Azure AD を使用した SSO 認証の設定#

#目的

会社で Azure Active Directory をお使いですか？Data Platform アプリにログインするためにそれを使用したい場合、このガイドはあなたのためのものです。

IAM を開き、Auth. Provider をクリックします。

まだ行っていない場合は、新しい Azure AD 認証プロバイダーを追加してください。そうでない場合は、編集するだけです。

設定は2つの部分に分かれています。まず、Microsoft Azure 上の権限を設定する必要があり、その後、Data Platform Identity Access Managerで認証プロバイダーを設定します。

#Azure の設定

Data Platform を Azure コンソールに登録する必要があります。https://portal.azure.com にアクセスしてください。

#ステップ1. テナント ID を取得する

Tenant ID は、Azure 会社環境の ID です。これを見つけるには、Azure サービスのリストから Azure Active Directory を選択します。次に、サイドバーで「プロパティ」をクリックします。

#ステップ2. Identity Access Manager を登録する

次に、Microsoft Azure AD 内にアプリケーションを登録する必要があります。これは、Azure に接続したい任意のアプリで動作しますが、今回は Data Platform IAM を直接登録します。

サイドバーで App Registrations を選択します。次に、New registration をクリックします。

#名前

名前は純粋に説明的なものです。これは、Azure AD 内で設定を検索するのに役立ちます。

#サポートされているアカウントの種類

このパラメータは、Data Platform IAM に認証するために使用できる Azure AD ディレクトリを指定します。Data Platform IAM にログインできるのは、あなたの AD だけにするために、この組織ディレクトリ内のアカウントのみ を選択することをお勧めします。

#リダイレクト URL

Web を選択します。

URL フィールドに、Data Platform で追加した新しい認証プロバイダーの Reply URL フィールドをコピーして貼り付けます（これは Data Platform IAM 全体で同じです）。

これで完了したら、Register をクリックします。

#ステップ3. クライアント ID を取得する

Client ID は、新しく追加したアプリケーション（すなわち Data Platform IAM）のユーザー ID です。これは、その概要ページで Application (client) ID を探すことで見つけることができます。

#ステップ4. クライアント シークレットを取得する

IAM アプリケーションのページで、サイドバーで Certificates & secrets をクリックします。New client secret をクリックします。

説明と有効期限を任意のものに設定し、Add をクリックします。

クライアント シークレットが作成されたら、Value をコピーして保存します。

#ステップ5. Azure AD から基本的な権限を有効にする

IAM アプリケーションのページで、サイドバーで API permissions をクリックします。New permission をクリックし、Microsoft Graph を選択します。

Delegated permissions を選択します。

Data Platform 上の Azure AD 認証プロバイダーの機能全体を動作させるには、2つの権限を追加する必要があります。

• profile: この権限は、UserInfo エンドポイントを使用して Azure AD からユーザー情報を取得する必要がある場合に必要です。
• Group.Read.All: この権限は、カスタム マッピングのために Azure AD からグループのリストを取得する必要がある場合に必要です。

それらをリストから見つけて、両方を追加します。

最後に、Grant admin consent for your-app をクリックし、確認します。

すべての権限が正しく追加されたら、画面はこのようになります。

#まとめ

すべての前の手順を正しく実行した場合、この情報のリストを持っているはずです。

Tenant ID (Step 1): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
Client ID (Step 3): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
Client Secret (Step 4): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

#Data Platform Identity Access Manager の設定

Data Platform Identity Access Manager で新しい認証プロバイダーを設定する必要があります。

#基本情報の入力

• 名前 / 説明: これは新しい認証方法の内部名と説明です
• ディレクトリ: これはこのディレクトリから作成されるすべてのアカウントの統一タグです。例えば、Azure を入力できます
• タグ: これはさらにタグ付けオプションを提供します。完全にオプションです
• リプライ URL: これは認証プロバイダーがリダイレクトする Data Platform の URL です
• アクティブ: これはこの認証プロバイダーがログインに使用できるかどうかを指定します
• デバッグモード: これはオンにすると、Control Center で認証ログを表示できるようになります

#Azure 設定の入力

Azure Configuration パネルを見つけてください。

前のセクションで Azure で収集した情報を次のように入力してください:

