365こんにちは、Miyaです。Office365のフェデレーションIDの構成1の続編となります。FS、WAPの構成を進めていきましょう。FS、AADConnecの構成から入りましょう。FSの役割インストール~構成までを行えるようになっています。FSにリモート接続するため、WinRMが有効で構成されている必要があります。–forceコマンドでWinRMを有効化しておきましょう。WAPも同様にAADConnectからリモートでセットアップ出来るのですが、あまり現実的でないので個別セットアップで進めていきたいと思います。それでは、AADConnectをインストールしていきましょう。下記サイトからインストールファイルをダウンロード、インストールします。Connectカスタムドメインが”Verified”、つまりはOffice365に追加されていることを確認しておきましょう。オンプレADからAzureADに同期するオブジェクトをOU単位でフィルタリングが可能です。既定で全ての組織単位が選択されていますが、Office365に関係の無いオブジェクトが同期されてはいけませんので、最小限のOUに絞っておきましょう。オプション機能について、パスワード同期を有効にしておくことを推奨します。オンプレミスの認証基盤で障害が発生した場合、一時的にクラウドIDに変換することで、利用者はOffice365上で認証することが可能となります。フォールバックの一手となります。FSファームを構成する」を選択しましょう。FSサーバーの役割をインストールするサーバー・証明書を選択します。FSを構成した際のゴミが残っているため、「データベースファイルを上書きしてもいいか?」と注意書きされていますが、特に気にしなくて結構です。続いてWAPの構成ですが、冒頭で記述したように、AADConnect⇔WAP間でWinRMを構成するのは現実的ではないので、ここでは何も入力せずそのまま次に行きます。FSサービスの実行アカウントを選択します。ここではサービスアカウントグループを作成しておきます。フェデレーションIDとするドメインを選択します。FS⇔Office365の信頼関係の構成およびフェデレーションIDのセットアップは完了です。FSサーバーのプライベートIPを記述しておきましょう。通常、DMZに配置するWAPサーバーのDNS向け先は外部DNSになります。FSのプライベートIPを書いておく必要があります。WAPは外部からの443/TCPのInbound通信が発生するため、外部公開する必要があります。私の自宅環境ではBaffaloルーターのポート変換(NAT)で対応しました。[リモートアクセス]の役割をインストールします。[Webアプリケーションプロキシ]を選択します。インストールが完了したら、サービスの構成に入りましょう。試しに適当な端末でOffice365ログインページにアクセスし、UPNを入力してみましょう。※接続するクライアント端末に、SSL証明書を発行した証明機関のルート証明書がインポートされていない場合、証明書エラーとなるためルート証明書をインポートしておきましょう。UPNを入力すると、Office365はドメインがフェデレーションドメインであると理解し、設定されたフェデレーションサービスのURLを401でクライアントに返します。FSの認証画面にアクセスしています。FSの画面にリダイレクト後、パスワードを入力すると無事サインインできました。環境構築としては以上で完了です。クライアント側の細かい動作については別途纏めておきます。FS+Office365のフェデレーションIDは、複雑な構成、オンプレミスに依存した認証基盤などの理由から嫌悪されがちですが、Office365のID形態の約半数を占める人気の構成です。FSも重宝されると私は思います。PHS、PTA構成を取り入れることで受けれる恩恵は大きいものの、アクセス制御のための下地を作るのは大きい組織ほど大変ですからね。FSだからこそ出来るカスタマイズ構成を記事で取り上げていきたいと思う所存でございます。2018.02.18今回はいくつかに分けて、昨年GAされた「パススルー認証・パスワードハッシュ同期・シームレスシングルサインオン」の3つを記事に纏めていきます。ADFSの証明書認証を構成するでは、証明書認証の構成方法について紹介しました。2018.03.11さて、本テーマの主役(?)ともいえるシームレスシングルサインオン(以下、sSSO)についてです。コメントをキャンセルメールアドレスが公開されることはありません。date*日本語が含まれない投稿は無視されますのでご注意ください。(スパム対策)プロフィールこんにちは、Miya(@miya_microsoft)です。高校~大学では情報科学部としてプログラミングを学び、SEとして某Sierに入社しました。Microsoftプロダクトをメインに設計から構築までを担当しております。本ブログは筆者の業務範囲の中で得た学びをより深めることと、その情報が皆さまのお役に立てればという思いから設立しました。キャンセル投稿を送信できませんでした。メールアドレスを確認してください。メール送信チェックに失敗しました。このブログではメールでの投稿共有はできません。