Azure AD B2C の行方と新たに登場した Microsoft Entra ID for customers のどっちがいいの？MicrosoftSecurityAzureADidentityEntra こんにちは、@daimat と申します。 Microsoft Security Advent Calendar 2023 1 日目を担当させていただきます、よろしくお願いいたします。 Microsoft の CIAM ソリューションは 2 つ存在 CIAM とは Customer Identity and Access Management の頭文字から成り立ち、読んでくださっている皆さんから見たお客様の ID を管理することを指しています。ちなみにサイアムと読むそうです。 この CIAM ソリューションは、以前からある Azure AD B2C に加えて現在パブリックプレビューとし

As public and private organizations continue to grow their cloud presence to improve workflows, reduce inefficiencies, and empower employees, there's an increased concern about data residency, privacy, compliance, and security. Microsoft is committed to addressing these concerns for all organizations with a full suite of offerings, including more than 50 that are country or regional specific. Toda

[Microsoft] Azure AD B2C カスタムポリシー Identity Experience Framework なんもわからんリンク集AzureActiveDirectoryADB2C ただのリンク集です。 冴えないCustom Policyの育て方 ざっくりカスタムポリシーの概略です。 IEF開発者のWiki 今はMSDNに移ったのでなんもないです。 レポジトリのほうにバックアップがあります。 MSDNよりわかりやすいかも。 Gaining Expertise with Azure AD B2C Microsoftが出している教育用（？）ドキュメントです。 まだ読んでいませんが、これでなんとかなるかも？ Azure AD B2C を使用して外部ユーザーがアプリに安全にアクセスできるようにする Microsoft Learnのコンテンツです。 カスタムポリシーは出てこない（

はじめに 以前書いたこちらの記事で、Azure ADロール（Azureロールも）は個別のアカウントに対して付与するのではなく、グループに対して付与しましょう…ということを推奨しました。 「グループに対するAzureADロールの付与」はプレビュー機能なので、プレビュー機能なんて不安で使えないよ、という場合は一旦諦めて、個別ユーザーに対して権限を付与します。なお、このプレビュー機能は「グループ作成時」に有効にしておかないと後から有効に出来ないので注意が必要です。 ただし、記事記載時点(2021/4)では、グループに対するAzure ADロールの割り当てはプレビュー機能であったのですが、どうやらGAされたようでしたので改めて試してみました。 GA情報 こちらの公式のBlogに記載がありました。 Assigning roles to Azure AD groups is now easier in

本記事は Azure Tech Advent Calendar 2021 1 日目の記事です。 Japan Azure Identity Support Blog では、お問合せの多い事象へのトラブルシューティング方法や、運用環境でのおススメの構成などサポート情報を中心に案内しておりますが、今回の記事は、プレビュー機能についていろいろと試してみた所謂「やってみた系」の記事です。 認証コンテキスト自体は 2021 年 3 月に Microsoft Ignite で 発表された条件付きアクセス ポリシーの新しい機能ですが、日本語での解説記事が全然出ておらず、個人的にもっと広まってほしいと思い、この機会にご紹介します。 重要 認証コンテキスト機能は、現在 Public Preview での提供であり、プレビュー期間中は作成した認証コンテキストを削除できません。 そのため以下の手順をお試しいただく

Azure Static Web Apps での認証は、以前は Azure AD, Apple, Facebook, GitHub, Google, Twitter の設定はできました (Apple は新しい気がするな）。 そして2021年5月の GA の頃に OpenID Connect をサポートしてる IdP なら認証の設定ができるようになりました。OIDC サポートの IdP といえば、Auth0, Okta, AWS の Cognito や LINE とかぱっと浮かぶところでしょうか。 そして Azure AD B2C もですね。 今回は知名度も人気もいまだまだ低いであろう Azure AD B2C での設定方法をやっていきましょう。 ちなみに B2C 以外のOIDC プロバイダーを使った場合でも、SWA の設定やコードのは後半の SWA の認証設定を見れば、応用して設定できるは

新製品？　新サービス？　突如現れた「Windows 10 in cloud configuration」って何ですか：企業ユーザーに贈るWindows 10への乗り換え案内（96） Microsoftは2021年2月初め、公式ブログで「Windows 10 in cloud configuration」をアナウンスし、「Microsoft 365」のWebサイトに同名のページを公開しました。名称からは“Windows 10の特別な新エディションあるいはサービス”のように思えるかもしれませんが、簡単に言ってしまえば「Microsoftの既存のクラウドサービスを利用したソリューション例」といったところです。 企業ユーザーに贈るWindows 10への乗り換え案内 Windows 10 in cloud configurationは新製品／新サービスにあらず 「Windows 10 in clo