• テナント ID: テナント ID (Azure の設定のステップ 1 で取得)
• クライアント ID: クライアント ID (Azure の設定のステップ 3 で取得)
• クライアント シークレット: クライアント シークレット値 (Azure の設定のステップ 4 で取得)
• スコープ: これは Data Platform が Azure AD からアクセスできる情報の量を表します。このフィールドはオプションです: 空白のままにすると、openid email profile の値が使用されます
• AzureAD でユーザー情報エンドポイントを有効にする: このエンドポイントは、IAM が Azure AD Graph API に対して追加の GET https://graph.microsoft.com/v1.0/users/me 呼び出しを行うことを可能にします。その結果、標準の OpenID フィールドに加えて、応答に "user" サブオブジェクトが追加されます。これにより、ユーザーの追加情報（例: 職位）を取得できます

#バインド

Bindings パネルは、Azure AD と Data Platform の間のフィールドのマッピングをカスタマイズできます。

メール、ログイン、名前、姓はデフォルトでマッピングされています。

Azure AD から Data Platform Identity Access Manager に追加情報（例: 職位）を保存する必要がある場合は、バインドをオーバーライドできます。

バインドを設定する最も簡単な方法は、ユーザーのログインから応答を取得することです。以下の手順に従ってください:

1 - 新しく設定した Azure AD 認証プロバイダーを使用して、Data Platform の任意のアプリケーションにサンプルログインを行います。 2 - IAM 認証プロバイダー（ここでは Azure AD）の Log History ページを開きます。

3 - 最新のログを開きます: Azure AD からの元の応答は次のようになります:

{
  "aud": "3a0f2280-36e3-457b-a72a-d74fca8a0eae",
  "iss": "https://sts.windows.net/058c4703-07ad-4c14-87e5-e08241c8cb8f/",
  "iat": 1628084238,
  "nbf": 1628084238,
  "exp": 1628088138,
  "amr": [
    "pwd"
  ],
  "email": "test@example.com",
  "family_name": "Smith",
  "given_name": "John",
  "idp": "https://sts.windows.net/82b3359c-9391-4d7c-a0f2-816751a97641/",
  "ipaddr": "62.23.151.245",
  "name": "John Smith",
  "oid": "db6723ba-d536-4c72-bfb4-c089d88fe7d8",
  "rh": "0.ARAAA0eMBa0HFEyH5eCCQcjLj4AiDzrjNntFpyrXT8qKDq4QAOw.",
  "sub": "3H2vG1r81UmzHRIp74IHcYjONOSMZf4gQ12M_ELMorY",
  "tid": "058c4703-07ad-4c14-87e5-e08241c8cb8f",
  "unique_name": "test@example.com",
  "uti": "GO1KbxWFg0ChEVKPUDqhAA",
  "ver": "1.0",
  "memberships": [
    {
      "@odata.type": "#microsoft.graph.group",
      "id": "7d232d98-c942-4405-9380-a644b6db1eb7",
      ...
      "description": "TestGroup",
      "displayName": "My Group",
    },...
  ]
}

4 - デフォルトのメール、ログイン、名前、姓に加えて、Azure AD からの任意の追加プロパティを、Data Platform で "JSON" モードを使用してカスタム configuration.XXX フィールドとして保存できます。

例えば、Azure AD の name フィールドから Data Platform に fullname プロパティを追加できます:

{
  "login": "email",
  "email": "email",
  "pronoun": "",
  "firstname": "given_name",
  "lastname": "family_name",
  "configuration.fullname": "name"
}

#カスタム マッピング

Custom mappings パネルは、この認証プロバイダーを通じてログインしたすべてのユーザーを自動的にロールまたはグループに割り当てることができます。

カスタム マッピングの設定方法を学ぶ。

#ライブ設定

Azure AD の設定は完了しました! まだ行っていない場合は、Create をクリックしてください - それ以外の場合は、Save を確認してください。

認証プロバイダーのリストで、新しい方法を確認できます。必ず active に設定してください。

この新しい認証方法が表示されるように、選択したアプリケーションに対して設定してください。アプリケーションのログインページに Azure AD オプションが表示されるはずです。これをクリックすると、Azure ログイン画面にリダイレクトされます。または、すでにアカウントにログインしている場合は、直接アプリケーションにアクセスできます。

アプリのログインページに Azure AD を表示する

#さらに詳しく

ソリューションの実装に関するトレーニングや技術サポートが必要な場合は、営業担当者にお問い合わせください、またはこのリンクをクリックして見積もりを取得し、プロフェッショナルサービスの専門家にプロジェクトのカスタム分析を依頼してください。

Data Platform を構築するチームと直接やり取りし、質問をしたり、フィードバックを送信したり、Discord の専用チャネルに参加してください。

OVHcloud サービスに関するサポートが必要な場合は、ヘルプセンターでリクエストを作成してください。

ユーザーコミュニティに参加してください。