sidebarIdM実験室いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。AD特集を寄稿しましたこんにちは、富士榮です。久しぶりの紙媒体です。Directory特集を書かせていただきました。ADとは?」などの基礎的な部分から、実際にアプリケーションとのID連携(SSO/プロビジョニング)を行う方法のウォークスルーまで、と広く浅く10ページ程度でまとめています。日経ネットワークって書店ではほとんど扱っておらず、定期購読していない場合は、以下の直販サイトから購入できますので、よろしければどうぞ。2016年1月号http://ec.nikkeibp.co.jp/item/backno/NN0189.html以下、ゲラの編集中のイメージです。日経ネットワーク2015年12月22日火曜日[告知]1月は「企業及びクラウドにおけるアイデンティティ管理セミナー」こんにちは、富士榮です。最近なんだかんだで毎月イベントに呼んで頂いていますね。(カレンダーを見たら9月から毎月登壇してました・・・)1月は以前からお世話になっている日本ネットワークセキュリティ協会(JNSA)のID管理ワーキンググループの創立10周年記念イベント「企業及びクラウドにおけるアイデンティティ管理セミナー」が開催されます。(今週頭の段階ですでに定員の半分以上の申込があるので、興味のある方はお早めに!!)申込サイトhttp://www.jnsa.org/seminar/2016/0121/以前も紹介しましたが、本ワーキンググループは2005年から活動をしており、主要な成果物として「クラウド環境におけるアイデンティティ管理ガイドライン」や「ロール管理ガイドライン」などを出版しています。今回のセミナーでは10年の歩みを振り返りつつ、これまで作成してきた各種成果物の概要を解説しますので、かなり凝縮された濃い内容になると思います。ID管理に関連したセッション、本ワーキンググループが様々なベンダやコンサル、SIから構成されている特色が良く出るであろうパネルディスカッションも予定されています。Directoryを振り返るセッションも予定されています。AD/IDaaS]Web記事連載が一息つきましたこんにちは、富士榮です。Service)関連の連載が先日終了したので、ラップアップをしてみます。連載は以下でご覧いただけます。全体をとおしてのテーマは「IDaaS」です。ADはもちろん、OneLoginやPingOneなど各社のIDaaSが国内でも採用されてきているので、何故ここにきて「IDaaS」が注目されているのか?を「クラウド」、「モバイル」、「グループ&グローバル」の3つのキーワードで解説をしています。ADを例に何ができるのか?を「認証」、「ID管理」、「監査」の3つの側面から紹介しています。ADのアプリケーション連携のSSOやプロビジョニング機能、レポート機能の概要を解説しています。ADを組み合わせた場合を例に、IDaaSの別の一面であるデバイス管理について紹介しています。Passportの仕組みをオンプレミスADでの統合Windows認証と対比しながら解説しています。全体を通して、なるべく入門レベルを目指して書いているので、まず全体像を把握するための活用して頂けると幸いです。ADについて解説記事が近々公開される予定なので、また紹介したいと思います。AD]PowerShellを使ってユーザの多要素認証設定を変更するこんにちは、富士榮です。ADで多要素認証を使う場合、ユーザ毎に有効/無効/強制の設定を行う必要があるため非常に面倒です。(CSVで一括設定することも可能ですが、リストファイルを作成して管理コンソールからアップロードする必要があるので、ユーザが増えてくると結果確認などを考えると結構面倒です)そういう場合のPowerShellです。手順は割愛しますが、まずはConnect-MSolServiceで全体管理者の権限を持つユーザでAzureへ接続します。PIM(特権ID管理)をうまく使ってヘルプデスクユーザへ一時的に権限を与えてスクリプトを実行させるとセキュアで便利です。この辺りはそのうち細かく紹介したいと思います。うまく接続できたら、早速設定をしてみます。@($auth)管理コンソールで確認すると有効化されていることがわかります。@()@()で空の配列をStrongAuthenticationRequirementsに渡してあげます。管理コンソールを見ると無効化されていることがわかります。@($auth)少しトリッキーです。$auth.StateにEnforcedをセットします。管理コンソールで確認します。設定結果の取得ですが、上記では管理コンソールでの目視をしましたが、もちろん以下のようにGet-MsolUserを使って確認することも可能です。ADの管理体制を上手に運用していけるといいですね。