【de:code 2020】 Apps on Azure AD - アプリケーション連携 WHY と HOW

*本資料の内容 (添付文書、リンク先などを含む) は de:code 2020 における公開日時点のものであり、予告なく変更される場合があります。
#decode20 #
Apps on Azure AD
アプリケーション連携の WHY と HOW
S09
兒玉雄介
マイクロソフトコーポレーション
Senior Program Manager, Identity Division

自己紹介
兒玉雄介 Yusuke Kodama
Azure AD 開発部門 PM
仕事
お客様要件と製品のギャップを埋める

本セッションについて
対象者
課題
ゴール
• Azure AD アプリケーション連携を啓蒙したい IT 管理者/SI パートナー
• 社内アプリケーションを管理する開発者、ビジネス部門メンバー
• アプリケーション連携といっても種類がいろいろあり TPO がわからない
• できるのは知っているがどう導入/提案を進めればよいかわからない
• アプリケーション連携の WHY を理解する
• アプリケーション連携/展開の HOW を理解する

セッションアジェンダ
アプリケーション連携とは WHAT
“連携”という言葉、あいまいですよね
アプリケーション連携の WHY
やる価値を訴求出来ないと案件化できませんよね
アプリケーション連携の HOW
組織全体のアプリ連携をどう推進すればよいでしょう？

Azure AD でのアプリ一元管理
オンプレミスアプリケーション
Cloud HR Cloud
Networking and
delivery controllers
Azure AD Connect
cloud provisioning
Inbound provisioning Outbound provisioning
Single Sign On (SSO)
Conditional Access
(アクセスコントロール)
Outboundprovisioning
SingleSignOn(SSO)
Azure AD
App Proxy
Secure Hybrid Access
自社 App

Cloud HR Cloud
Networking and
Azure AD Connect
cloud provisioning
Conditional Access
SingleSignOn(SSO)
Azure AD
App Proxy
SSO とアクセスコントロール
自社 App

Cloud HR Cloud
Networking and
Azure AD Connect
cloud provisioning
Conditional Access
SingleSignOn(SSO)
Azure AD
App Proxy
アプリへのアカウントプロビジョニング
自社 App

Cloud HR Cloud
Networking and
Azure AD Connect
cloud provisioning
Conditional Access
SingleSignOn(SSO)
Azure AD
App Proxy
クラウド HR からのアカウントプロビジョニング
自社 App

Cloud HR Cloud
Azure AD
App Proxy
Azure AD Connect
cloud provisioning
Conditional Access
SingleSignOn(SSO)
Networking and
オンプレミスアプリの外部公開
自社 App

利用シーンの例
※1. Open ID Connect, Oauth, SAML などのモダンプロトコルを利用するアプリに加え様々な形式のアプリに対応

組織に上手く浸透していない
展開方法がわからない
連携成熟度診断
Start
アプリ一元管理
の必要性を理解
している
Azure AD
アプリ連携が
進んでいる
Finish
※ここでは SSO 連携を
イメージしてください
価値の理解が
必要
NO
YES
既にある基盤
を利用中
YES
NO NO
WHY Azure AD を訴求方法論 (HOW) を訴求

WHY：どうして Azure AD 連携が有益か？
Cloud
Azure AD Connect
cloud provisioning
SingleSignOn(SSO)
Office 365
Azure AD
Conditional Access
セキュリティ
ユーザー利便性
訴求ポイント
自社 App

WHY?：セキュリティの側面からの回答
既存 Office 365 向けに完璧に実装されたセキュリティを
そのまま活かすことができる
Azure MFA
Conditional Access
Identity Protection
Password Protection
Smart Lockout
非機能要件の一部 (セキュリティ、監査など) を Azure AD に負
担させる

WHY?：ユーザビリティ側面からの回答
PC にログインすればそのまま SaaS アプリを利用できる
Azure AD の新しいデバイス管理パターンを理解しよう
パスワードレス認証をすべてのアプリケーションに利用できる
パスワードレス認証
セルフサービスパスワードリセットを利用可能

WHY?：コスト側面からの回答
当然乱立する ID 基盤を集約することで管理コストが下がる
リモートワーク導入が急務な今、必要なセキュリティ/ユーザービリ
ティを Azure AD で実現すること自体がコスト低減につながる

さらに
Azure AD B2B 機能を活用した外部組織連携
Identity Governance でアプリ権限ライフサイクル管理
日々追加される新機能

Azure AD B2B をあなたのアプリにも活用
アプリケーション
社員用アカウント外部アカウント
• 外部の人の退職をどのように知るか？
• 外部アカウント管理の負荷
アプリケーション
社員用アカウント
外部アカウント
招待
認証は自分のテナントで発生
する
= アカウントが使えなければア
プリも使えない
詳細はこちらのセッションで！開発部門が手掛けた Azure AD B2B 大規模展開 in Japan
外部組織のユーザー管理負荷を押さえつつアプリケーションの外部共有を実現

Identity Governance capabilities
• 権限の付与～剥奪までのライフサイクルを自動化
• 利用期間を指定
• 期間終了時、ゲストを消す設定も
Announcement in EMS Blog
Entitlement Management
アプリ権限の付与をシステム化しま
しょう
Access Reviews
そのひとのそのアクセス権限、まだ必
要ですか？この人はもうこのアプリは使って
いないはずだから権限をはく奪
しまーす
• これまで Excel でやっていた権限棚卸業務をシステ
ム化
• ゲストユーザーのみを対象としたレビューが可能
Azure AD Access Reviews

Azure AD アプリ連携が無償化
security defaults
https://techcommunity.microsoft.com/t5/azure-active-directory-identity/unlimited-sso-and-new-azure-ad-features-to-simplify-secure/ba-p/1257358#

