sidebarIdM実験室いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。AD]ハイブリッド環境におけるドメイン参加とシングルサインオン1こんにちは、富士榮です。Passport)については、これまでもidconや本ブログなどでも解説をしてきました。10をどうやって組み合わせて活用していくのか?が焦点になっていくものと思われます。ADと連携することで得られる利点について解説していきたいと思います。10を使うことで更に活用できますよ、というシナリオです。ちなみに、やれることは単純にデバイスへのログインと社内アプリ、社外アプリへのシームレスなログイン(シングルサインオン)ですが、この環境を実現するためのシナリオとしては複数の方法があります。現在も主流となっているオーソドックスな方法です。FSがダウンすると全滅するという弱点がありました。WAP経由となるため、ファイルサーバなどの非Webアプリケーションへの対応ができない、など機能面で現実的な選択ではありませんでした。Workを利用する方法おそらく今後の本命になると思います。ADに参加したPCでもシームレスに社内外のアプリケーションを利用できます。Workではカバーする予定らしいので、そうなると無敵です。弱点は基盤構築が超面倒なところですかね。SCCMとかIntuneとかのMDMが必要になりそうです。今回紹介する方法です。Passportで利用する形をとります。認証する局面においてクラウド・オンプレの間で連携がないので、完全に環境を切り離すことが可能なので、可用性はあんまり気にしなくても良いのが利点です。この後解説しますが現状はちょっと環境を選びます。◆実現することおさらいですが、以下を実現します。Workシナリオではありません。実現するためには以下の前提や制限があります。ConnectでメールなどUPN以外の属性でオブジェクト・マッチングをするとNG。ADに登録されるまでには結構時間がかかります。Connectによる同期、ログインの順で処理が走るので、同期の前後でログインをする必要があります)◆準備作業まず、準備として以下の2点を行います。Join)を行うためのタスクの有効化グループポリシーの設定を行います。⇒管理用テンプレート⇒Windowsコンポーネント⇒デバイスの登録から「ドメインに参加しているコンピューターをデバイスとして登録する」を有効にします。Join)」という名前の項目になっています。このポリシーを有効にすることで、クライアントPCにユーザがログインしたタイミングでデバイスを登録するためのタスクスケジューラ(dsregcmd.exe)が起動するようになります。DS上に登録する作業です。Connectに含まれるPowerShellのコマンドレット「Initialize-ADSyncDomainJoinedComputerSync」を実行することになります。Configuration,CN=Services,CN=Configuration,DC=example,DC=comにazureADNameとazureADIdという二つの情報が登録されます。DS上の値を修正する必要がありそうです。(これが原因かどうかはわかりませんが、うまく動かないことがありました)◆PCをドメインに参加させ、ドメインユーザでログイン、そして同期するここは特に何もいりません。グループポリシーが正常に適用されると「Automatic-Device-Join」というタスクが自動的に実行されているはずです。結果、いくつかのことが発生します。初回ログインの際、ドメインに登録されたコンピュータオブジェクトのuserCertificate属性に証明書がセットされます。Connectでデバイス情報の同期を行います。ADへコンピューターオブジェクトを同期しないので、この段階で初めて同期対象となるためです。AD上にデバイスが登録されます。Exploreで確認するしか方法がありません。再度ドメインユーザでログインします。Serviceエンドポイントでの認証に必要なクライアント証明書がダウンロードされます。Passportのデバイス登録フェーズが完了します。Token(PRT)が取得できるので、そのあとは必要なアクセストークンを取得してアプリケーションを利用、という流れでシングルサインオンが実現します。AD上のアカウント情報が表示されます。ADと連携したアプリケーションへアクセスするここまで来れば、これまで紹介したものと同じです。ADでのログインを求められることなく、アクセスできます。ややこしいフローになるため、次回は少し深いところの仕組みを解説し、なぜこのような動きをするのか?を解説したいと思います。よりアクセス解析を行っています。品質向上のみを目的とし、個人の特定などを目的とはしておりません。中で公開されることはあります。問い合わせ不明点等は管理人までご連絡ください。本プライバシーポリシーは予告なく変更/削除することがあります。プライバシーに関するトラブルについては一切の責任を負いかねますのでご了承ください。