4/TokenエンドポイントのBASIC認証こんにちは、富士榮です。FSがどうなったのかを見ていきたいと思います。Party)を作る上で個人的に一番気になっていたTokenエンドポイントのクライアント認証を見てみました。FSのTokenエンドポイントはBASIC認証をサポートしていませんでした。3の.well-known/openid-configurationを見ると以下のようにclient_secret_basicもサポートされていることがわかります。400が返ってきてしまいました。4ではどこまで治ったのかを見てみます。codeを取得した後、TokenエンドポイントへのPOST時のAuthorizationヘッダにclient_idとclient_secretを":"で接続してbase64エンコードした文字列をBasicに続けて設定します。FS用に変更する必要がなくなりましたね。ADはまだclient_secret_postとprivate_key_jwtしかサポートしていないみたいです。10]Intuneを使ったMobileデバイスの消去こんにちは、富士榮です。AD)へ参加させる方法について解説をしてきました。ADに登録されたデバイス情報が自動的にIntuneに同期され、ポリシーの適用やリモート・ロック、ワイプなどの管理を行うことができるようになります。9に動画をアップしておきました。実際は結構時間がかかるんですが、勝手にデバイスがシャットダウンされ、初期化されていく姿をご覧いただけると思いますので、ぜひご覧ください。AD参加)こんにちは、富士榮です。Passportが動作するイメージを紹介しました。ADに直接参加させて利用・管理するシナリオです。ADへの参加するシナリオに当たります。デバイスを初期化するところから始めますので、試す方はそれなりの準備をしてから試してください。初期化をして最初のセットアップ時のアカウント設定を行います。ここで職場のアカウントでサインインを選択します。説明が出てきますが、次へ進みます。ADアカウントでログインします。何やら設定をしているようです。ここでPINの設定を求められます。このタイミングで多要素認証が求められました。多要素認証が完了するとPINの登録です。一応これでアカウント設定は完了です。引き続きアプリケーションの設定が行われます。完了をしばし待ちます。終わった、と思ったらもう少しありました。ええ、Lumiaを選びましたとも、、、安かったので。デスクトップ画面にたどり着きます。Edgeを起動してアクセス・パネル(https://myapps.microsoft.com)を起動します。当然ですが、シングルサインオンされます。ADの管理画面で見ると「AAD参加済み」デバイスとして認識されています。Intuneでもデバイスは見えます。種別は「企業」になっていますね。ビルドは10.0.13058なんですね。10ではデスクトップでもモバイルでもかなりシームレスに管理ができる様になってきています。デバイスさえそろって来れば、企業で使うには一番管理しやすいデバイスになってくるかもしれませんね。Join)こんにちは、富士榮です。Passportが使えるようになっているはず、ということで試してみます。430のめったに無い出番です)##今回はBYODシナリオです。最初から組織アカウントでデバイスを設定する方法は次回解説します##とりあえず充電しつつソフトウェア更新をかけて、バージョンが1511になりました。Directorry)へ参加させてみます。オペレーションとしてはデスクトップOSと同じく、設定~アカウント~職場のアクセスを開きます。AD参加と同じようなオペレーションですね。Passportを使うhttp://idmlab.eidentity.jp/2015/11/windows-10th2-byodworkplace.htmlこの画面で「職場用または学校用のアカウントの追加と削除」をタップするとアカウント設定の画面へ遷移するため、アカウントを追加していきます。ADのアカウントでログインします。通常のログインと同様にサインインを行います。今回は多要素認証が有効なアカウントだったので、モバイルへの通知がされました。これで設定は完了です。Edgeを立ち上げてアクセスパネル(https://myapps.microsoft.com)へアクセスしてみます。すると、ログイン画面が一瞬みえますが、そのままアクセスパネルが表示されます。アプリケーションへのログオンもそのままシングルサインオンされます。Passportが動いてくれています。ADの管理画面を見るとデバイスが登録されていることがわかります。10においてはデスクトップ用OSでもモバイル用OSでもアカウント管理の面においてはほぼ共通の実装になっていることがよくわかります。Helloを早く試してみたいところです。ADに参加したPCへリモートデスクトップ接続するこんにちは、富士榮です。