●Azure AD SaaS 連携 Overview ●Application Gallery への登録 (方法やメリット) ●連携時の注意ポイント

2. メリット
方法
トラブルシューティング
Azure AD SaaS 連携機能の便利さと簡単さを味わう

3. On-premises /
Private cloud
devices datausers apps
THE WORLD BEFORE
MOBILITY & CLOUD

4. On-premises /
Private cloud

5. Windows Server
Active Directory
Azure
Public cloud
Microsoft Azure
Active Directory
Commercial
IdPs
Consumer
IdPs
Partners
Customers
Azure AD
Connect
今日のお話

7. Salesforceのアクセスポリシー
例: 社外からのアクセスは多要素認証を強制
AWSのアクセスポリシー
例: 社外からのアクセスはブロックする
Exchange Online のアクセスポリシー
例: 管理されたデバイスからのみ許可
人事DBの変更が自動でSaaSまで行き渡る

8. Microsoft Cloud
3rd Party SaaS Apps
On Premises Apps
Microsoft Azure
Prevent data leak
Disable print
Restrict download
Enforce MFA
Block sign-in
Allow sign-in
Access Control
Restrictions
OS Platform
Is Compliant / Domain joined
Is lost or stolen
Device Risk
Device
User identity
Group membership
Session Risk
User
Mobile or Cloud app
Per app policy
App
Location
IP range
ApplicationsPolicy ControlsPolicy Conditions
Windows
Defender
Azure AD
Identity
Protection
Service

9. Azure AD との連携により以下のようなメリットがある
• Access Panel を利用可能
• 連携手順が簡単 (手順書も用意されているもの多数)
• 豊富なセキュリティ・監査・利用状況レポート (Azure AD レポート機能)
• 様々な SSO アプリを同じ方式で管理
• グループベースの連携設定 (アクセス管理をビジネスオーナーに委譲)
• セルフサービスでアプリへのアクセス許可を申請
• 将来的なインフラ変更インパクトを軽減
例 : ADFSの更新プログラム適用・アップグレード、フェデレーションからパスワードハッシュ同期への変更等

10. • シングルサインオン
• ID の自動プロビジョニング
• アプリケーションギャラリーの一部アプリケーションについて自動プロビジョニングの機能を実
装済み
https://azuremarketplace.microsoft.com/en-us/marketplace/apps/category/azure-active-
directory-apps?page=1&subcategories=featured
https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-scim-provisioning

11. アクセスパネル
スマホ/モバイル PC
ID の同期 + パスワードハッシュの同期
認証連携
(SAML/OIDC/WS-Fed)
ID 自動プロビジョニング
各種セキュリティ機能
SaaS アプリケーション

12. アクセスパネル
スマホ/モバイル PC
ID の同期
認証連携
(WS-Fed/SAML) 認証連携
(SAML/OIDC/WS-Fed)
ID 自動プロビジョニング
各種セキュリティ機能
SaaS アプリケーション

14. ギャラリーの確認
連携対象ユーザー
/グループの選定 シングルサインオンの設定
プロビジョニング設定
(Option)
セルフサービス設定
(Option)

15. • まずは連携したい SaaS アプリケーションが App Gallery に存在するか確認

16. • ここで設定したユーザー/グループのみが連携対象となる

17. • シングルサインオンのモードは複数存在するが SAML 連携が現在最もメジャー
• SAML ベースのシングルサインオン (今回のセッションはこちらにフォーカス)
• パスワードベースのサインオン
https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-appssoaccess-
whatis#password-based-single-sign-on
• Open ID Connect 連携
https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-v2-protocols-oidc

