Azure AD B2C の概要資料です。

1. https://zatsudan.connpass.com/

2. 本日のお品書き

3. 三回を通じてのゴール

4. 三回を通じてのゴール
• AAD の概要を抑える
• AAD B2C を使用したアプリケーション構築の取っ掛かりを知っ
てもらう

5. 今回のおはなし
• AAD の概要
• AAD B2C の概要
• 仕事と絡めた話
• 過去の導入検討事例
• AAD B2C を中心にしたアプリケーションの構成例

6. Active Directory
• Windows Server 上で動作させるツール(オンプレミスが多い)
• 主に社内システムに繋がるアカウントを管理をする
• 社内ネットワークからアクセスする
• 利用例 )
• AD で管理されたユーザを使用して社内システムへログインし、社内ア
プリケーションへアクセスする
• AD で管理されたユーザを使用して社内システムへログインし、社内の
ファイルサーバへアクセスする

7. Azure Active Directory
• Azure 上で動作するサービス
• 主に SaaS 等を利用するアカウントを管理する
• インターネットからアクセス
• 利用例)
• AAD で管理されたユーザを使用して Microsoft365 へログインし、
Microsoft Teams を利用する
• AD と AAD は、似て非なるツール

8. AD と AAD の連携
• Azure AD Connect を使用して AD のアカウントを AAD へ同期
• Windows Server 上に AADC サーバを構築する
• 基本的に AD → AAD の一方通行
• ※ パスワードの書き戻しなどで AAD → AD など一部例外有

9. Azure AD Domain Services
• マネージド Active Directory
• オンプレ AD っぽいもの(結構な差異有)
• 特権Id が使えない
• 双方向フォレスト構築が出来ない(出力方向のみ構築可)
• etc
• オンプレ AD の置き換えが出来るかと言われると微妙

10. Azure AD B2B コラボレーション
• 外部組織のユーザを AAD に招待する機能
• ゲストユーザ == B2B コラボレーションで追加されたユーザ
• パスワード管理などは、外部で行われる
• 招待した側の AAD では、管理しない
• 通常の AD → ドメイン間で信頼構築、リソースのアクセス許可
• AAD → ユーザ単位で信頼構築、リソースのアクセス許可

11. Azure AD B2C
https://docs.microsoft.com/ja-jp/azure/active-directory-b2c/overview

12. Azure AD B2C
• Consumer 向けクラウド型 ID 基盤
• Webアプリ、ネイティブアプリ、モバイルアプリをサポート
• AADの仕組みをコンシューマ向けに提供するイメージ
• オープンな標準プロトコルに準拠
• OpenID Connect
• OAuth 2.0
• SAML (2020/05/26 GA)
• Microsoftの基盤上でセキュアにコンシューマのID管理ができる
• 大規模なスケールにも十分耐えうる基盤が提供される

13. AAD B2C の仕組み
AAD 本体
+ b2c-extensions-app

14. b2c-extensions-app
• AAD B2C は、このアプリを使用してユーザとカスタム属性の情
報を補完する
• このアプリを削除すると、B2C が正常に動作しなくなる
• 削除して30日以内ならば、復元可能
• ※削除して30日が経つと、ユーザ情報が完全に失われる

15. 仕事と絡めた話

16. IDaaS 導入のメリット
• センシティブな情報を極力扱わないで済む
• 個人情報を扱うことは、計り知れないリスクを伴う
• 実装ミス
• 認証方式の根本的な脆弱性
• パスワード平文問題
• ログにパスワード問題
• 複数アプリで共通基盤を使用できる
• 認証周りの実装コスト削減
• 高パフォーマンス、高可用性を実現可能
• ユーザ管理がパフォーマンス不足 = サービスの根本に関わる問題

17. 認証を作るのは、とても大変
• 大量の入力項目
• アプリケーション毎に微妙に違う
• データのバリデーション
• アプリケーション毎に微妙に違う
• ユーザの重複チェック
• ちょっとのミスで簡単に発生する
• 大体似たようなサインアップ・サインイン画面
• セキュリティの担保
• アクセス管理
• ユーザ管理画面
• どう作っても大体似ている
• でも微妙に違う
• 共通化も結構大変

18. 項目追加を考える
• 通常
• 画面に項目追加
• デザイン調整
• DB 定義の修正
• DB のモデル修正
• ViewModel の修正
• DB への書き込み処理修正
• DB からの取得処理修正
• 管理画面の修正
• IDaaS
• 画面に項目追加
• デザイン調整