ADへの参加やHybrid構成など検証したいことはたくさんあるのですが、いかんせんクライアントOSなので都度手元の端末をセットアップしなおして、、というのが非常に煩雑です。AD上のユーザでどうやってログインしたら???という疑問がわいてきます。AD上のユーザを入力してもログインできません。いうことで、今回はちょっとした工夫をしてみます。ADユーザで接続できるように権限設定を行っておきます。Authentication」のチェックを外します。Users」を追加します。これで接続先コンピュータでの作業は終わりです。ADへの参加はしておいてください)◆接続元コンピュータでの作業(RDPファイルの編集)今度は接続元での作業です。VMを作成し接続するとRDPファイルがダウンロードされますので、こちらを直接編集していきます。具体的にはメモ帳などでRDPファイルを開いて、以下の2行を追記します。level:i:2編集後、保存します。これで準備は整いました。◆接続するでは接続するので、RDPファイルをダブルクリックで開いてみます。すると、通常はRDPを開いた段階で認証が走るのですが、接続先コンピュータのログイン画面が表示されます。ADのユーザをログインを行います。AD\hogehoge@xxxx.onmicrosoft.com」という形で入力します。※接続先コンピュータがTH2であれば、UPN(hogehoge@xxxx.onmicrosoft.com)だけでもログインできます。無事にリモートログインできました。Passportも動作しており、シングルサインオンできます。AD]カスタム・アプリケーション向けプロビジョニングにSCIM2.0のサポートこんにちは、富士榮です。Appsやsalesforce.com、BoxなどメジャーなSaaSアプリケーション向けのプロビジョニングをサポートしてきました。Management)のサポートが発表されました。2.0!http://blogs.technet.com/b/ad/archive/2015/11/17/azure-ad-premium-now-supports-scim-2-0.aspxこのニュースを見て、標準ではプロビジョニングできないSaaSアプリケーションでもSCIMをサポートしていればID管理できる!!と思ったのですが、現状はいろいろと制限があります。(PingOneとかSCIMをサポートしている別のIDaaSへのID同期に使えるかと思ったのですが・・・)以下が現状の制限事項として大きい点です。Bearerトークンを使ってアクセスできるSCIMサーバのみなので、実質自分で開発したアプリケーションしか対象はありません。APIを使ってID管理をしましょう。プロビジョニングの構成」メニューが出てくるので、SCIMエンドポイントの設定を行います。idやsecretなどOAuth関連のパラメータを入れる余地はありません。SCIMサーバの作り方はこのあたりに書いてあります。https://azure.microsoft.com/en-us/documentation/articles/active-directory-scim-provisioning/SCIM用のライブラリも用意されていて、nugetでダウンロードできます。AD自体へSCIMを使ってプロビジョニングができるようになると良いなぁ、と思いますので今後に期待です。Passportを使うこんにちは、富士榮です。2」が公開されましたので、早速新機能を順番に見ていきたいと思います。Passportのサポートです。Passportが使えるようになったので、BYODシナリオでもしっかりシングルサインオンしてくれます。ADにサインインをしてみます。すると、なぜかメールとアカウントの画面に飛ばされるので、「他のアプリで使われるアカウント」から「職場または学校アカウントを追加」をクリックします。ADへのログイン画面が出てくるのでサインインしていきます。多要素認証が必要なので、通知が飛ばされます。ポリシーが適用されていきます。このあたりのポリシーの中身はIntuneなんかで設定します。作業PINの作成が要求されます。作業PINなのか職場用PINなのかいまいちわかりませんが、気にせずPINを登録します。作成が終わると準備完了!と言われます。アカウントが追加されていることが確認できます。ここまでで準備は完了ですので、早速ログインしてみます。Passportが有効になり、シングルサインオンされます。Join端末であることがわかります。よりアクセス解析を行っています。品質向上のみを目的とし、個人の特定などを目的とはしておりません。中で公開されることはあります。問い合わせ不明点等は管理人までご連絡ください。本プライバシーポリシーは予告なく変更/削除することがあります。プライバシーに関するトラブルについては一切の責任を負いかねますのでご了承ください。