この記事はFIXER 2nd Advent Calendar 2020（https://adventar.org/calendars/5752）9日目の記事です。 前日はこちら（https://tech-blog.cloud-config.jp/2020-12-08-power-apps-portal-webservice/） FIXERの藤井です。今回は現在（2020年12月8日時点）、プレビューとして公開されている「Azure AD認証を利用したLinx VMへのログイン」について、「Cent OS／Ubuntu」の2パターンで検証し、最終的なゴールとして「Linuxへのログインログ」がどんな形で残されているかを確認します。 本記事の前提知識として理解しておくべき事項 Azure AD 認証について Azure AD 認証とはVMのログインなど各種システムでのユーザー認証（アクセスを要

管理者としてサインインしたり、別のユーザーのアカウントをアクティブ化できなくなるため、Microsoft Entra 組織から誤ってロックアウトされないようにすることが重要です。 複数の "緊急アクセス用アカウント" を組織に作成することにより、誤って管理アクセスが不可能になることによる影響を軽減できます。 緊急アクセス アカウントは特権性が高いため、特定の個人には割り当てられません。 緊急アクセス用アカウントは、通常の管理者アカウントを使うことができない "緊急事態" に制限されます。 緊急用アカウントはどうしても必要なときにだけ使うという制限を守ることをお勧めします。 この記事では、Microsoft Entra ID で緊急アクセス用アカウントを管理するためのガイドラインを提供します。 緊急アクセス用アカウントを使用する理由 次のような場合に緊急アクセス用アカウントの使用が必要になる

ちょっと必要に駆られたのでメモ書きです。Azure App Service（Web Apps/Functions）には通称EasyAuth（Authentication/Authorization）という便利な機能がありますが、今のところ簡単に設定できるのはAzure ADやTwitterなどのソーシャル系のみです。 このPostではEasyAuthでAzure ADではなくAzure AD B2Cを指定して、かつフロントエンドのWeb Appsと裏側のAPIとなるFunctionsをそれぞれ保護するためのTipsを纏めておきます。 想定環境としては以下のような感じ。 認証・認可はAzure AD B2C側で行うようにWeb AppsとFunctionsのEasyAuthを構成します。 Web Appsで提供されるWebアプリはJavaScriptとかで直接Functionsに通信するけど

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

Azure AD連携をしてAWSを利用している会社もあるかと思います。 そのときにaws-cli使うのが面倒すぎたので自動化するツールを作りました。 適当なIAM　User作ればよいという話もありますが、個別に全員分発行するのは面倒だし全員で同じアカウント使い回すのも微妙だし、退職者管理とかも考えるとAzure AD連携を活かせるほうが良いかなと思います。 ※2019/01/08 追記： tokenの有効期限が固定になっていたので設定で渡せるようにしました 概要 あまり詳しくないですが、Azure AD連携の場合はSAMLを利用しているかと思います。 なのでSAMLのXMLを持ってきてassume-role-with-samlをすれば一時的セキュリティ認証情報が取得できます。 やり方は以下に書いてあるとおりです。 https://aws.amazon.com/jp/premiumsuppo

20180803_Security JAWS 【第10回】#1「すぐ出来る！デスクトップSSOはサーバレスで」

前回の記事 Azure Functions と Azure Active Directory B2C を連携させる　その１ に続いて、Azure Active Directory B2C の Local 認証(email による、ADユーザによる認証）に加えて、ソーシャルによくある Facebook から情報を持ってきて、ログインしたり、新しいユーザを作ったりする機能のセットアップを試してみる。下の図はその設定が終わった図だ。 Facebook Application を作成する 最初に、Facebook Application の登録を行う。方法はここに書いてある。 Azure Active Directory B2C: Provide sign-up and sign-in to consumers with Facebook accounts 全くこのままなので、特に問題ないが、一応

Azure Functions を 使うときに認証をかけたい場合があるだろう。今回は、つぎの３つのテーマを達成するために少しづつやってみよう。 Azure Functions と、Azure Active Directory B2c を連携させてユーザ認証する Facebook と連携してアカウントを作れるようにする 多要素認証を有効にする RBAC まずは今回は最初の一つ目からやってみたい。 1. Azure Active Directory B2C を作成する Azure Active Directory B2C はクラウドのID マネジメントシステムで、一般ユーザ向けに認証認可の管理や、多くの、SNSとの連携 (Facebook, Google 等) 多要素認証など、コンシューマ向けのID管理で必要なことは一通りできる様子。さて、これをServerless の基盤と合わせて設定すると

ここ数年の Office 365 の機能拡張で、Rights Management 機能やモバイル管理機能などなどが追加され、ますます使い勝手がよくなった Office 365 ですが、Intune や Azure Rights Management などとの違いがいまいちわかりずらいというご指摘もいただきます。 そこで、今回はこの部分をさらっとサマッておきたいと思います。 まずは Office 365 の各エディションの違いから。 以下の通り Office 365 には様々なエディションが用意されているわけですが、セキュリティや管理にフォーカスしてみると、さほど違いがないことがわかります。違いがあるとすれば、Information Rights Management（IRM）です。E3 と E4 は標準でサポートされていますが、その他のエディションでは別途 Azure Rights Ma