メインコンテンツへスキップ

Microsoft Entra IDを使用したOAuth2ドメインの設定方法

  • 更新

    概要

    Microsoft Entra ID（旧：Azure AD）を使用したOAuth2ドメインの設定方法について説明します。

    OAuth2ドメインを設定することで、TDV Serverに対するシングルサインオンが可能となります。

    TDV SSO Manager Azure AD.gif

    TDV SSO WebUI AzureAD.gif

    TDV SSO Studio AzureAD.gif

     

    検証環境

    製品 バージョン
    TDV Server

    8.7.0
    TDV Studio

     

    MS Entra IDの設定

    アプリケーション作成

    アプリケーションが既に存在する場合は、新たに作成する必要はありません。

    MS Entra IDにアクセスし、アプリの登録をクリックします。

    azure1.png

     

    新規登録をクリックします。

    azure2.png

     

    アプリケーション名を入力し、登録をクリックします。

    サポートされているアカウントの種類については用途に応じて任意の種類を選択してください。

    azure3.png

     

    リダイレクトURI設定

    認証をクリックします。

    azure4.png

     

    プラットフォームを追加をクリックします。

    azure5.png

     

    Webを選択します。

    azure6.png

    リダイレクトURIには以下の3種類のURLをすべて登録します。

    • https://<TDVのHostname>:9402/oauth2studiocallback
      • Studioのログインで使用
    • https://<TDVのHostname>:9402/manager/
      • Managerのログインで使用
    • https://<TDVのHostname>:9402/webui
      • WebUIのログインで使用

    TDVのHostnameの確認・変更方法については以下の記事をご参照ください。

    Hostnameの変更手順について

    残りのURLは後ほど登録します。

    アクセストークンとIDトークンにチェックを入れて構成をクリックします。

    azure8.png

     

    URIの追加をクリックし、残りのURLを追加して、保存をクリックします。

    azure9.png

     

    クライアントシークレット作成

    証明書とシークレットをクリックします。

    azure10.png

     

    新しいクライアント シークレットをクリックします。

    azure7.png

     

    説明と有効期限を設定して、追加をクリックします。

    azure11.png

     

    作成されたクライアントシークレットの値はTDVの設定で使用するため、コピーして保存しておいてください。

    azure12.png

     

    APIのアクセス許可設定

    APIのアクセス許可をクリックします。

    azure13.png

     

    アクセス許可User.Readが設定されていることを確認します。

    User.Readはデフォルトで設定されていますが、設定されていない場合はアクセス許可の追加から設定してください。

    azure14.png

     

    スコープ設定

    APIの公開をクリックします。

    azure15.png

     

    Scopeの追加をクリックします。

    azure16.png

     

    保存してから続けるをクリックします。

    azure17.png

     

    スコープ名を「openid」とし、任意の表示名と説明を入力してスコープの追加をクリックします。

    azure18.png

     

    作成されたスコープは後ほどTDVの設定で使用するので、コピーして保存しておいてください。

    azure19.png

     

    グループ要求作成

    トークン構成をクリックします。

    azure20.png

     

    グループ要求の追加をクリックします。

    azure21.png

     

    アプリケーションに割り当てられているグループにチェックを入れ、追加をクリックします。

     

    groups要求が作成されたことを確認します。

    azure23.png

     

    アプリケーションにグループを割り当て

    アプリケーションにグループを割り当てるためには、サブスクリプション「MICROSOFT ENTRA ID GOVERNANCE」または「MICROSOFT ENTRA ID P2」の購入が必要です。

     

    エンタープライズアプリケーション > すべてのアプリケーションを選択し、グループを割り当てるアプリケーションを選択します。

     

    ユーザーとグループを選択します。

     

    割り当てたいグループと任意のロールを選択します。

     

    マニフェスト編集

    マニフェストをクリックします。

    manifest1.png

     

    「accessTokenAcceptedVersion」の値を「2」に変更します。

    manifest2.png

     

    optionalClaims > accessToken > additionalProperties に「cloud_displayname」を追加します。

     

    保存をクリックします。

     

    TDV設定

    ドメイン作成

    Managerにアクセスし、セキュリティ > ドメイン管理をクリックします。

    azure24.png

     

    ドメインの追加をクリックします。

    azure25.png

    TypeをOAuth2とし、Nameに任意の名前を入力します。

    Allow OAuth login via TDV toolsにチェックを入れます。

    azure26.png

     

    各種パラメータをTDVに入力し、OKをクリックします。。

    下記表に記載されていないパラメータはデフォルト・空欄のままで問題ありません。

    パラメータ 値
    Issuer Value https://login.microsoftonline.com/<tenant-id>/v2.0
    User ID Claim preferred_username
    Auth URL https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize
    Token URL https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/token
    Client ID <client-id>
    Client Secret Azure ADで設定したクライアントシークレットの値
    Scope
         		Azure ADで設定したScopeの値

     

    azure28.png

     

    <tenant-id> と<client-id>はAzureのアプリの概要から確認できます。

    azure27.png

     

    クレーム作成

    Azureからログインするユーザーが所属するグループに、権限を付与するための設定を行います。

    この操作を行わない場合、Studioでのログイン時に「アクセスツール」権限を含むすべての権限が付与されていないためログインに失敗します。

     

    Managerにアクセスし、セキュリティ > クレーム管理をクリックします。

    claim1.png

     

    クレームを追加をクリックします。

    claim2.png

    クレームの情報を入力し、OKをクリックします。

    • ドメイン名：OAuth2ドメインの名前を入力
    • クレーム名：Azureで設定したグループ要求 groupsと権限を設定したいAzureADのグループ名 を以下の形式で入力
      • groups:<グループ名>
    • クレーム権：任意の権限を選択します。今回は「開発者」の権限を付与します。

    claim3.png

     

    ログイン方法

    Studio

    TDV Studioを起動し、OAuth2ドメインを選択し、接続をクリックします。

    studio1.png

     

    MS Entra IDの認証情報を入力してサインインします。

    signin1.png

     

    signin2.png

     

    Studioにログインできることを確認します。

    studio2.png

     

    Manager

    Managerのログイン画面にアクセスし、DomainにOAuth2ドメインの名前を入力し、Sign inをクリックします。

    この時、ユーザー名とパスワードを入力する必要はありません。

    manager1.png

    MS Entra IDの認証情報を入力してサインインします。

    signin1.png

     

    signin2.png

     

    ログインが成功することを確認します。

    manager2.png

     

    WebUI

    WebUIにアクセスし、OAuth2ドメインを選択します。

    webui1.png

     

    MS Entra IDの認証情報を入力してサインインします。

    signin1.png

     

    signin2.png

     

    ログインが成功することを確認します。

    webui2.png