Skip to content

MS_AzureActiveDirectory

Jump to bottom
nishi_74322014 edited this page Aug 4, 2026 · 1 revision

Microsoft Azure Active Directory

補足（最新化）: Azure Active Directory（Azure AD）は、 2023 年に「Microsoft Entra ID」へ改称された。 機能・ライセンス・API・サービス プリンシパル等はそのまま引き継がれており、 変わったのは名称とポータルの導線である。 本ページは元 Wiki の記述（Azure AD 時点）を踏襲しつつ、 現行との差分を注記する形で移行した。

あわせて、AzureAD / MSOnline PowerShell モジュールと Azure AD Graph は 廃止され、Microsoft Graph PowerShell / Microsoft Graph に統合されている。

概要

  • Azure Active Directory、Azure AD（AzAD）は、クラウド用 ID 管理サービスで、

    といった機能を提供するものだったが、

  • 最近は、IDaaS 機能を提供するようになっている。

    • SaaS での SSO 認証
    • オンプレミス ディレクトリとの同期
    • 条件付きアクセス、多要素認証（MFA）

  • そして、更に複雑な機能を提供する。

  • オンプレの Active Directory とは別物と言える。

    • Azure 用の認証基盤で（クラウド用）
    • Microsoft Account, Live ID、MSA に近い（インターネット用）。

移行メモ（補足）: 「オンプレの AD とは別物」という指摘は本質的に重要である。 Azure AD は LDAP や Kerberos、 グループ ポリシー、OU といった AD DS の概念を持たず、 REST（Microsoft Graph）と OAuth 2.0 / OpenID Connect / SAML で構成された まったく別のサービスである。 オンプレミスと同等のプロトコルが必要な場合は、 Microsoft Entra Domain Services（旧 Azure AD Domain Services、 Azure Active Directory Domain Services）を使う。

Edition

無償版 (Free)

  • ユーザー アカウントの管理
  • SaaS での SSO 認証
  • オンプレミス ディレクトリとの同期

オンプレミス・ディレクトリとの同期

  • 選択肢

    • 同期 ID
      • パスワード ハッシュ同期（オススメ）
      • パススルー認証
    • フェデレーション ID
      • Hybrid-IdP 構成によるフェデレーション連携

  • ディシジョン

    • オンプレが Active Directory の場合、全ての選択肢を使用できるが、
    • サード パーティの IdP の場合、Hybrid-IdP 構成によるフェデレーション連携のみ利用可能。

  • なお、同期元は、1 つのオンプレ ディレクトリに限定される。

    • 1 つのオンプレ ディレクトリを複数の Azure AD に同期することは出来ない。
    • 複数のオンプレ ディレクトリを 1 つの Azure AD に集約することは出来ない。

移行メモ（最新化）: 後段の制約は現在では緩和されている。 Microsoft Entra Connect は 複数フォレストを 1 つのテナントに集約する構成をサポートする （UPN の重複がないことなどが条件）。 一方、「1 つのオンプレ ディレクトリを複数テナントへ同期」は 依然として非サポートである（Entra Connect Sync は 1 テナント 1 台）。

有償版

Basic

無償の Azure AD の機能に加え、

  • 組織に合わせたサイトのカスタマイズ
  • グループ ベースのアクセス制御
  • ユーザーによるパスワード リセット
  • 99.9% の SLA

Premium

Azure AD Basic に加え、

  • ユーザーによるグループ管理
  • レポートとアラート機能
  • 条件付きアクセス、多要素認証（MFA）
  • デバイス認証

補足（最新化）: Azure AD Basic は提供終了しており、 現在のエディションは Free / Microsoft 365 Apps / Premium P1 / Premium P2（＋ Entra ID Governance）である。 条件付きアクセスは P1、Identity Protection と PIM（Privileged Identity Management）は P2 の機能である。

ディレクトリ

オンプレミス・ディレクトリ

  • オンプレミスのディレクトリと Azure AD のディレクトリ（テナント）は別物だが、
    同期することが出来る。

Azure Active Directory ディレクトリ (テナント)

各 Azure AD ディレクトリ（テナント）は独立している。

  • YYY.XXX.com
  • ZZZ.XXX.com

既定のディレクトリ

  • 個人アカウント（Microsoft Account, Live ID、MSA）の既定のディレクトリ。
  • Azure 操作のための、ダミーのディレクトリとも言える。
  • 野良テナントなので、非常事態への対応ができなくなる。

