Alternative Architecture DOJO #4向け Azure ADの外部IDの利用方式の解説

1. Azure ADの外部コラボレーションとBYOID
2020/06/18 Naohiro Fujie / @phr_eidentity

2. 自己紹介
 デジタル・アイデンティティ歴、約17年
 OpenIDファウンデーション・ジャパン/理事、KYC WGリーダ
 米国OpenID Foundation/eKYC and Identity Assurance WG Co-chair
 日本ネットワークセキュリティ協会デジタル・アイデンティティWG
 MVP for Enterprise Mobility 2010～
 LINE API Expert for LINE Login 2018～
 Auth0 Ambassador 2018～
 SIerでビジネス開発を担当
 Blog : IdM実験室（https://idmlab.eidentity.jp）
2020/6/17

3. 本日のテーマ
BYOID＝Bring Your Own IDentity
（個人IDの業務利用）
⇒外部IDを使ったコラボレーション
2020/6/18

4. Azure ADと外部コラボレーション
 企業、学校などの組織内アカウントが対象  顧客など組織外アカウントが対象
2020/6/17
組織向け（Azure AD / Premium） コンシューマ組織向け（Azure AD B2C）
＜外部IDの利用シナリオ＞
組織内の仕事をするために必要な組織外
アカウントとのコラボレーション
• B2B取引（サプライチェーン）
• サプライヤ
• 販売店
など
• 企業におけるリモートワーク
• 大学における入学前～卒業生
＜外部IDの利用シナリオ＞
そもそも外部アカウントが対象
• 顧客管理
• ECサイト
• インターネットバンク
• オンラインゲーム
など
• 同意取得、本人確認、年齢確認など多様
なシナリオ

5. おまけ：宣伝
SELMID（セルミッド） by CTC
B2C事業者向けID基盤導入パック
（Azure AD B2C + テンプレート）
- よく使うシナリオ集（LINE連携等）
- セキュリティ強化
- 本人確認（キャリアDB連携）
- LINEメッセージ
2020/6/17
サービスサイト：
https://ctc-insight.com/selmid

6. Azure ADと外部コラボレーション
 企業、学校などの組織内アカウントが対象  顧客など組織外アカウントが対象
2020/6/17
組織向け（Azure AD / Premium） コンシューマ組織向け（Azure AD B2C）
＜外部IDの利用シナリオ＞
組織内の仕事をするために必要な組織外
アカウントとのコラボレーション
• B2B取引（サプライチェーン）
• サプライヤ
• 販売店
など
• 企業におけるリモートワーク
• 大学における入学前～卒業生
＜外部IDの利用シナリオ＞
そもそも外部アカウントが対象
• 顧客管理
• ECサイト
• インターネットバンク
• オンラインゲーム
など
• 同意取得、本人確認、年齢確認など多様
なシナリオ
本日のテーマ

7. Azure AD / Premiumにおける外部ID連携
 典型的なシナリオはAD FS連携
 自組織の既存ID基盤との連携が目的
 AD FS以外にも以下に対応
 SAML/ws-federationに対応したID基盤
 B2Bにおけるコラボレーションが目的
 典型的なシナリオはOffice365の招待
 他組織のAzure ADアカウントとの連携
 最近、以下をサポート
 SAML/ws-federationに対応したID基盤
 Google, Facebookなどの個人アカウント
2020/6/17
カスタムドメイン（組織ID基盤連携） Azure AD B2B（外部ID連携）

8. 2020/6/17
他組織
個人ID
組織内
Azure ADを中心とした外部IDとの連携
Azure AD
AD FS
Azure AD 他IDaaS他IDaaS
Facebook Google
カスタムドメイン
（組織ID連携）
- SAML/ws-federation
Azure AD B2B
（外部ID連携）
- コンシューマ
- SAML/ws-federation
エンタープライズアプリケーション
SAML
ws-federation
OpenID Connect

9. カスタムドメイン（組織ID基盤連携）
 カスタムドメインのフェデレーション設定（Set-MsolDomainAuthenticactionコマンドで設定）
2020/6/17
Set-MsolDomainAuthentication
-DomainName [カスタムドメイン名]
-Authentication Federated
-PassiveLogOnUri [ログオンURL]
-SigningCertificate [署名検証用公開鍵]
-IssuerUri [IdPのEntityID]
-PreferredAuthenticationProtocol [プロトコル（SAML/WSFed）]
-LogOffUri [ログアウトURL]

10. カスタムドメイン（組織ID基盤連携）
2020/6/17
 ID同期とフェデレーションの構成
 AD FS/AAD Connectでの構成例
Azure AD
Connect
Active Directory
Federation Services
Azure Active
Directory
Active Directory
Domain Services
Kerberos
ADSI
LDAP
Microsoft
Graph
ws-federation
AAD Connectを使ってIDを同期
- 属性マッピング：Rules Editor
- マッチング属性 : ImmutableId
AD FSへID連携（Federation）
- 属性マッピング：ClaimRules
- マッチング属性 : ImmutableId

