これにより、Microsoft Entra IDのマイアプリ画面から他のアプリへアクセスする際、他のアプリのパスワードを使用せずに認証を通すことができます。
他のアプリの例としてGoogle Workspaceを使用し、認証方式は第1回(この記事)はOIDC(Open ID Connect)、第2回はSAML(Security Assertion Markup Language)を取り上げます。
- 操作環境：
- OS：Windows 11
- Webブラウザー：Edge
- 使用プラン：Microsoft Entra ID P1(試用版)
- 対象アプリ：Google Workplace Business Starter(試用版)
Google WS 試用開始(参考)
今回、SSOの対象アプリとしてGoogle Workspaceを使用します。参考まで、14日間の試用版を使ったサインアップ手順を簡単に紹介します。
申込画面でプランを選択します(この例ではStarter)。会社名等を入力し、[次へ]を選択します。
Microsoftシステム管理者の連絡先を入力し、[次へ]を選択します。
[はい、このメールアドレスを使用します]を選択します。
図表1-2で指定したメールアドレス宛に6桁コードが送付されていますので、それを入力して[所有権を証明]を選択します。
Google Workspaceのユーザー名(Entra IDと同じ値にすること)とパスワードを入力し、ロボットによる操作でないことを示し、[同期して続行]を選択します。
名前と住所、メインの連絡先、支払い方法を入力し、[同意して続行]を選択します。
この画面上は支払い方法の値を省略していますが、試用段階でも入力は必要です。また、試用期間中にキャンセルすれば料金はかかりません。
宣伝メッセージが表示された場合、[今回はスキップ]を選択します。
初期設定ウィザードが表示されますが、今回はSSOに関連する設定のみ行うため、ウィザードに基づく設定は行わず、[完了]を選択します。
[お支払い情報を設定する]画面で[完了]を選択します。
[新しいアカウントへようこそ]画面で[理解しました]を選択します。
左メニューの [アカウント>ドメイン>ドメインの管理]を選択し、[ドメイン所有権の証明]を選択します。
SSOでSAMLを使用する場合(第2回で実施)、Microsoft Entra IDのテナント作成時と同様、使用ドメインのTXTレコードの設定が必要となりますので、ここで設定します。
[同意して続行]を選択します。
画面のTXT追加手順に従い、ドメインプロバイダーの管理画面にてTXTレコードを追加し、[ドメインの所有権を証明]を選択します。
なお、以前の記事でお名前.comを使ったカスタムドメインのTXTレコード追加手順を紹介しています。よろしければ参考にしてください。
[ドメインに加えた更新を…]画面が表示されたら、[確認]を選択します。
[ドメインxxxxの所有権の確認が完了しました]画面が表示されたら、[GMAILの有効化開始]を選択します(この例ではGMAILは使わないのですが、これしか選択できないので)。
初期設定を促されますが、途中でキャンセルできるところでキャンセルし、 Google Workspace管理画面に戻ります。
Google WS OIDC設定
ここからが本題のOIDCの設定となります。
Google Workspace管理画面の左メニューの[すべてを表示]を選択します。
左メニューの[セキュリティ>認証>サードパーティのIdPによるSSO]を選択し、[SSOプロファイルの割り当ての管理]の[使ってみる]を選択します。
[別のSSOファイル]を選択し、[Microsoft -OIDC]を選択し、[承認して保存]を選択します。
[組織の代理として同意する]にチェックをつけ、[承諾]を選択します。
Google Workspace側の設定はこれで完了です。
Entra管理C OIDC設定
WebブラウザーよりMicrosoft Entra管理センターにアクセスし、左メニューの[ID>アプリケーション>エンタープライズアプリケーション]を選択し、サブメニューの[すべてのアプリケーション]を選択します。
前の工程で設定したGoogle Workspaceが表示されますので、これを選択します。
Google Workspaceを使用するメンバーを追加します。これにより、追加したメンバーのマイアプリ画面にこのアプリが表示されるようになります。
サブメニューの[ユーザーとグループ]を選択します。
[ユーザーまたはグループの追加]を選択します。
[ユーザーとグループ]の[選択されていません]を選択します。
この例ではアプリを組織内のメンバが使用することとし、internal_membersグループに割り当てました。
なお、システム管理者は前の画面で割当済でしたので、ここでは選択していません。
Microsoft Entra ID側の設定はこれで完了です。
一点補足します。
同じサブメニューの[サインインログ]より、OIDCを設定したアプリのサインインをログを確認できます。次の工程でマイアプリ画面からのアクセスを試しますが、そのログもここに出力されます。
マイアプリからのOIDC動作確認
Microsoft Entraにサインインし直し、Webブラウザーからマイアプリ画面にアクセスし、[Google Workspace]を選択します。
ユーザー名(メールアドレス)を入力し、[次へ]を選択します。
パスワードを入力することなく、Google Workspaceにアクセスできました。
次の記事(SAMLの設定方法)に続きます。
当ブログ内の連載記事
当ブログ内の関連記事
