Microsoft Entra ID でシングル サインオン用に Directory Services 保護機能を構成する

この記事では、Directory Services 保護機能と Microsoft Entra ID を統合する方法について説明します。 Directory Services Protector と Microsoft Entra ID を統合すると、次のことができます。

• Directory Services Protector にアクセスできるユーザーを Microsoft Entra ID で制御する。
• ユーザーが自分の Microsoft Entra アカウントを使用して自動的に Directory Services Protector にサインインできるようにする。
• アカウントを一元的に管理する。

前提条件

この記事で説明するシナリオでは、次の前提条件が既にあることを前提としています。

• アクティブなサブスクリプションを持つ Microsoft Entra ユーザー アカウント。 まだアカウントがない場合は、無料でアカウントを作成することができます。
• 次のいずれかのロール:
  • アプリケーション管理者
  • クラウドのアプリケーション管理者
  • アプリケーション所有者。

• Directory Services Protector でのシングル サインオン (SSO) が有効なサブスクリプション。

シナリオの説明

この記事では、テスト環境で Microsoft Entra SSO を構成してテストします。

• Directory Services Protector は、SP と IDP によって開始される SSO をサポートしています。
• Directory Services Protector では、Just-In-Time ユーザー プロビジョニングがサポートされます。

ギャラリーからの Directory Services Protector の追加

Microsoft Entra ID への Directory Services Protector の統合を構成するには、ギャラリーからマネージド SaaS アプリの一覧に Directory Services Protector を追加する必要があります。

1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
2. Entra ID>のEnterprise apps>に移動し、新しいアプリケーションを選択します。
3. [ギャラリーから追加する] セクションで、検索ボックスに「Directory Services Protecto」と入力します。
4. 結果のパネルから [Directory Services Protecto] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てができるほか、SSO の構成も行うことができます。 Microsoft 365 ウィザードの詳細を確認します。

Directory Services Protector に Microsoft Entra SSO を構成してテストする

B.Simon というテスト ユーザーを使って、Directory Services Protector に対する Microsoft Entra SSO を構成してテストします。 SSO を使用するには、Microsoft Entra ユーザーと Directory Services Protector の関連ユーザーとの間にリンク関係を確立する必要があります。

Directory Services Protector に対して Microsoft Entra SSO を構成してテストするには、次の手順を実行します。

1. Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。
   1. Microsoft Entra テスト ユーザーの作成 - B.Simon で Microsoft Entra のシングル サインオンをテストします。
   2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
2. Directory Services Protector の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
   1. Directory Services Protector のテストユーザーの作成 - Directory Services Protector において B.Simon に対応するユーザーを作成し、Microsoft Entra のユーザーにリンクします。
3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO を構成する

Microsoft Entra 管理センターで Microsoft Entra SSO を有効にするには、次の手順に従います。

1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

2. [Entra ID]>[エンタープライズ アプリ]>[Directory Services Protector]>[シングル サイン オン] の順に移動します。

3. [シングル サインオン方式の選択] ページで、 [SAML] を選択します。

4. [ SAML でのシングル サインオンの設定 ] ページで、[ 基本的な SAML 構成 ] の鉛筆アイコンを選択して設定を編集します。

   

5. [基本的な SAML 構成] セクションで、サービス プロバイダー メタデータ ファイルがある場合は、次の手順に従います。

   a. [ メタデータ ファイルのアップロード] を選択します。

   

   b。 フォルダー ロゴを選択してメタデータ ファイルを選択し、[アップロード] を選択します。

   

   c. メタデータ ファイルが正常にアップロードされると、識別子と応答 URL の値が、[基本的な SAML 構成] セクションに自動的に設定されます。

   

   注

   識別子と応答 URL の値が自動的に設定されない場合は、要件に従って値を手動で入力します。

6. SP 開始モードでアプリケーションを構成するには、次の手順を実行します。

   [サインオン URL] ボックスに、次のパターンを使用して URL を入力します。https://<HOSTNAME>.<DOMAIN>.<EXTENSION>/DSP/Login/SsoLogin

   注

   サインオン URL の値は実際の値ではありません。 この値は実際のサインオン URL で更新します。 この値を入手するには、Directory Services Protector のサポート チームに問い合わせてください。 Microsoft Entra 管理センターの [基本的な SAML 構成] セクションに示されているパターンを参照することもできます。