My Apps UX refresh
https://techcommunity.microsoft.com/t5/azure-active-directory-identity/help-your-workforce-discover-and-connect-to-all-their-apps-with/ba-p/1144694

Illicit Consent Grants 対策
Admin consent workflow (doc)
管理者の同意が必要なアプリケーションに対してエンドユーザーがアクセスす
ることを管理者に対してリクエストための機能
Publisher verification (doc)
アプリケーションの安全性を評価するためにアプリケーション発行者の信憑
性を証明するための仕組み。Verified ステータスになっているアプリは
Microsoft Partner Network (MPN) を通じて身元が確かになっている発
行者から発行されたアプリであることを同意時に確認することができる
Azure AD 上でマルチテナントアプリとして作成されるアプリに適用対象
https://docs.microsoft.com/en-us/microsoft-365/security/office-365-security/detect-and-remediate-illicit-consent-grants?view=o365-worldwide

Illicit Consent Grants 対策
Consent Policy (doc)
ユーザー同意の Enable/Disable の中間の選択肢が追加に。Microsoft
が認定した発行者が発行したアプリ、または組織で低リスクに位置付けら
れている権限についてのみユーザーによるデータアクセス許可 (同意) を許容
する、などの設定が可能に
Risk based consent (doc)
Microsoft がリスクがあると判断したアプリケーションについてはユーザーによ
る同意が有効になっていたとしてもブロックされる

ロードマップ
Enterprise Apps API
PowerShell および Microsoft Graph で Enterprise Application の作
成及び編集ができるように
Automatic App migration from ADFS
ADFS に連携されているアプリケーションを自動で Azure AD へ移行
利用には Azure AD Connect Health の有効化が必須

ロードマップ
Automatic App migration from ADFS

よくあるブロッカーシナリオ
IT 管理者は Azure AD 連携をやる気があるのだが・・・
IT 担当者
アプリ開発者
社内のどこに、どのくらい巻き取れるアプリケーションがあるかわからない
IT 部門へのアプリ利用申請の仕組みが存在していない
はやいし融通が利くから自分
で認証基盤も作ろっと
ビジネス部門
認証連携ってなに？
わからないからアプリベンダーにお勧めの
ID 基盤も一緒に提案してもらおう

HOW : アプリケーション連携キャンペーン
社内への情報発信によるアプリケーション連携促進
キャンペーンを実施
IT 担当者がビジネスオーナーやアプリ開発者に向けて
プロアクティブに発信

HOW :アプリケーション連携キャンペーン
テンプレートをこちらからダウンロード
English 日本語
English 日本語

HOW :アプリケーション連携キャンペーン
テンプレートをこちらからダウンロード
English 日本語
English 日本語
自社ブランド、個別メッセージなどを追加・編集
Intune 対応や連携実装時の組織間費用負担などの記載を追記する場合がある
公開 – 全社員の目につくところに
全社ポータルトップページに掲載
全社ニュースレターで配信
会社のカフェテリアのディスプレイに表示など

AD FS application activity report による検出
https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/migrate-adfs-application-activity

Cloud App Discovery による検出
ネットワークログの読み込み
WDATP 連携によるリアルタイム収集
社内のシャドー IT を検出する仕組み
https://docs.microsoft.com/en-us/cloud-app-security/editions-cloud-app-security-aad
https://docs.microsoft.com/en-us/cloud-app-security/set-up-cloud-discovery
https://docs.microsoft.com/en-us/cloud-app-security/tutorial-shadow-it

いよいよ連携
アプリの連携やアプリケーションギャラリーへの SaaS アプ
リケーション掲載方法はこちらで解説しています！
http://aka.ms/AzureAdWebinar
※Season4 計画中です、上記ブックマークをお願いします！
Season2
Session#2 Azure AD の SaaS アプリケーション認証への応用
資料のダウンロードはこちら

Call to Action: この部屋を出たあと
セキュリティ、ユーザー利便性、コストを訴求
あなたの組織/お客様の課題が HOW であれば・・・
テンプレートをダウンロードして Application キャンペーンを開始

今日お話しできなかったトピック
aka.ms/migrateapps
aka.ms/migrateapps/whitepaper
aka.ms/aaddev
Identity platform videos
SCIM Reference Code Wiki
Build a SCIM endpoint and configure user provisioning with Azure AD
Blog post

Azure AD webinar (Link)
Azure AD 開発チームプログラムマネージャーがお送りする日本語の Webinar です。
Identity 管理者が押さえておくべきソリューション/機能を初心者向けに解説しています。
Azure AD 動画集 (YouTube プレイリスト)
Azure AD 製品開発チームによる Azure AD ソリューション/機能紹介の短編動画集です。5-
10 分くらいの長さのものが多いので学習の初期段階の参考になると思います。
Microsoft Learn – Microsoft ID の実装 (Link)
Azure AD おすすめコンテンツ

© 2018 Microsoft Corporation. All rights reserved.
本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。
© 2020 Microsoft Corporation. All rights reserved.
本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。
本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。

【de:code 2020】 Apps on Azure AD - アプリケーション連携 WHY と HOW

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 【de:code 2020】 Apps on Azure AD - アプリケーション連携 WHY と HOW

Similar to 【de:code 2020】 Apps on Azure AD - アプリケーション連携 WHY と HOW (20)

More from 日本マイクロソフト株式会社

More from 日本マイクロソフト株式会社 (20)

Recently uploaded

Recently uploaded (8)

【de:code 2020】 Apps on Azure AD - アプリケーション連携 WHY と HOW