sidebarIdM実験室いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。後は、関連するニュースなどを徒然と。Extensionでカスタムポリシーを簡単編集こんにちは、富士榮です。de:codeのセッションの中で軽く紹介したんですが、資料にURLなど載せていなかったので紹介しておきます。カスタムポリシーってポータルからダウンロードして、XMLファイルをゴリゴリ編集して再度アップロードして、、という作業を経て構成するので中々とっつきにくい、と思って敬遠している方へ朗報です。B2C用のExtension(ベータ版)が公開されています。Toolshttps://marketplace.visualstudio.com/items?itemName=AzureADB2CTools.aadb2c主な機能と出来ることは以下の通りです。関連するドキュメントの表示XMLスキーマの簡易ヘルプXMLタグにマウスオーバーすると説明がポップアップこんな感じです。ConnectでPingFederateとのSSO構成が可能に!こんにちは、富士榮です。Connectを経由したPingFederateの構成が発表されました。Connect(1.1.819.0)からです。ADとのID連携先としてPingFederateは早い段階から認定されていましたが、より深くインテグレーションされてきました。関連ドキュメントはこの辺りから。AD側のFederationの構成してくれるということです。今、手元にPingFederateの環境がないので、インストーラの途中までですが、こんな感じで設定を行います。PingFederate」が選択できるようになっています。ADのドメインを選択します。Federationの設定を行うところでは、PingFederateに何を設定するかExportしてくれるのと、PingFederateのURLを指定します。ちなみにExportした構成情報は結構丁寧にPingFederateに何を設定したらいいのか記載されています。手動で構成するのもそれほど手間ではないのですが、最初から選択肢として組み込まれてくるとグッときますね。皆さんも自宅に転がっているPingFederateを使って是非試してみてください。60の正式版がリリースされたのでWebAuthnを試してみるこんにちは、富士榮です。Keyが使えるようになったり(まだTAPなど一部ユーザにしか提供されていませんが)と、にわかにFIDO周りがにぎやかになってきました。60.0が正式にリリースされたので手元のYubikeyで試してみます。なんだか増殖してます。Yubikeyの各エディション毎の比較は以下のページから。https://www.yubico.com/products/yubikey-hardware/compare-yubikeys/まずは、Firefoxのバージョンを確認しましょう。次にWebAuthnがちゃんと有効になっているか確認します。about:configを開きwebauthn関係の設定を検索し、「security.webauth.webauthn」がTrueであることを確認します。いうことで、テストしてみます。今回テストに使ったのは、https://webauthn.io/https://webauthn.bin.coffee/の2つのサイトです。https://webauthn.io/です。User/Credentialをクリックします。セキュリティ・トークンを求められるので、Yubikeyを差し込んでタップします。NEOだとダメでした。同じように、https://webauthn.bin.coffee/でも試してみます。Credentialをクリックすると同じようにキーを求められるので、Yubikeyを差し込んでタップします。こちらも無事に登録が出来ました。テストツールでブラウザの対応を確認しただけなので、面白味には欠けますが、これで実際にWebAuthnに対応したWebアプリケーションを作る環境はそろったことになるので、パスワードレスのWebサイトが登場してくるのも近いかもしれません。UseがGAこんにちは、富士栄です。AD関係の以下の機能が一般リリース(GA)されました。Use(ToU)公式Blogでのアナウンスhttps://cloudblogs.microsoft.com/enterprisemobility/2018/04/17/password-less-sign-in-to-windows-10-azure-ad-using-fido2-is-coming-soon-plus-other-cool-news/※主題はFIDO2の話ですが、しれっとBuildでGAされるよ!という話が書いてあります。PIMはいわゆる特権管理ですね。ToUは条件付きアクセスの条件の一つとして設定ができるもので、使用条件に同意をしないとアプリケーションを使わせない、というような条件を設定することが可能です。B2Bのゲストユーザへの同意を求める、というシナリオで紹介しましたね。https://idmlab.eidentity.jp/2017/12/azure-ad-b2bterms-of-use.html他にもIdentity関連のセッションが色々と用意されているようなので、期間中に良い情報が出てくれば紹介したいと思います。Previewこんにちは、富士榮です。ADを使ってるってモロにわかってしまいます。企業内で利用するシナリオだとそれほど問題にならないかも知れませんが、B2Cシナリオでは外部へのプロモーションに使ったりするので問題になることもしばしばあります。同様にB2Cシナリオではログイン画面のカスタマイズを行う前提になると思うので、ドメイン名の問題でJavaScriptを仕込めない、などの機能面での不具合も出てきます。Previewとして公開されたので紹介します。※JavaScriptサポートはまだみたいです。想定外の動きをすることもありますが問い合わせとかはしないようにしましょう。(5/21追記)詳細ドキュメントはこちらです。https://docs.microsoft.com/en-us/azure/active-directory-b2c/b2clogin尚、最初にお伝えしておきますが、本当に好きなドメイン名でログイン画面を構成することが出来るようになるわけではありません。microsoftonline.comの代わりにb2clogin.comという別のドメインが用意され、そのドメイン上のログイン画面ではJavaScriptが使える、というだけです。カスタムドメインを使う時のURLのルールはこのように変わります。<従来>https://login.microsoftonline.com/{テナント名}.onmicrosoft.com<カスタム>https://{テナント名}.b2clogin.com/{テナント名}.onmicrosoft.comでは、早速試してみましょう。◆カスタムUIの準備まずはログイン画面をカスタマイズしてJavaScriptを仕込んでみます。最初にHTMLを作成して、blobにアップします。次に、カスタムポリシーで(もしくは管理画面から)、UI定義で作成したHTMLを使う様に設定します。後は、サインインポリシーやアプリケーションの定義などは必要ですが、この辺りは割愛します。B2Cを使って認証する様に構成します。B2Cを使って認証できるようになります。B2Cのログイン画面が表示されます。ここで、先にアップロードしたHTMLに合った通り、ボタンを押すとAlertが出るはずなんですが、通常のドメインで構成されているのでボタンは全く反応しません。(もちろんログインは出来ます)◆カスタムドメインを使うようやくカスタムドメインの出番です。先のアプリケーションのappsettings.jsonを開き、Instanceの行を直接編集します。元はlogin.microsoftonline.com/tfpだった部分をxxx.b2clogin.comへ変えます。実行してみると、先ほどと同じログイン画面は出ますが、ドメイン名がb2clogin.comになっており、JavaScriptが実行できるようになっています。これで色々とカスタマイズは出来るようになるので、自由度は各段に増します。CAPTHAのCAPYを組み込んでみました。この辺りも全部JavaScriptが前提となるので、従来は実現できなかった構成です。UIのカスタマイズを含む、IdentityExperienceFrameworkの使い方については今月22日~23日のde:codeでチョークトークで解説させていただく予定です。こちらもお越しください。よりアクセス解析を行っています。品質向上のみを目的とし、個人の特定などを目的とはしておりません。中で公開されることはあります。問い合わせ不明点等は管理人までご連絡ください。本プライバシーポリシーは予告なく変更/削除することがあります。プライバシーに関するトラブルについては一切の責任を負いかねますのでご了承ください。