Note 本記事は、2018 年公開の以下の Blog の内容が、現在の機能/技術にマッチしない内容になってきたことを踏まえ、2023 年現在の機能/技術を元に改めて考え方をおまとめしたものとなります。以前に公開した Azure AD が発行するトークンの有効期間について (2018 年公開) の記事は参考のためそのまま残し、新しく本記事を執筆しました。 こんにちは、Azure & Identity サポートの金森です。 Azure AD (AAD) は、Microsoft 365 をはじめ様々なクラウド サービスの認証基盤 (Identity Provider / IdP) として利用されています。その重要な機能としてユーザーの認証が完了したら、アプリケーションに対してトークンを発行するというものがあります。あるサービス (Teams や Exchange Online、他に Azure

Note 本記事は Technet Blog の更新停止に伴い https://blogs.technet.microsoft.com/jpazureid/2018/09/13/azure-ad-join-vs-azure-ad-device-registration/ の内容を移行したものです。 元の記事の最新の更新情報については、本内容をご参照ください。 こんにちは、Azure & Identity サポート チームの倉本です。 今回は、 Azure AD 登録 (registered) と Azure AD 参加 (Azure AD joined) の違いについて紹介します。 Azure AD へのデバイス登録の種類は複数あり、 その違いについてお問い合わせを多くお寄せいただいております。 それぞれについてどういった場面で利用されることが想定されているかを説明していきます。 Azur

こんにちは、Azure & Identity サポート チームの菊池です。 Azure AD 上のユーザーをオンプレミス Active Drectory ユーザーと紐づける方法として、ハードマッチとソフトマッチと呼ばれる方法があります。 今回はソフトマッチについてご紹介します。 ソフトマッチとは ?ソフトマッチとは、Azure AD 上のユーザーとオンプレミス AD 上のユーザーを proxyAddresses または UserPrincipalName (UPN) で紐づけて、同期させる手法のことをいいます。基本的にはユーザーを紐づける必要がある場合には、ソフトマッチを利用することを推奨します。 ソフトマッチができない場合にはハードマッチと呼ばれる方法で直接的に同期時にオブジェクトの一意性を確保するソースアンカーと呼ばれる ID 情報 (ImmutableID) を紐づけます。ハードマッ

こんにちは。 社内オンプレミスにあるサーバー群をクラウドへ移行する顧客も最近になって多くなってきており、その際にADからAzureADへとオブジェクト同期を行っているAADC(Azure AD Connect)サーバーの移行もあわせて必要とするケースが増えてきた印象です。 （いつかはこのハイブリッド構成もなくなるのでしょうが、それまでは移行が必要かと。） 久しぶりにAADC移行を行ったこともあって少し忘れていたので備忘録もかねてAADCサーバーの移行について今更ながらですが、まとめてみました。 本記事が参考にあれば幸いです。 AADCの移行パターン すでにADからAADCを介してAzureADへと同期を行っている環境において、AADCの同期パターンはいくつかあると思っております。 同期元ADが変わらない場合 ①のように同期元ADが何も変わらず、AADCだけを移行する場合については特に同期オ

はじめに こんにちは！kusuwadaです！ Azureを触りはじめて、約1ヶ月が経過しました。 復職して2ヶ月。まさかAzureを触るようになるとは、復職前（いや、正確には1ヶ月前まで）は夢にも思っていませんでした。 AWSマン + ちょびっとGCPマンだったのですが、また新しいクラウドベンダかー！と、AWS vs Azure表なんかを見たりAzureドキュメントを読んだりしながら、お勉強中です。 今回は、Azure上での権限管理について、こんな感じで設定・運用したらどうじゃろうか、というのをまとめてみました。 はじめに なぜ権限管理が必要なのか Azureの権限管理(基本形) おわりに 参考リンク Azureは、AWSとアカウント・ユーザー・ロール的な考え方が結構違います。AWSはアカウントを開設するごとに、これを使用するユーザーをIAMで作成して権限を付与するのに対し、AzureはA

こんにちは、Azure & Identity サポート チームの坂井です。 今回は Azure AD B2B (Business-To-Business) コラボレーション機能 (以下、Azure AD B2B) について紹介します。 /ja-jp/azure/active-directory/active-directory-b2b-what-is-azure-ad-b2b この機能については、上記のリンクでも紹介しています。 Azure AD B2B と聞くと、もしかしたら小難しく聞こえるかもしれませんが、要は、他 Azure AD のユーザーを追加 (招待) する機能のことです。 具体的には、Azure AD を利用する中で、次のような要望がでてくることがあります。 ・会社間 (Azure AD 間) でリソースを共有したい ・別の Azure AD に紐づいているリソースを使用した

こんにちは、Azure & Identity サポート チームの坂井です。 Azure AD に所属しているユーザーの種類として、下記のように 「Member」 と 「Guest」があります。 今回は、こちらのユーザーの種類について説明します。 はじめに 下記のように、個人アカウントや別テナントの職場または学校アカウント (組織アカウント) を追加した (Azure AD B2B の機能を利用した) 場合に、ユーザーの種類が 「Guest」 として追加されます。 これ以外の Azure のサブスクリプションのサインアップで利用した個人アカウントや組織内のドメイン (上記の例の場合：contso.com) をユーザー名 (例：[email protected]) に持つユーザーは「Member」として登録されます。 また、クラシックポータル  (旧ポータル) より追加した外部ユーザーについては

はじめに 皆さん、こんにちは！ 今回は Azure の RBAC 機能による権限管理を行う際に考慮する点や、つまずきやすいポイントを具体的なシナリオと絡めてご説明していきます。 今回は以下のようなシナリオで進めていきます。とりあえず IaaS 利用のみを想定しています。 リソースグループを、ネットワーク / 仮想マシン で分割する ネットワーク用リソースグループの管理者は、ネットワーク以外のリソースを作成できないようにしたい 仮想マシン用リソースグループの管理者は、仮想マシン以外のリソースを作成できないようにしたい イメージとしては下図のように、システム単位や部門単位で仮想マシン周りのコンピューティングリソースを管理して、ネットワークリソースを共用するような構成を想定します。 まずは、各リソースが所属するリソースグループの作成、リソースグループに紐づけるユーザーの作成を行います。今回のシナ

組織に多くの Azure サブスクリプションがある場合は、これらのサブスクリプションのアクセス、ポリシー、およびコンプライアンスを効率的に管理する方法が必要になることがあります。 管理グループのガバナンス範囲は、サブスクリプションを上回ります。 サブスクリプションを管理グループにまとめると、適用するガバナンス条件は関連付けられているすべてのサブスクリプションへの継承によりカスケード表示されます。 管理グループを使うと、サブスクリプションの種類に関係なく、エンタープライズ レベルの管理を大規模に行うことができます。 ただし、単一の管理グループ内のすべてのサブスクリプションは、同じ Microsoft Entra テナントを信頼する必要があります。 たとえば、仮想マシン (VM) の作成に使用できるリージョンを制限するポリシーを、管理グループに適用できます。 このポリシーは、入れ子になったすべ

Facebook 開発者アカウントの資格情報を使用して、開発者向けの Facebookにサインインします。 それをまだ行っていない場合は、Facebook 開発者として登録します。ページの右上隅で [作業の開始] を選択し、Facebook のポリシーに同意して、登録手順を完了します。 [Create app](アプリの作成) を選択します。 この手順では、Facebook プラットフォームのポリシーを受け入れてオンライン セキュリティ チェックを完了することが必要な場合があります。 [Authenticate and request data from users with Facebook Login]>[Next] を選びます。 [Are you building a game?] で [No, I'm not building a game] を選んでから、[Next] を選びます

こんにちは！ よくあるお話なのですが、Office365を利用するにあたってオンプレのActiveDirectoryとOffice365(AzureAD)のID同期をしたい！！ってことが。。。。 実際それ自体は推奨されていますし、ID管理の上でも実施すべきだな～って僕自身思います！！ 今回そんなID同期にて事件発生！(ただの障害なんですが。。。笑)ってことで何がおきたのかとどうすべきだったかを記載して Office365とADの同期を後から実施することに悩まれてる方がいらっしゃったら参考にしていただけると嬉しいです。 そしてなにより言いたいのは 「お願いだからOffice365の利用開始時にオンプレADとOffice365のID同期やっといて」ってこと！！笑 今回記載する内容は「Office365もオンプレActiveDirectoryもID同期なしで利用スタートしちゃって今からID同期や

Note 本記事は Technet Blog の更新停止に伴い https://blogs.technet.microsoft.com/jpazureid/2018/06/01/azure-mfa-%e3%82%92%e6%b1%82%e3%82%81%e3%82%89%e3%82%8c%e3%82%8b%e3%82%bf%e3%82%a4%e3%83%9f%e3%83%b3%e3%82%b0%e3%81%ab%e3%81%a4%e3%81%84%e3%81%a6/ の内容を移行したものです。 元の記事の最新の更新情報については、本内容をご参照ください。 こんにちは、Azure ID チームの田中です。 Azure AD では、ユーザー名、パスワードによるサインインだけでなく、多要素認証 (MFA) を簡単に構成することができます。 私たちのサポートチームでは多要素認証 (MFA) につい

Note 本記事は Technet Blog の更新停止に伴い https://blogs.technet.microsoft.com/jpazureid/2018/02/28/aad-issure-token-lifetime/ の内容を移行したものです。 元の記事の最新の更新情報については、本内容をご参照ください。 警告 アクセス トークンを除き、トークンの有効期間の変更は現在廃止されております。サインインの頻度を変更したい場合には、代わりに条件付きアクセスの 認証セッション管理 をご利用ください こんにちは、Azure & Identity サポート チームの金森です。 Azure AD (AAD) は Office 365 をはじめ様々なクラウド サービスの認証基盤として利用されますが、その重要な機能として認証が完了したアカウントに対してトークンを発行するということがあります。 こ

Warning Azure Active Directory Authentication Library (ADAL) has been deprecated. While existing apps that use ADAL will continue to work, Microsoft will no longer release security fixes on ADAL. Use the Microsoft Authentication Library (MSAL) to avoid putting your app's security at risk. Why migrate to MSAL.NET or Microsoft.Identity.Web Both the Microsoft Authentication Library for .NET (MSAL.NET

この記事では、Azure AD PowerShell を使用して、アクセス トークンの有効期間ポリシーを設定する方法を示します。 Azure AD Premium では、非機密クライアントに対して発行されたトークンの有効期間をアプリ開発者とテナント管理者が構成できます。 トークンの有効期間ポリシーは、テナント全体またはアクセスされるリソースに対して設定されます。 重要 2020 年 5 月以降、テナントで更新とセッション トークンの有効期間を構成できなくなります。 2021 年 1 月 30 日以降は、Azure Active Directory でポリシー内の既存の更新とセッション トークンの構成が考慮されなくなります。 非推奨となった後も、アクセス トークンの有効期間を構成することはできます。 詳細については、Azure AD の構成可能なトークン有効期間に関する記事を参照してください

C#、ASP.NET、TypeScript、Angular を中心にプログラミングに関した話題を諸々。 by @jsakamoto