2022年3月19日に開催した Windows Server ＆ Cloud User Group Japan 第29回 勉強会の資料です。 Azure AD B2B コラボレーションのクロステナントアクセス設定について解説します。テナント間のアクセスと信頼を設定することで、ホームテナントで実行された多要素認証の結果をセキュリティクレームとして受け取り、それをそのままリソーステナント側の認可に利用できるようになります。

1. Insight into Azure Active Directory #02
Azure AD B2B Collaboration
New Features
SCUGJ (wSCUGJ) 勉強会 #29 / 2022-03-19
Kazuki Takai - Windows Server & Cloud User Group Japan

2. 本日お話しすること
• Azure AD B2B コラボレーションの新機能
• テナント間の信頼に関する機能
• 外部テナントのセキュリティクレームを信頼する機能
• 多要素認証（の2要素目）を複数回要求されることを回避
※テナントの設定に依存

3. 5分で知りたい方は…
• 日本の Azure Identity サポート チームがブログ
記事を公開しています
• クロス テナントのアクセス設定でよりセキュアなコラ
ボレーションを実現
• 本日の内容は、この記事の記載内容を改めて検証
してみた、というものになります

4. 自己紹介
• たかい （Kazuki Takai）
• 会社員 （某ISP勤務）
• サービス基盤開発、技術開発
• ライセンス関連
• wSCUGJ
• 興味分野：統合管理、ID、自動化、セキュリティ、監視・運用
• 趣味：カメラ（風景写真）、ビデオゲーム、旅行（温泉）
• Microsoft MVP for Cloud and Datacenter Management

5. 始める前に
• Azure AD 使っている人
• 多要素認証を有効化している人
• 条件付きアクセスを使用している人

6. Notice
• 本セッションの内容は
2022-03-18 時点のものです
• 本セッションで取り扱う機能は
現在 Public Preview です
• 仕様が変更される場合があります
• 本セッションの内容は、個人の
見解です

7. 前提知識

8. Azure Active Directory
• Microsoft が提供する ID およびアクセス管理サービス
• クラウドベース
• Microsoft Azure と他の Microsoft SaaS に対する認証認可基盤
• Active Directory Domain Services のクラウド版ではない
• cf. Azure Active Directory Domain Services
• ユーザーを ADDS から同期したり、AADDS へ同期することが可能
• テナント単位
• プライマリドメインとカスタムドメイン

9. Azure Active Directory
• Azure の名前が付いたサービスだが、Azure サブスクリ
プションの中のサービス・リソースではない
• Azure サブスクリプションがなくても存在可能
• 管理インタフェース
• Azure portal / Azure Active Directory 管理センター
• PowerShell / az コマンド
• Microsoft Graph

10. Azure Portal

11. Azure Active Directory 管理センター

12. Azure Active Directory ライセンス
Free
• 無料で利用可能
なエディション
• Azure や Dynamics
365 などを契約す
ると自動で生成
される
Office 365
• ユーザーオブ
ジェクト数の上
限なし
ユーザー単位で
の MFA の強制が
可能（細かい制
御は不可）
Premium P1
• 条件付きアクセ
スの利用が可能
• セルフサービス
パスワード リ
セットやカスタ
ムロールの使用
が可能
Premium P2
• 高度な ID 保護機
能を利用可能
• カバナンスのた
めの特権管理、
ID ライフサイク
ル管理機能を利
用可能

13. テナント
• テナント = 組織
• Microsoft Cloud の世界において、単一のポリシーで
運用される集合・集団
• セキュリティ境界
• ID とデータの所有境界
• Azure Active Directory のインスタンス
• プライマリドメインとして onmicrosoft.com のサブ
ドメインを持つ

14. ホームテナントとリソーステナント
• ホームテナント
• ID の実体が存在するテナント
• 認証（と認可）を実施 : IdP（Identity Provider）
• リソーステナント
• （アクセス先の）リソースが存在するテナント
• リソース : アプリケーションやデータ
• リソースに対する認可を実施 : RP（Relying Party）

15. ホームテナントとリソーステナント
認証 認可
認証要求
アクセス許可
リソースアクセス
アカウント（ID）を所有・管理 リソースを所有・管理
ホームテナント リソーステナント

