Azure ADを使用してSSO認証を設定する#

#目的

このガイドでは、Azure Active Directoryを使用してData Platformアプリケーションにログインする方法を説明します。

IAMを開き、Auth. Providerをクリックします。

まだ行っていない場合は、新しい Azure AD 認証プロバイダーを追加してください。そうでない場合は、編集するだけです。

設定は2つの部分に分かれています。まず、Microsoft Azureでの権限を設定する必要があり、その後Data Platform Identity Access Managerで認証プロバイダーを設定します。

#Azureでの設定

Data PlatformをAzureコンソールに登録する必要があります。https://portal.azure.comにアクセスしてください。

#ステップ1. テナントIDを取得する

テナントIDは、Azure会社環境のIDです。これを見つけるには、AzureサービスのリストでAzure Active Directoryを選択します。次に、サイドバーで「プロパティ」をクリックします。

#ステップ2. Identity Access Managerを登録する

次に、Microsoft Azure AD内にアプリケーションを登録する必要があります。これは、Azureに接続したい任意のアプリで動作しますが、今回はData Platform IAMを直接登録します。

サイドバーでApp Registrationsを選択します。次に、New registrationをクリックします。

#名前

名前は純粋に説明的なものです。これは、Azure AD内で設定を検索するのに役立ちます。

#サポートされているアカウントの種類

このパラメータは、Data Platform IAMに認証するために使用できるAzure ADディレクトリを指定します。Data Platform IAMにログインできるのは、あなたのADのみであるようにするために、この組織ディレクトリ内のアカウントのみを選択することをお勧めします。

#リダイレクトURL

Webを選択します。

URLフィールドに、Data Platformで追加した新しい認証プロバイダーのReply URLフィールドをコピーして貼り付けます（これはData Platform IAM全体で同じです）。

これで、Registerをクリックします。

#ステップ3. クライアントIDを取得する

クライアントIDは、新しく追加したアプリケーション（すなわちData Platform IAM）のユーザーIDです。これをApplication (client) IDとして概要ページで見つけることができます。

#ステップ4. クライアントシークレットを取得する

IAMアプリケーションのページで、サイドバーのCertificates & secretsをクリックします。New client secretをクリックします。

説明と有効期限を任意で入力し、Addをクリックします。

クライアントシークレットが作成されたら、Valueをコピーして保存します。

#ステップ5. Azure ADから基本的な権限を有効にする

IAMアプリケーションのページで、サイドバーのAPI permissionsをクリックします。New permissionをクリックし、Microsoft Graphを選択します。

Delegated permissionsを選択します。

Data PlatformのAzure AD認証プロバイダーの機能全体を動作させるには、2つの権限を追加する必要があります。

• profile: この権限は、UserInfoエンドポイントを使用してAzure ADからユーザー情報を取得する必要がある場合に必要です。
• Group.Read.All: この権限は、カスタムマッピングのためにAzure ADからグループのリストを取得する必要がある場合に必要です。

それらをリストから見つけて、両方を追加します。

最後に、Grant admin consent for your-appをクリックし、確認します。

すべての権限が正しく追加されたら、画面はこのようになります。

#まとめ

前のすべての手順を正しく実行した場合、この情報のリストを持っているはずです。

Tenant ID (Step 1): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
Client ID (Step 3): XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
Client Secret (Step 4): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

#Data Platform Identity Access Manager の設定

Data Platform Identity Access Manager で新しい認証プロバイダーを設定する必要があります。

#基本情報の入力

• 名前 / 説明: これは新しい認証方法の内部名と説明です
• ディレクトリ: これはこのディレクトリから作成されるすべてのアカウントの統一タグです。例えば、Azure を入力できます
• タグ: これはさらにタグ付けオプションを提供します。完全にオプションです
• リプライ URL: これは認証プロバイダーがリダイレクトする Data Platform の URL です
• アクティブ: これはこの認証プロバイダーがログインに使用できるかどうかを指定します
• デバッグモード: これはオンにすると、Control Center で認証ログを表示できるようになります

#Azure 設定の入力

次に、Azure Configuration パネルを見つけます。

前のセクションで Azure で収集した情報を次のように入力します:

• テナント ID: テナント ID (Azure の設定の ステップ 1 で取得)
• クライアント ID: クライアント ID (Azure の設定の ステップ 3 で取得)
• クライアント シークレット: クライアント シークレット値 (Azure の設定の ステップ 4 で取得)
• スコープ: これは Data Platform が Azure AD からアクセスできる情報の量を表します。このフィールドはオプションです: 空白のままにすると、openid email profile の値が使用されます
• AzureAD でのユーザー情報エンドポイントを有効にする: このエンドポイントは、IAM が Azure AD Graph API に対して追加の GET https://graph.microsoft.com/v1.0/users/me 呼び出しを行うことを可能にします。その結果、標準の OpenID フィールドに加えて、応答に "user" サブオブジェクトが追加されます。これにより、ユーザーの追加情報、例えば職名を取得できます

#バインド

Bindings パネルは、Azure AD と Data Platform の間のフィールドのマッピングをカスタマイズできます。

メール、ログイン、名前、姓はデフォルトでマッピングされています。

必要に応じて、Azure AD から Data Platform Identity Access Manager に追加情報を保存するために、バインドをオーバーライドできます。例えば、職名です。

バインドを設定する最も簡単な方法は、ユーザーのログインから応答を取得することです。以下の手順に従ってください:

1 - 新しく設定した Azure AD 認証プロバイダーを使用して、Data Platform の任意のアプリケーションにサンプルログインを行います。 2 - IAM 認証プロバイダー (ここでは Azure AD) の Log History ページを開きます。

3 - 最新のログを開きます: Azure AD からの元の応答は次のようになります:

{
  "aud": "3a0f2280-36e3-457b-a72a-d74fca8a0eae",
  "iss": "https://sts.windows.net/058c4703-07ad-4c14-87e5-e08241c8cb8f/",
  "iat": 1628084238,
  "nbf": 1628084238,
  "exp": 1628088138,
  "amr": [
    "pwd"
  ],
  "email": "test@example.com",
  "family_name": "Smith",
  "given_name": "John",
  "idp": "https://sts.windows.net/82b3359c-9391-4d7c-a0f2-816751a97641/",
  "ipaddr": "62.23.151.245",
  "name": "John Smith",
  "oid": "db6723ba-d536-4c72-bfb4-c089d88fe7d8",
  "rh": "0.ARAAA0eMBa0HFEyH5eCCQcjLj4AiDzrjNntFpyrXT8qKDq4QAOw.",
  "sub": "3H2vG1r81UmzHRIp74IHcYjONOSMZf4gQ12M_ELMorY",
  "tid": "058c4703-07ad-4c14-87e5-e08241c8cb8f",
  "unique_name": "test@example.com",
  "uti": "GO1KbxWFg0ChEVKPUDqhAA",
  "ver": "1.0",
  "memberships": [
    {
      "@odata.type": "#microsoft.graph.group",
      "id": "7d232d98-c942-4405-9380-a644b6db1eb7",
      ...
      "description": "TestGroup",
      "displayName": "My Group",
    },...
  ]
}

4 - デフォルトのメール、ログイン、名前、姓に加えて、Azure AD からの任意の追加プロパティを、Data Platform で "JSON" モードを使用してカスタム configuration.XXX フィールドとして保存できます。

例えば、Azure AD の name フィールドから Data Platform に fullname プロパティを追加できます:

{
  "login": "email",
  "email": "email",
  "pronoun": "",
  "firstname": "given_name",
  "lastname": "family_name",
  "configuration.fullname": "name"
}

#カスタム マッピング

Custom mappings パネルは、この認証プロバイダーを通じてログインしたすべてのユーザーを自動的にロールまたはグループに割り当てることができます。

カスタム マッピングの設定方法を学ぶ。

#ライブ設定

Azure AD の設定は完了しました! まだ行っていない場合は、Create をクリックします - それ以外の場合は Save を確認してください。

認証プロバイダーのリストで、新しい方法が表示されます。必ず active に設定してください。

この新しい認証方法が 表示されるように、選択したアプリケーションに対して設定してください。現在、アプリケーションのログインページに Azure AD オプションが表示されるはずです。これをクリックすると、Azure ログイン画面にリダイレクトされます。または、すでにアカウントにログインしている場合は、直接アプリケーションにアクセスできます。

アプリのログインページに Azure AD を表示する

#さらに詳しく

ソリューションの実装に関するトレーニングや技術サポートが必要な場合は、営業担当者に連絡するか、Professional Services ページを訪れて見積もりを依頼し、専門家にプロジェクトを分析してもらってください。

Data Platform を構築するチームと直接質問し、フィードバックを共有し、相互作用するには、専用の Discord チャネル を利用してください。

OVHcloud サービスに関するサポートが必要な場合は、Help Centre でリクエストを作成してください。

ユーザーコミュニティ に参加してください。