11. カスタムドメイン（組織ID基盤連携）
2020/6/17
 ID同期とフェデレーションの構成
 AD FS/AAD Connectでの構成例
Azure AD
Connect
Active Directory
Federation Services
Azure Active
Directory
Active Directory
Domain Services
Kerberos
ADSI
LDAP
Microsoft
Graph
ws-federation
AAD Connectを使ってIDを同期
- 属性マッピング：Rules Editor
- マッチング属性 : ImmutableId
AD FSへID連携（Federation）
- 属性マッピング：ClaimRules
- マッチング属性 : ImmutableId
シングルサインオンの世界
プロビジョニング（ID同期）の世界

12. カスタムドメイン（組織ID基盤連携）
2020/6/17
 ID同期とフェデレーションの構成
 AD FS/AAD Connectでの構成例
Azure AD
Connect
Active Directory
Federation Services
Azure Active
Directory
Active Directory
Domain Services
Kerberos
ADSI
LDAP
Microsoft
Graph
WS-Federation
AAD Connectを使ってIDを同期
- 属性マッピング：Rules Editor
- マッチング属性 : ImmutableId
AD FSへID連携（Federation）
- 属性マッピング：ClaimRules
- マッチング属性 : ImmutableId
ポイントはID同期
によりAADにIDを
作成すること

13. Azure AD B2B（外部ID連携）
 外部IDとのフェデレーション設定・ゲストIDの設定
2020/6/17

14. Azure AD B2B（外部ID連携）
2020/6/17
 ID同期とフェデレーションの構成
 Googleでの構成例
Azure Active
Directory
Microsoft Graph
（内部処理）
招待時にゲストアカウントを生成
- 外部APIを呼び出して属性を取得
- マッチング属性 : メールアドレス
GoogleへID連携（OpenID Connect）
- 属性マッピング：ユーザーフロー
- マッチング属性 : メールアドレス
Google（個人ID）
属性の追加
- ユーザ自身による入力
- 外部APIを呼び出して属性を取得
規約同意
（Option）

15. Azure AD B2B（外部ID連携）
2020/6/17
 ID同期とフェデレーションの構成
 Googleでの構成例
Azure Active
Directory
Microsoft Graph
（内部処理）
招待時にゲストアカウントを生成
- 外部APIを呼び出して属性を取得
- マッチング属性 : メールアドレス
GoogleへID連携（OpenID Connect）
- 属性マッピング：ユーザーフロー
- マッチング属性 : メールアドレス
Google（個人ID）
属性の追加
- ユーザ自身による入力
- 外部APIを呼び出して属性を取得
規約同意
（Option）
シングルサインオンの世界
ID作成の世界

16. 構成の比較
2020/6/17
カスタムドメイン Azure AD B2B
構成方法 Set-MsolDomainAuthentication Azure ADポータル
サポートプロトコル SAML/ws-federation SAML/ws-federation/OIDC（一部）
ユーザの作成 事前作成 招待
ユーザの種類 Member Guest
外部IdPとのユーザマッチング ImmutableId Emailaddress
設定単位 ドメイン
設定の有効範囲 Azure ADグローバル 設定したAzure ADテナント
連携可能アプリ マルチテナントアプリ シングルテナントアプリ
ホームレルムディスカバリ ログインユーザのドメイン名
HRD時のユーザ存在チェック あり なし
サポートするヒント属性 user_hint、domain_hint
（アプリとの組み合わせ）
*teamsはOK、myappsはNG
なし
割
愛
し
ま
す
が
実
利
用
で
は
非
常
に
重
要

17. 2020/6/17
他組織
個人ID
組織内
ちょっと応用
Azure AD
Azure AD B2C
Azure AD B2C
Facebook Google
カスタムドメイン
（組織ID連携）
- SAML
Azure AD B2B
（外部ID連携）
- コンシューマ
- SAML/ws-federation
エンタープライズアプリケーション
SAML
ws-federation
OpenID Connect

18. LINEを使ってPCログイン
2020/6/17

19. その他、おまけ
2020/6/17
 G-SuiteへFacebookでゲストログイン
 https://www.youtube.com/watch?v=X0sKjH8NryM
 LINEでMyAppsにゲストログイン
 https://www.youtube.com/watch?v=zm-YfKaz-WM

20. まとめ
 Azure ADを起点として「外部ID」といっても2種類あります
 カスタムドメイン：組織のID基盤との連携
 Azure AD B2B：ゲストIDの利用
 技術的には色々と出来てしまうが、用途・シナリオに応じて適切に
使い分けましょう
2020/6/17