18. • 自動プロビジョニングが設定可能な場合には以下の設定を実施
• エラー通知用メールアドレス設定

19. • エンドユーザーによるセルフサービスでのアプリ利用申請機能を設定可能

21. ID の同期
② IdP 選択
⑤ 認証
⑦ 追加のセキュリティ検証
• 条件付きアクセスによるアクセス制御
• 多要素認証の実施
フェデレーション設定フェデレーション設定

22. • アプリケーション設定が正しくできているか?確認ポイント
• 設定モードが正しく選択、セットされているか (SP vs IdP initiated)
• 同一サービス上の複数インスタンス構成による Identifier 設定ミスをしていないか
• Azure AD でアクティブなトークン署名証明書と SaaS 側に保持している証明書が一致しているか
• エンドポイント設定が正しいか (Reply URL/Login URL)
• SaaS 側が指定するクレームフォーマットの通り SAML Response 内の属性がセットされているか
• Azure AD での呼び名と一般的な呼び名に違いがあるものがあるので注意
SaaS Providers Azure Active Directory
SSO Server URL Remote Login URL
Entity ID Identifier
Assertion Consumer Service (ACS) Reply URL
AssertionIssuer Issuer URL
SSOLogoutRedirectPage Single Sign-Out Service URL
ResponseAttribute NameID Claim name

23. • 正しくテストユーザーを用意できているか?確認ポイント
• SaaS 側にユーザーが存在しているか/プロビジョニングが正しく実施できているか
• ユーザーが Azure AD 上でアプリケーションにアサインされているか確認
• 正しい NameID を送付しているか
• NameID の大文字/小文字の区別はないか?
• yKODAMA@contoso.com vs ykodama@contoso.com

24. • 症状の切り分け方法
• 1st Party の認証を済ませ Azure AD のセッショントークンを取得しておく
ID の同期
① 1st Party のアプリへアクセス
④ SP-Initiated SSO 試行
② SAML リクエスト認証
③ SAML レスポンス
アクセスパネル
⑤ SAML リクエスト
• User Not Assigned
• Wrong Identifier (multi-instances)
• Wrong Reply URL
• Wrong SAML request format
図の表現上複数アイコンがありますが、同じ端末を指しています。

25. • 症状の切り分け方法
• 1st Party の認証を済ませ Azure AD のセッショントークンを取得しておく
ID の同期
① 1st Party のアプリへアクセス
④ SP-Initiated SSO 試行
② SAML リクエスト認証
③ SAML レスポンス
アクセスパネル
⑤ SAML リクエスト
⑤ SAML レスポンス
• Wrong Reply URL
• Cert not matching
• NameID not matching
• Missing required claims
• User not provisioned
• Application not consuming the response correctly図の表現上複数アイコンがありますが、同じ端末を指しています。

27. A. 必須ではないが、Azure AD Premium を保持している場合には出来ることの幅が広がる
• 認証連携可能 (=Access Panel に表示できる) な SaaS Application 個数制限がなくなる
(Free の SKU では SaaS App 10 個までしか連携できない)
• Azure AD 上の SaaS 認証設定において、グループを指定したアプリケーションのユーザーへの割り当てが可能
Azure AD Premium を保持しないユーザーに SaaS 割り当てを行う場合にはユーザーオブジェクトを追加する必要
がある
• Azure AD ギャラリーに存在しない SaaS アプリとの認証連携が出来る
• クレームマッピングの変更ができない
https://docs.microsoft.com/en-us/azure/active-directory/active-directory-claims-mapping
上記クレームマッピング変更機能については現在 Public Preview であり、Azure AD Premium ライセンスを必要とする機能の
範囲については正式リリース時に発表される。現時点では制約がかかる可能性があるということを考慮する必要がある。
• Azure AD Premium の持つセキュリティ機能を使うことができる
条件付きアクセス、Azure MFA による多要素認証、不正アクセスの検知/レポーティング など

28. https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-app-gallery-listing
• Application Gallery に載ることによるメリットとは?
• ギャラリーに載っていることにより 「多くの人に使われているアプリなんだ」 と認識される
• Azure AD ライセンス SKU に関係なく認証連携が出来るようになる
• マイクロソフトによる連携テストが実施され、その際に生成された手順書も公開される
• Application Gallery に載せるには?

29. • Azure Active Directory Authentication Libraries (ADAL)
https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-authentication-libraries
• Azure Active Directory v2.0 Authentication Libraries (MSAL)
https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-v2-libraries
• ADAL を用いたモバイルアプリケーション開発
• https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-sso-android
• https://docs.microsoft.com/ja-jp/azure/active-directory/develop/active-directory-sso-ios