方について紹介しました。 このとき、ゲストユーザーとして作成するユーザーは元のユーザーがいる前提であるかのように語っていましたが、実は元のユーザーがいなくても作れます。 では、元のユーザーがいない状態でゲストユーザーを作ったら、どうなってしまうのでしょうか？今回は、パターン別にゲストユーザーを作成したときの影響についてみてみます。 既にAzure ADテナント/ユーザーが作られている場合 ゲストユーザーを登録するAzure ADテナントの

This browser is no longer supported. Upgrade to Microsoft Edge to take advantage of the latest features, security updates, and technical support. こんにちは、Azure & Identity サポート チームの田中と高田です。 本記事は、米国時間 2018年 6 月 14 日に公開された Building Zero Trust networks with Microsoft 365 の抄訳です。 従来の境界ベースのネットワーク制御は時代遅れとなりつつあります。 境界ベースのネットワークには、ネットワーク内のすべてのシステムが信頼できるという前提があります。 しかし、今日ますますモバイル ワーカーが増える中、パブリック クラウドサービスへの移行や

Always on the clock これまでに、セミナーやカンファレンス、書籍を通じてお会いした方々、そしてこれから出会うであろう方々のために Microsoft テクノロジーを中心とした情報を株式会社エストディアンの国井 傑 (くにい すぐる) が提供するブログです。 ※現況を踏まえて2024年2月12日に改訂しました 皆さんこんにちは。国井です。 Microsoft Intuneで管理するWindowsデバイスと言えば、ワークグループPCであることが多かったですが、現実にはオンプレミスのActive Directoryドメインに参加しているPCをMicrosoft Intuneに登録させて使いたい、というニーズもあるかと思います。 Microsoft Intuneにデバイスを登録するときは、Microsoft Entraへのデバイス登録も同時に行うことが事実上必須なので、 1．Mi

This is SO cool! Use Azure AD to login to Azure Linux virtual machines First published on CloudBlogs on May, 29 2018 Howdy folks! Linux virtual machines are very popular in Azure. A challenge everyone faces is securely managing the accounts and credentials used to login to these VMs. Typically, people create local administrator accounts and use either SSH keys or passwords to login to the VM. As p

Azure Active Directory 認証ライブラリ (ADAL) v1.0 を使用すると、アプリケーション開発者は、クラウドまたはオンプレミスの Active Directory (AD) に対してユーザーを認証し、API 呼び出しを保護するためのトークンを取得できます。 ADAL の次の機能を利用すると、開発者にとって認証が簡単になります。 アクセス トークンと更新トークンを保存する構成可能なトークン キャッシュ アクセス トークンの期限が切れ、更新トークンが利用可能になったときの自動トークン更新 非同期メソッド呼び出しのサポート

この攻撃パターンは、個々のユーザーまたは企業から見ると、それぞれが別々のログイン失敗のように見えるため、ほとんどの検出手法 (例えばロックアウトなどの設定) をすり抜けてしまいます。 攻撃者にとっては数字を当てるナンバーズの宝くじのようなもので、攻撃者はよく当たりそうな最も一般的なパスワードをいくつも知っています。これらの最も一般的なパスワードを使用しているアカウントは全体の 0.5 〜 1.0％ 程度ですが、1000 個ほどアカウントがあれば、数個は攻撃が成功するため十分効果的です。 攻撃者は、ログインが成功したアカウントを使用して電子メールからデータを取得し、連絡先情報を収集したり、フィッシングのリンクを送信したり、さらにパスワード スプレーの標的を広げようとします。 攻撃者は、最初の標的が誰であるかについては気にせず、最初の成功をきっかけにその後どれだけ攻撃を広げられるか試していきま

Azure ADとIntuneのデバイスベースの条件付きアクセス機能で「macOSデバイス」も管理可能に：「デバイスベースの条件付きアクセス」機能が拡充 Microsoftの「Azure Active Directory」および「Microsoft Intune」でのデバイス管理機能が拡充。「デバイスベースの条件付きアクセス」機能でmacOSデバイスも管理できるようになった。 Microsoftは2017年8月23日（米国時間）、クラウドベースのディレクトリとID管理基盤「Azure Active Directory（以下、Azure AD）」とクラウドベースのモバイルデバイス統合管理サービス「Microsoft Intune（以下、Intune）」における「デバイスベースの条件付きアクセス」機能で、macOSプラットフォームを新たにサポートすると告知した。 この機能拡充によって、管理者は

Always on the clock これまでに、セミナーやカンファレンス、書籍を通じてお会いした方々、そしてこれから出会うであろう方々のために Microsoft テクノロジーを中心とした情報を株式会社エストディアンの国井 傑 (くにい すぐる) が提供するブログです。 皆さんこんにちは。国井です。 先日、たまたまPower BIを利用する機会があり、ソースにAzure Active Directoryを選択できることを知り、追加してみました。 Azure ADのログを可視化するサービスは色々あるけど、Power BIとの組み合わせの場合、どんな特徴があるのか、探っていくことにします。 まずは実装 Power BIはOffice365の管理ポータルからライセンスを購入する画面から追加できます。 追加すると、Office365のランチャーからPower BIを選択できます。 Power