O365用と運用用のディレクトリ（テナント）

  • Office 365 用と運用用のディレクトリ（テナント）は別で設けることがある。

機能

アクセス制御

Azure AD のアカウントによるアクセス制御。

  • Azure AD のアカウントは、

    でも利用しているが、

  • Azure AD 自体のアクセス制御は、

    • Azure AD 管理者ロール

    これとはまた、別の機能。

補足: 混同しやすいが、 Azure RBAC ロール（サブスクリプション／リソースへの権限） と Azure AD（Entra）管理者ロール（ディレクトリ自体への権限） は 別々のロール体系である。 例えば「グローバル管理者」は後者であり、 それだけでは Azure サブスクリプションのリソースを操作できない。

ロール（主なもの）

分類 ロール
企業 グローバル管理者（Global Administrator）、課金管理者、会社の管理者
監査 セキュリティ閲覧者
セキュリティ セキュリティ管理者、特権ロール管理者、条件付きアクセス管理者
アカウント ユーザー アカウント管理者、ゲスト招待元（Guest Inviter）、デバイス管理者
パスワード パスワード管理者、ヘルプデスク管理者
サポート要求 サービス サポート管理者
同意フレームワーク非対応アプリ向け ディレクトリ リーダー、ディレクトリ ライター
Hybrid-IdP 構成向け ディレクトリ同期アカウント
SaaS のグローバル アクセス許可 コンプライアンス管理者、レポート リーダー、Intune / Exchange / SharePoint / Power BI 等の各サービス管理者

管理者

Azure AD 管理者ロールは、Azure AD と Office 365 の管理に使用される。

  • ディレクトリ毎に別
    • あるディレクトリで全体管理者になっていても、
      別のディレクトリの全体管理者になるわけではない。
    • 例えば YYY.XXX.com というディレクトリの全体管理者は、
      ZZZ.XXX.com というディレクトリの全体管理者ではない。

ユーザー・アカウントの管理

シングル ドメインのディレクトリ サービスとしてクラウド ID を管理する。

基本的な機能

  • ユーザー アカウントの
    • 追加と削除
    • パスワードの変更
    • ロール／権限の管理

ユーザの招待

Azure Active Directory B2B collaborationを使用してユーザを招待する。

条件付きアクセス

Azure Active Directory 条件付きアクセス

マルチテナント

アプリケーションが SaaS での SSO 認証の機能に対応することで実現する。

SaaSでのSSO認証

OpenID 系の認証は、B2C でも別の機能としてサポートされている。

対象

  • Azure
  • Office 365
  • Salesforce
  • Google Apps
  • Dropbox
  • Facebook
  • , etc.

プロトコル

Hybrid-IdP構成

  • Azure AD（RP 側 STS）←→ AD FS（CP 側 STS）
    詳細はフェデレーション サービス (AD FS)を参照。

  • 上記のような、（Azure AD が RP 側 STS となる）ID フェデレーションは、

    • SAML と WS-FED だけがサポートする。
    • OAuth 2.0、OpenID Connect は、サポートしない。

補足: これは「Azure AD が下流の IdP を信頼する側になるとき」の話で、 Azure AD が IdP として振る舞う場合は OAuth 2.0 / OpenID Connect / SAML / WS-Federation の いずれもサポートされる（混同しやすい）。

なお現在は、外部 IdP との連携手段として 外部認証方法（External Authentication Methods） や フェデレーション ID プロバイダー（OIDC 対応） も追加されており、 「SAML / WS-FED のみ」という制約は緩和されている。

B2X

Azure Subscriptionとの関係

Azure サブスクリプションは、必ず 1 つの Azure AD テナントに信頼を結ぶ。
サブスクリプションのテナントを移し替えることはできるが、
その際に RBAC のロール割り当ては失われる（再設定が必要）。

開発向けの機能

  • Common Consent Framework
    管理者があらかじめ Azure ポータルや PowerShell を使って
    アプリ登録していたものを、アプリ使用時に
    Consent UI（スコープの認可画面）を表示して権限設定を委譲（Delegate）できる。

  • Graph API

  • Web Account Manager API

  • Password-based Single Sign-On
    Federation-based single sign-on に対する、UI automation ぽい方法。
    フェデレーション未対応の Web アプリと SSO を構成できるが、あまり推奨されない。

参考

Tags: インフラストラクチャ, クラウド, Azure, Active Directory, 認証基盤, クレームベース認証

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally