Azure皆さんこんにちは。ADの概念実証(PoC)に利用可能なプレイブックがマイクロソフトさんから公開されました。ADだけで実現する内容ではなく、実際にはADFSサーバーを使っています。Businessが絡んでくる関係で、色々なパターンがあるのですが、ここで解説しているシナリオはADFSでシングルサインオンするときに、証明書を使った多要素認証を行うパターンを紹介しています。2016バージョンを改めて、まとめておこうかなと思ったわけです。2016の証明書認証の設定は、以前のバージョンと同じく多要素認証の設定で証明書認証を利用するように定義します。ADFS管理ツールから[サービス]-[認証方法]から[多要素認証方法の編集]で証明書認証を選択します。同じ画面から[プライマリ認証方法の編集]で証明書認証を利用するように設定します。アクセス制御ポリシーで、MFAを利用するようなポリシーを選択しておきます。ADFSサーバーの設定はこれだけ。認証局の設定は基本的に「ADFSによる多要素認証の設定」で紹介した・証明書サービスのインストール・クライアントコンピューターへのユーザー証明書のインストールの2つの項目通りに設定していただければ結構です。・CRLを発行・公開していない・物理的にアクセスできない場所をCRLのパスとして指定している(CDPとAIAにLDAPのパスがデフォルトに入っていますが、LDAPってFWの外からアクセスできないですよね)などがあります。このあたりをちゃんとチェックしておきましょう。以上が出来上がれば、証明書認証の設定は完了です。実際にOffice365のサイトにアクセスしようとすると、ADFSサーバーによるSSOプロセスの中で証明書認証が実行され、証明書を持っていれば勝手にサインインが完了し、証明書を持っていなければ認証エラーになります。2016からの機能として、Webアプリケーションプロキシ経由のアクセスに証明書認証だけを使ったアクセス方法というのがあります。ADFS管理ツールのプライマリ認証方法の設定で、エクストラネットの認証方法に[証明書認証]だけを選択することで、Webアプリケーションプロキシ経由のアクセスにユーザー名/パスワードを使わず、証明書だけを使って認証することができるようになります。今までのADFSって、Webアプリケーションプロキシを経由することで必ずユーザー名/パスワードを入れていたので、「なんだよ、シングルサインオンじゃないじゃん」って言ってた人もいると思います。2016からは場所を問わず、ユーザー名/パスワードを入力することなく認証を済ませることができるようになるのです。