16. Azure AD B2B コラボレーション
• Azure AD External
Identities の機能
• 自分の組織にゲスト
ユーザーを招待
• 共同作業を可能に
B2B コラボレーションの概要 （Microsoft Docs） より引用

17. Azure AD のユーザー アカウント タイプ
• メンバー
• 自テナントが ID の発行者である場合の既定値
• 既定でディレクトリに対する Read 権限を持つなど、
組織内の基本情報にアクセス可能
• ゲスト
• ExternalAzureAD が ID の発行者である場合の既定値
• 要するに自テナント以外で認証されるユーザーのデフォルト
• 例外あり
• 既定では、ディレクトリオブジェクトへのアクセスが
一部制限される

18. Azure AD のユーザー アカウント タイプ
• メンバーかゲストかは
変更可能
• 通常は変更する必要はない

19. 外部コラボレーションの設定（以前から設定可）
• 外部ユーザー（ゲスト）が AAD
のオブジェクトを読み取りアク
セスできるかの設定が可能
• デフォルトは、「一部制限」
• 外部ユーザーを誰が招待可能か
設定可能
• デフォルトは、「誰でも可能」
• ゲストユーザーも、さらにゲスト
を招待可能

20. 本題

21. こんなことはありませんか？
• リソースアクセス時、複数回 MFA が要求される
• やめたい（メリットが大きくない割に手間がかかる）
• 条件付きアクセスと併用していると、どのテナントに
対する MFA 要求なのか一見分からなくなる
• アクセス可能なリソーステナントを制限したい
• ユーザーごとに許可するリソーステナントが異なる
• 各リソーステナントで使用するアプリは同じ

22. こんなことはありませんか？
• リソースアクセス時、複数回 MFA が要求される
認証 認可
認証要求
アクセス許可
リソースアクセス
【ポリシー】
多要素認証が必要
【ポリシー】
多要素認証が必要
MFA
MFA

23. こんなことはありませんか？
• アクセス可能なリソーステナントを制限したい
Azure Portal
Tenant B
Azure Portal
Tenant A
User 1
User 2

24. 突然ですが、
問題です！
左の画面は、どのテナント
に対する MFA を要求されて
いるでしょうか？

25. 突然ですが、
問題です！
左の画面は、どのテナント
に対する MFA を要求されて
いるでしょうか？

26. 突然ですが、
問題です！
左の画面は、どのテナント
に対する MFA を要求されて
いるでしょうか？

27. ちなみに…（多要素認証設定時）
どのテナントの多要素認証を設定中かは、画面の左上を確認

28. テナント間アクセスの新機能（Preview）
• クロス テナント アクセス設定
• 送信アクセス設定と受信アクセス設定による、
きめ細かいアクセス制御の実施
• 信頼の設定に基づく、外部組織のセキュリティ
クレームに含まれる情報の受容
• サインイン ログによる詳細な状況の把握

29. 送信アクセス設定と受信アクセス設定
• 送信アクセス
• 自テナント = ホームテナント
• リソーステナントのアプリケーションにどのユーザーやグループ
がアクセス可能（又は不可能）かを設定
• リソーステナント単位で設定可能
• 受信アクセス
• 自テナント = リソーステナント
• ホームテナントのユーザーやグループに対して、アクセスの許可
（又は不許可）を設定
• ホームテナント単位で設定可能
• 信頼の設定が可能

30. 信頼の設定
• 受信アクセスのみ設定可能
• ホームテナントのセキュリティクレームに含まれる
情報を信頼し、アクセス認可のために使用
• 多要素認証の結果を信頼する
• デバイスの準拠状況を信頼する
• Hybrid AD Join しているデバイスを信頼する

31. 概要: Azure AD 外部 ID を使用したテナント間アクセス (プレビュー) （Microsoft Docs） より引用

32. 設定に必要なロール
• クロステナント アクセスの設定
• グローバル管理者
• セキュリティ管理者
何れかのロールを持つアカウントが必要

33. 認証フロー
External Identities の認証と条件付きアクセス（Microsoft Docs） より引用

34. 認証フロー
1. リソーステナントへのサインインを開始
2. ホームテナントの条件付きアクセスポリシーを評価
ホームテナントの送信アクセス設定を評価
リソーステナントの受信アクセス設定を評価
3. リソーステナントの受信アクセス 信頼設定を評価
4. セキュリティ クレーム内に、信頼設定に基づき信頼可能な情報が含まれている場合は、
それらを使用して認可を実施
情報が不十分な場合はホームテナントに情報提供又は MFA の実施などを要求
5. MFA が要求された場合、ホームテナント上で MFA を実行し、セキュリティ クレーム
としてリソーステナントに送信
リソーステナント側で認可を実施
6. 信頼の設定がない場合には、リソーステナント側で MFA 等認可に必要な処理を試行

