No1.Azure AD Connectを利用するケース
Azure AD Connectを利用している状態で、Microsoft 365と連携します。
また、Directory Syncを利用してActive DirectoryからIIJ IDにアカウントを同期します。
【参考】
ここに記載された内容は参考です。
実際の作業は、お客様の環境に合わせて実施してください。
連携のイメージ
Azure AD ConnectによりActive DirectoryからAzure ADにユーザを同期しつつ、Directory SyncによりActive DirectoryからIIJ IDにユーザを同期します。
また、ID同期されたAzure ADユーザとIIJ IDユーザでフェデレーションを行います。
Azure ADとのフェデレーション時の属性の関連付けのため、IIJ IDユーザのアプリケーション連携IDとIDはAzure ADユーザのimmutableIdとuserPrincipalNameとそれぞれ一致するようにDirectory Syncを設定します。
セットアップフロー例
| 1. 事前準備 | ||
|---|---|---|
| 1.1 Azure AD Connectのセットアップ | ||
| 1.2 Microsoft 365でのドメインの登録 | ||
| 1.3 Windows PowerShellのセットアップ | ||
| 1.4 Microsoft 365アプリケーションの追加 | ||
| 2. Directory Syncのセットアップ | ||
| 2.1 Directory Syncのセットアップ | ||
| 3. 連携設定 | ||
| 3.1 アプリケーションの基本設定の変更 | ||
| 3.2 Graph APIの設定 | ||
| 3.3 フェデレーションの設定 | ||
| 3.4 利用者の設定 | ||
Directory Syncの設定例
以下のように同期させます。
【参考】
実際に関連付けをするActive Directory属性は、Azure AD Connectの設定値に合わせる必要があります。
| Active Directory | IIJ ID | Azure AD | 備考 | ||
|---|---|---|---|---|---|
ms-DS-ConsistencyGuid objectGUID |
-> | アプリケーション連携ID（downstreamId） | -> | immutalbeId | ms-DS-ConsistencyGuidの値が空の場合にobjectGUIDの値が反映されます |
| userPrincipalName | -> | ID (userName) | -> | userPrincipalName |
config.ymlサンプル
log: |
loglevel: info |
ad: |
ldap: |
server: |
addresses: |
- 127.0.0.1 |
user: 'CN=administrator,CN=Users,DC=example,DC=jp' |
base_dn: 'DC=example,DC=jp' |
filter: |
user: 'memberOf:1.2.840.113556.1.4.1941:=CN=IID_IDaaS利用者グループ,OU=IID_Groups,DC=example,DC=jp' |
group: 'memberOf:1.2.840.113556.1.4.1941:=CN=IID_IDaaS利用者グループ,OU=IID_Groups,DC=example,DC=jp' |
iid: |
scim: |
attribute: |
user: |
default: |
emails: |
- primary: true |
ad_bind: |
externalId: userPrincipalName |
downstreamId: |
- mS-DS-ConsistencyGuid |
- objectGUID |
userName: userPrincipalName |
emails: |
- value: mail |
group: |
ad_bind: |
externalId: objectGUID |
displayName: name |