次の方法で共有

Microsoft Entra IDを使用してユーザー認証を構成する

エージェントに認証を追加すると、ユーザーはサインインして制限されたリソースや情報へのアクセスをエージェントに与えます。

この記事では、サービス プロバイダーとしてMicrosoft Entra IDを構成する方法について説明します。 他のサービス プロバイダーとユーザー認証の詳細については、「Copilot Studio でユーザー認証を構成するを参照してください。

テナントの管理権限がある場合は、API のアクセス許可を構成することができます。 そうでなければ、テナント管理者に許可を依頼してください。

前提条件

トピックにユーザー認証を追加する方法

Azure ポータルで最初のいくつかの手順を完了し、Copilot Studio の最後の 2 つの手順を完了します。

アプリ登録を作成する

  1. エージェントと同じテナントの管理者アカウントを使用して、Azure ポータルにサインインします。

  2. App registrations に移動します。

  3. 新しい登録 を選択し、登録の名前を入力します。 既存のアプリ登録を変更しない でください。

    後でエージェントの名前を使用すると便利です。 たとえば、エージェントが「Contoso sales help」と呼ばれている場合、アプリの登録に「ContosoSalesReg」などの名前を付けることができます。

  4. [サポートされているアカウントの種類] で、[この組織ディレクトリのみに含まれるアカウント (Contoso のみ - シングル テナント)] を選択します。

  5. ここでは、リダイレクト URI セクションを空白のままにします。 この情報は、次の手順で入力します。

  6. 登録 を選択します。

  7. 登録が終わったら、 概要ページに移動します。

  8. アプリケーション (クライアント) ID をコピーして、一時ファイルに貼り付けます。 それは後のステップで必要になります。

リダイレクト URL の追加

  1. [管理] で、 [認証] を選択します。

  2. プラットフォームの構成の下で、プラットフォームの追加、次に Web を選択します。

  3. [ リダイレクト URI] で、ヨーロッパの https://token.botframework.com/.auth/web/redirect または https://europe.token.botframework.com/.auth/web/redirect を入力します。 また、Redirect URL テキスト ボックスから Copilot Studio の Security 設定ページの手動で認証の下にある URI をコピーすることもできます。

    このアクションにより、プラットフォームの構成 ページに戻ります。

    token.botframework.com など、Copilot Studio が接続する必要があるサービスの一覧については、「必要なサービス」を参照してください。

  4. アクセス トークン (暗黙的フローに使用) と ID トークン (暗黙的フローとハイブリッド フローに使用) の両方を選択します。

  5. 設定を選択します。

手動認証の構成

次に手動認証を構成します。 プロバイダーの複数のオプションから選択できます。 ただし、Microsoft Entra ID V2 にフェデレーション資格情報を使用します。 フェデレーション認証を使用できない場合、クライアント シークレットを使用することもできます。

フェデレーション資格情報を使用して手動認証を構成する

Copilot Studio は、Azure App Registration においてデフォルトでフェデレーション ID 資格情報 (FIC) を自動的に作成し、短期間有効な OpenID Connect トークンを使用してセキュリティを確保し、シークレットレス認証を可能にします。 この認証方法は、保存されているシークレットを削除し、資格情報のリスクを軽減し、Microsoft のZero Trustセキュリティ標準に準拠します。

  1. Copilot Studio で、エージェントの Settings に移動し、Security を選択します。

  2. [ 認証] を選択します。

  3. 手動で認証する を選択します。

  4. ユーザーにサインインを要求する をオンにしておきます。

  5. プロパティに次の値を入力します:

    • サービス プロバイダー: フェデレーション資格情報を持つ Microsoft Entra ID V2 を選択します。

    • Client ID: Azure ポータルから先ほどコピーしたアプリケーション (クライアント) ID を入力します。

  6. [ 保存] を 選択すると、フェデレーション資格情報の発行者と値が表示されます。

  7. フェデレーション資格情報の発行者とフェデレーション資格情報の値をコピーし、一時ファイルに貼り付けます。 それは後のステップで必要になります。

  8. Azure ポータルと、前に作成したアプリの登録に移動します。 [ 管理] で、[ 証明書とシークレット ] を選択し、[ フェデレーション資格情報] を選択します。

  9. 資格情報の追加を選択します。

  10. [ フェデレーション資格情報のシナリオ] で、[ その他の発行者] を選択します。

  11. プロパティに次の値を入力します:

    • Issuer: Copilot Studio から前にコピーしたフェデレーション資格情報発行者の値を入力します。
    • Value: Copilot Studio から前にコピーしたフェデレーション資格情報の値データを入力します。
    • 名前: 名前を入力します。

  12. [ 追加] を選択して構成を完了します。

API アクセス許可の構成

  1. API アクセス許可 に移動します。

  2. テナント名に対する管理者同意を付与する<> を選択し、次に 「はい」 を選択します。 ボタンが使用できない場合は、テナント管理者に入力を依頼する必要があります。

    テナントのアクセス許可が強調表示された [API アクセス許可] ウィンドウのスクリーンショット。

    重要

    ユーザーが各アプリケーションに対して同意する必要をなくすために、少なくともアプリケーション管理者またはクラウド アプリケーション管理者の役割を割り当てられた担当者は、アプリケーション登録に対してテナント全体にわたる同意を与えることができます。

  3. アクセス許可の追加を選択し、 Microsoft Graphを選択します。

    Microsoft Graphが強調表示された [API アクセス許可の要求] ウィンドウのスクリーンショット。

  4. [委任されたアクセス許可] を選択します。

    ハイライトされた委任されたアクセス許可のスクリーンショット。

  5. OpenId のアクセス許可を展開して、openid と profile をオンにします。

    OpenId アクセス許可、openid、プロファイルが強調表示されているスクリーンショット。

  6. アクセス許可の追加 を選択します。

エージェントのカスタム スコープを定義する

スコープは ユーザーおよび管理者の役割、アクセス権を決定します。 Canvasアプリの登録用にカスタムスコープを作成します。

  1. API を公開するに移動してからスコープの追加を選択します。

    強調表示された「スコープを追加」ボタンと API 公開の画面のスクリーンショット。

  2. 次のプロパティを設定します。 その他のプロパティは空白のままにすることができます。

    プロパティ 価値
    スコープ名 Test.Read などの使用している環境においてわかりやすい名前を入力します
    誰が同意を与えることができますか？ 管理者とユーザー を選択します
    管理者同意表示名前 Test.Read などの使用している環境においてわかりやすい名前を入力します
    管理者の同意の説明 「Allows the app to sign the user in.」と入力します
    状態 有効を選択します

  3. [スコープの追加] を選択します。

Copilot Studio で認証を構成する

  1. Copilot Studio の Settings で、Security>Authentication を選択します。

  2. 手動で認証する を選択します。

  3. ユーザーにサインインを要求する をオンにしておきます。

  4. サービスプロバイダー を選択し、必要な値を入力します。 Copilot Studio での手動認証の構成を参照してください。

  5. 保存を選びます。

ヒント

トークン交換URLを使って、On-Behalf-Of(OBO)トークンを要求されたアクセストークンと交換します。 詳細については、Microsoft Entra IDでのシングル サインオンの構成を参照してください。

注意

スコープには、ユースケースに応じて profile openid および以下のスコープを含めるべきです。

  • Sites.Read.All Files.Read.All for SharePoint
  • グラフ接続用 ExternalItem.Read.All
  • Dataverse 構造化データ用 https://[OrgURL]/user_impersonation

たとえば、Dataverse 構造データには、profile openid Sites.Read.All Files.Read.All https://myorg123.com/user_impersonation などのスコープが設定されているべきです。

エージェントをテストする

  1. エージェントを公開する。

  2. エージェントのテスト パネルで、エージェントにメッセージを送信します。

  3. エージェントが応答したら、ログインを選択します。

    新しいブラウザタブが開き、サインインを促します。

  4. サインインし、表示された検証コードをコピーします。

  5. サインインを完了するには、エージェント チャットにコードを貼り付けてください。

    検証コードが強調表示されている、エージェントの会話で成功したユーザー認証のスクリーンショット。

  • Last updated on