35. サインイン ログ
• ユーザー ID は自テナント上のユーザーオブジェクト ID
• クロステナント アクセスの種類
• なし
• B2B コラボレーション
• アプリケーション
• リソース
• リソース テナント ID とホーム テナント ID

36. ホームテナント内のアクセス B2B コラボレーション
ユーザー ID はリソーステナント
側のユーザー オブジェクト ID
リソーステナント側のサインイン ログ

37. Demo

38. External Identities

39. クロス テナント アクセス設定

40. クロス テナント アクセス設定

41. 対象テナントの追加

42. 送信アクセス設定

43. 受信アクセス設定

44. 信頼の設定（受信アクセス）

45. ブロック
送信アクセス設定による
ブロック 受信アクセス設定による
ブロック

46. 実際の動作
• ホームテナントの MFA が未設定の場合
• リソーステナントから MFA が要求されると、ホームテ
ナントの MFA 設定画面に移行（その場で設定）
• ライセンスがアサインされていない場合
• ホームテナント側で当該ユーザーにライセンスが未アサ
インであっても、動作する（サインイン可能）
• テナントにライセンスがアサインされている前提
• この状態で使用することは【ライセンス違反】

47. 余談：Azure AD B2B Direct Connect
• Azure AD B2B 直接接続
• 外部ユーザーとコラボレーションする際の別手法
• テナント間で（双方向の）信頼関係を結ぶ
• 個々のユーザーをゲストとして招待する必要がない
• ユーザー単位の Consent も不要（管理者による同意）
• Teams Connect の Shared Channel で利用
B2B direct connect - Establish a mutual, two-way trust with another Azure AD organization for seamless
collaboration. B2B direct connect currently supports Teams shared channels, enabling external users to access your
resources from within their home instances of Teams. B2B direct connect users aren't represented in your directory,
but they're visible from within the Teams shared channel and can be monitored in Teams admin center reports.
External Identities in Azure Active Directory (Microsoft Docs)

48. 注意点
• （現時点では）クロステナント アクセス設定で同一テナントを複数回
追加することはできない
• （現時点では）受信アクセス・送信アクセスの設定を規定値から継承
しない場合、テナントごとに一つの構成（ポリシー）のみ設定可能
• クロステナント アクセス設定のみでは、ユーザーA には App1、ユーザーB に
は App2 をブロックする、といったことはできない
• B2B コラボレーションの場合、リソーステナント側で条件付きアクセスを設定
すれば、（おそらく）制御可能 ※未検証
• 基本的に、クロステナント アクセス設定でアプリケーションを細かく
制御することは考えない方が良いと思います

49. 必要なライセンス
• 以下の場合は Azure AD Premium P1 以上が必要
• 送信アクセス設定でユーザー、グループ、アプリケーション単位
の制御を行う場合
• 受信アクセス設定でユーザー、グループ、アプリケーション単位
の制御を行う場合
• 受信アクセス設定で信頼の設定を行う場合
• 受信アクセスの既定値に対する設定を含む
• 信頼の設定を行う場合、MFA 等はホームテナント上で実行
されるため、MFA 等の部分に関してはホームテナント側で
ユーザーに適切なライセンスが付与されていればよい

50. まとめ
Azure AD の External Identities に追加された
クロス テナント アクセスの設定を用いると
ユーザーの手間を削減しつつ
セキュアなアクセスを実現可能

51. 参考資料
• Collaborate more securely with new cross-tenant access settings
• B2B コラボレーションの概要
• 概要: Azure AD 外部 ID を使用したテナント間アクセス (プレビュー)
• B2B コラボレーションのためにクロステナント アクセス設定を構成する
(プレビュー)
• External Identities の認証と条件付きアクセス
• Azure AD External Identities の課金モデル
• External Identities in Azure Active Directory
• Microsoft Teams Connect shared channels is rolling out to public
preview