7. Directory Services Protector アプリケーションは、特定の形式の SAML アサーションを使用するため、カスタム属性のマッピングを SAML トークンの属性の構成に追加する必要があります。 次のスクリーンショットには、既定の属性一覧が示されています。

   

8. その他に、Directory Services Protector アプリケーションでは、いくつかの属性が SAML 応答で返されることが想定されています。それらの属性を次に示します。 これらの属性も値が事前に設定されますが、要件に従ってそれらの値を確認することができます。

   名前	ソース属性
   ロール	user.assignedroles

   注

   Microsoft Entra ID でロールを構成する方法については、 こちらを 選択してください。

9. [SAML によるシングル サインオンのセットアップ] ページの [SAML 署名証明書] セクションで、 [フェデレーション メタデータ XML] を探して [ダウンロード] を選択し、証明書をダウンロードして、お使いのコンピューターに保存します。

   

10. [Directory Services Protector のセットアップ] セクションで、要件に基づいて適切な URL をコピーします。

    

Microsoft Entra テスト ユーザーの作成と割り当て

ユーザー アカウントの作成と割り当ての クイックスタートのガイドラインに従って、B.Simon というテスト ユーザー アカウントを作成します。

Directory Services Protector の SSO を構成する

1. Directory Services Protector の企業サイトに管理者としてログインします。

2. [設定] (歯車アイコン)>[データ接続]>[SAML 認証]] に移動し、[有効] スイッチをオンに切り替えます。

3. 手順 1 - ID プロバイダーで、ドロップダウン メニューから Microsoft Entra ID を 選択し、[保存] を選択 します。

4. 手順 2 - SAML ID プロバイダーに必要なデータで、[CONFIRM] ボタンと DOWNLOAD METADATA XML を選択して、Microsoft Entra 管理センターの [基本的な SAML 構成] セクションでメタデータ ファイルをアップロードし、[保存] を選択します。

   

5. 手順 3 - ユーザー属性と要求 では、この情報は必要ないので、手順 4 にスキップしてかまいません。

6. 手順 4 – SAML ID プロバイダーから受信するデータでは、メタデータ URL からのインポートと Microsoft Entra ID によって提供されるメタデータ XML のインポートの両方が DSP によってサポートされます。

   1. [アプリのフェデレーション メタデータ URL] ラジオ ボタンを選択し、Microsoft Entra ID の [メタデータ URL] をフィールドに貼り付けて、[インポート] を選択します。

   2. [ フェデレーション メタデータ XML のインポート ] を使用するラジオ ボタンを選択し、[ IMPORT XML ] を選択して Microsoft Entra 管理センターから フェデレーション メタデータ XML ファイルをアップロードします。

   3. [保存] を選択します。

7. DSP の [SAML 認証] ブレードの上部で、[状態] が [構成済み] と表示されるようになるはずです。

Directory Services Protector のテスト ユーザーの作成

このセクションでは、Britta Simon というユーザーを Directory Services Protector に作成します。 Directory Services Protector では、Just-In-Time ユーザー プロビジョニングがサポートされています。この設定は既定で有効になっています。 このセクションにはアクション項目はありません。 Directory Services Protector にユーザーがまだ存在していない場合は、認証後に新規に作成されます。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

SP Initiated:

• Microsoft Entra 管理センターで [ このアプリケーションをテスト する] を選択します。 このオプションは、ログイン フローを開始できる Directory Services 保護機能のサインオン URL にリダイレクトされます。

• Directory Services Protector のサインオン URL に直接移動し、そこからログイン フローを開始します。

IDP Initiated:

• Microsoft Entra 管理センターで [ このアプリケーションをテスト する] を選択すると、SSO を設定した Directory Services 保護機能に自動的にサインインします。

また、Microsoft マイ アプリを使用して、任意のモードでアプリケーションをテストすることもできます。 マイ アプリで [Directory Services 保護機能] タイルを選択すると、SP モードで構成されている場合は、ログイン フローを開始するためのアプリケーション サインオン ページにリダイレクトされます。IDP モードで構成されている場合は、SSO を設定した Directory Services 保護機能に自動的にサインインされます。 マイ アプリの詳細については、マイ アプリの概要に関するページを参照してください。

関連コンテンツ

Directory Services Protector を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用することができます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。