Azure皆さんこんにちは。ADにまで拡張することで、ADFSの要らないシングルサインオンの方法を紹介しましたが、この仕組みにはもうひとつの実装方法があります。それは「パススルー認証」というサインイン方法です。(ちなみに、前回紹介したパスワードハッシュ同期はPHS、パススルー認証はPTAと略すそうです。Directoryに丸投げするという認証方法で、前回も登場したスライドを拝借すると、こんな感じの仕組みです。Directoryへインバウンドの通信が発生しているように見えます。ADの間で接続します)。やって、既存のオンプレミスのインフラに対する変更ができるだけ起きないようにしながら、シングルサインオンの仕組みを実現してくれています。■パススルー認証の設定ですが、パスワードハッシュ同期との違いは、サインオン方式で[パススルー認証]を選択するだけ。他はいつも同期ツールと一緒です。Explorerを起動します。Explorerのイントラネットゾーンに以下の2つのURLを入れておきます。https://autologon.microsoftazuread-sso.comhttps://aadg.windows.net.nsatc.netここまでできたら、Office365のサイトにアクセスし、ユーザー名を入力します。すると、シングルサインオンすることが確認できます。えっ、シングルサインオンできていいの?シングルサインオンできたけど、パスワード丸投げはどこ行ったの?そう思った方のために動きを整理しておきましょう。★☆★ここから先は私の推測も入るので、間違っていたら誰か指摘してくださいね。■ドメイン参加PCが社内からOffice365にサインイン→パスワードハッシュ同期+SSO■ドメイン未参加PCやドメイン参加のPCが社外からOffice365にサインイン→パスワードを丸投げするパススルー認証パススルー認証におけるシングルサインオンとは、実は「パスワードハッシュ同期+SSO」と同じことをしています。パススルー認証では「パスワードをオンプレミスに丸投げする」と言いましたが、それはサインイン画面にパスワードを入力していることを前提とした話です。パスワードを入力することのないシングルサインオンでは、丸投げするパスワードがそもそも存在しないのです。(代わりに?)パスワードハッシュ同期+SSOと同じ仕組みを使って、シングルサインオンをさっさと済ませてしまいます。Directoryにアクセスできないため、パスワードハッシュ同期+SSOで使っていたシングルサインオンのためのTGTやSTのチケットをもらえないのです。この場合には、シングルサインオンをあきらめてパススルー認証に切り替えてくれます。)★☆★推測入り、ここまで。実際に、オンプレミスのドメインコントローラーでイベントビューアも見てみましょう。Connectorプロセスから認証が発生しているのをきっかけに、TGTとSTのチケットが一気に発行されていることが確認できます。最後にお受けすることがありそうな質問と回答を一つ。パススルー認証+SSOも、パスワードハッシュ同期+SSOも、どちらも同じ動きをするのであれば、2つの仕組みをわざわざ作る必要なんてなかったのでは?と思うかもしれません。パススルー認証は(これまでに何度も説明しているように)、Office365のサインイン時にオンプレミスにパスワードを転送し、認証を行うため、次の2つの特徴があります。Directoryで設定した各種ルールに沿って認証ができることを指しています。Directoryにはログオン可能な時間帯という設定がありますが、この設定をOffice365にサインインするタイミングで適用させたい(例:AM9-PM5の間だけOffice365にサインインさせたい)などが考えられます。ADドメイン参加を簡単にする皆さんこんにちは。Directoryでもそうだと思いますが、クライアントコンピューターに対する...記事を読むEMS関連の手順書シリーズが公開されました皆さんこんにちは。ADとは?を最初から考えてみる皆さんこんにちは。Authenticationを利用したADFSの多要素認証の設定(1)今日もADFSの多要素認証の話です。多要素認証って何?という話からもう一度おさらいすることにしましょう。Machine)が提供開始されましたね。