19. AAD B2C のメリット
• シングルサインオン
• 関連アプリに一貫したUXを提供
• 関連アプリを一か所で管理
• アクセス管理
• ユーザメトリック
• データアクセスに対してコンプライアンスポリシーの適用

20. AAD B2C の料金体系
MAU/月 価格
最初の 50,000 無料
50,001 ~ 899,999 0.616円
900,000 ~ 8,999,999 0.5152円
9,000,000 ~ 9,999,999 0.364円
10,000,000 ~ 0.28円
MFA・SMS・電話イベント 価格
1回 3.36円

21. MAU について
• 月間アクティブユーザ
• 一か月に認証されたユーザ数
• 認証回数 ×
• 認証されたユーザ 〇
• Aさんが 100 回認証されてもカウントは、1

22. 10万MAU辺りの各社比較(超ざっくり)
サービス 価格
AAD B2C 30,800円
Firebase Authentication 無料(恐らく Firebase の周辺機能で課金)
Cognito 452,500円 ($1 100円計算)
Auth0 直接交渉(113,800円 以上)
※ Auth0 は、SLA が無い場合
SLA が必要な場合は、直接交渉
AAD B2C は、MFAを使わない場合
https://azure.microsoft.com/en-us/pricing/details/active-directory-b2c/
https://firebase.google.com/products/auth/?gclid=EAIaIQobChMIzLj2wufL6gIVSb
aWCh1ZdgD1EAAYASAAEgKm4fD_BwE
https://aws.amazon.com/jp/cognito/pricing/
https://auth0.com/pricing/

23. 過去の導入検討事例

24. 要件(2018年の話)
• コンシューマ向けスポーツ大会開催・申し込みサイト
• まず Web アプリからスタート
• 将来的に様々な関連アプリの実装を見据えて認証基盤を実装したい
• コンシューマ向けに、SNSログイン機能を実装したい
• コストは、出来るだけ安くしたい

25. 検討した実装方法(2018年の話)
• AAD B2C
• メリット
• IDaaS のため、認証基盤の管理コストが低い
• 主要な IdP に対応可能
• 実装コストが比較的低い
• デメリット
• ドメインが自由にできない
• メールのカスタマイズが出来ない(出来るがかなり手間だったりした)
• Identity Server
• メリット
• カスタマイズ性が高い(ASP.NET Core 用の middleware のため)
• 自由にメールカスタマイズが出来る
• ドメインが自由にできる
• 主要な IdP に対応可能
• デメリット
• 自前でアプリケーションを実装するため、認証基盤の管理コストが高い
• 実装コストが高い
• アプリケーションを丸々一つ作る必要がある
• プロトコルレベルで問題がある場合なども自前で対応が必要
• iOS 12 の Safari で ASP.NET Core 2.1 の OIDC が壊れる問題などなど

26. 検討結果(2018年の話)
• Identity Server を採用
• 決め手
• メールのカスタマイズが出来ないことにより、ブランドの一貫性が保
てない
• メールカスタマイズが出来ていたら B2C を採用していた(はず)
• 今作るなら B2C (SendGrid をサポート済)

28. 構成例1(基本構成)
アクセス
コンテンツ
認証情報
ユーザ情報
最もシンプルな構成
Webアプリケーションの認証機能として、AAD B2C 単体を使用
Webアプリクライアント AAD B2C

29. 構成例2(外部ユーザストア)
※カスタムポリシー仕様
アクセス
コンテンツ
認証情報
ユーザ情報
ユーザId
ユーザ情報
ユーザId
ユーザ情報
REST API
AAD B2C で基本的な認証を行った上で、外部のデータストアでユーザ情報を補完する構成
B2C のフロー中で REST API を呼び出し、情報を追加してアプリに返すなど
(CRM のユーザ情報と組み合わせるなどの用途)
Webアプリクライアント AAD B2C 外部データストア

30. 構成例3(外部メールプロバイダ)
※カスタムポリシー仕様
アクセス
コンテンツ
認証情報
ユーザ情報
メール送信
メールプロバイダを外部プロバイダにする構成
AAD B2C 単体の場合、メールのカスタマイズが難しいが、外部プロバイダを使用する場合カスタムが可能
例) SendGrid
Webアプリクライアント AAD B2C
メールサービス

31. まとめ
• AD と AAD は、似て非なるもの
• ユーザーフローを使うとすぐにアプリにユーザ管理を実装可能
• ユーザーフローだと複雑な要件が実装しにくい
• 複雑な要件を満たしたい場合は、カスタムフロー

32. 次回予告
• カスタムポリシーを作成してみよう
• カスタムポリシーでメールを送ってみよう
• カスタムポリシーで外部DB にユーザ情報を保存しよう