ライフサイクルワークフローのユーザーアカウントの準備に関するチュートリアル

[アーティクル]
08/13/2024

オンボーディングとオフボーディングのチュートリアルでは、ワークフローを実行するアカウントが必要です。このセクションでは、それらのアカウントを準備する方法について説明します。以下の要件を満たすテストアカウントを既に持っている場合は、オンボーディングとオフボーディングのチュートリアルに直接進むことができます。オンボードのチュートリアルには 2 つのアカウントが必要です。1 つは新入社員用のアカウント、もう 1 つは新入社員のマネージャーとして機能するアカウントです。新入社員アカウントには、次の属性を設定しておく必要があります。

employeeHireDate は today に設定する必要があります
department は sales に設定する必要があります
manager 属性を設定する必要があり、manager アカウントにはメールを受信するためのメールボックスが必要です

オフボードチュートリアルには、グループと Teams のメンバーシップを持つ 1 つのアカウントのみが必要ですが、このアカウントはチュートリアルの間に削除されます。

前提条件

この機能を使用するには、Microsoft Entra ID Governance または Microsoft Entra スイートのライセンスが必要です。要件に適したライセンスを見つけるには、「Microsoft Entra ID ガバナンスライセンスの基礎」をご覧ください。

Microsoft Entra テナント
Microsoft Entra テナントに対する適切なアクセス許可を持つ管理者アカウント。このアカウントは、ユーザーとワークフローを作成するために使います。

開始する前に

ほとんどの場合、ユーザーは、オンプレミスソリューション (Microsoft Entra Connect、Cloud sync など) から、または HR ソリューションを使って Microsoft Entra ID にプロビジョニングされます。これらのユーザーには、作成時に属性と値が設定されます。ユーザーをプロビジョニングするインフラストラクチャの設定については、このチュートリアルでは説明しません。詳細については、「チュートリアル: Active Directory の基本的な環境」と「チュートリアル: 単一のフォレストを単一の Microsoft Entra テナントに統合する」を参照してください。

Microsoft Entra ID でユーザーを作成する

ヒント

この記事の手順は、開始するポータルに応じて若干異なる場合があります。

チュートリアルのライフサイクルワークフローの実行に必要な 2 人のユーザーを簡単に作成するために、Graph エクスプローラーを使います。 1 人のユーザーは新入社員を、もう 1 人は新入社員のマネージャーを表します。

POST を編集して、<your tenant name here> の部分をお使いのテナント名に置き換える必要があります。例: $UPN_manager = "bsimon@<your tenant name here>" を $UPN_manager = "bsimon@contoso.onmicrosoft.com" にします。

注意

従業員の入社日 (イベントからの日数) がワークフロー作成日よりも前の場合、ワークフローはトリガーされないことに注意してください。設計上、employeeHiredate を未来に設定する必要があります。このチュートリアルで使われる日付はスナップショットです。そのため、この状況に対応するために、日付を適宜変更する必要があります。

まず、従業員の Melva Prince を作成します。

次に Graph エクスプローラーに移動します。
テナントのユーザー管理者アカウントを使用して Graph エクスプローラーにサインインします。
上部にある [GET] を [POST] に変更し、ボックスに「https://graph.microsoft.com/v1.0/users/」を追加します。
[要求本文] に次のコードを入力します。
次のコードの <your tenant here> を実際の Microsoft Entra テナントの値に置き換えます。
[クエリの実行] 選びます
結果で返された ID をコピーします。これは、後でマネージャーを割り当てるために使います。

{
  "accountEnabled": true,
  "displayName": "Melva Prince",
  "mailNickname": "mprince",
  "department": "sales",
  "mail": "mprince@<your tenant name here>",
  "employeeHireDate": "2022-04-15T22:10:00Z",
  "userPrincipalName": "mprince@<your tenant name here>",
  "passwordProfile" : {
    "forceChangePasswordNextSignIn": true,
    "password": "<Generated Password>"
  }
}

次に Britta Simon を作成します。このアカウントは、マネージャーとして使用されます。

まだ Graph エクスプローラーを表示している状態です。
上部がまだ [POST] に設定され、「https://graph.microsoft.com/v1.0/users/」がボックスに入力されていることを確認します。
[要求本文] に次のコードを入力します。
次のコードの <your tenant here> を実際の Microsoft Entra テナントの値に置き換えます。
[クエリの実行] 選びます

結果で返された ID をコピーします。この ID は、後でマネージャーを割り当てるために使います。

{
  "accountEnabled": true,
  "displayName": "Britta Simon",
  "mailNickname": "bsimon",
  "department": "sales",
  "mail": "bsimon@<your tenant name here>",
  "employeeHireDate": "2021-01-15T22:10:00Z",
  "userPrincipalName": "bsimon@<your tenant name here>",
  "passwordProfile" : {
    "forceChangePasswordNextSignIn": true,
    "password": "<Generated Password>"
  }
}

Note

このコードの <your tenant name here> セクションを、実際の Microsoft Entra テナントに合わせて変更する必要があります。

ライフサイクルワークフローの実行に必要な 2 人のユーザーを簡単に作成するもう 1 つの方法として、次の PowerShell スクリプトを使うこともできます。 1 人のユーザーは新入社員を、もう 1 人は新入社員のマネージャーを表します。

重要

このチュートリアルに必要な 2 人のユーザーを簡単に作成できる次の PowerShell スクリプトが用意されています。これらのユーザーは、Microsoft Entra 管理センターでも作成できます。

この手順を作成するために、Azure にアクセスできるマシンに次の PowerShell スクリプトを保存します。

次に、スクリプトを編集して <your tenant name here> の部分をお使いのテナント名に置き換える必要があります。例: $UPN_manager = "bsimon@<your tenant name here>" を $UPN_manager = "bsimon@contoso.onmicrosoft.com" にします。

このアクションは、$UPN_employee と $UPN_manager の両方に対して実行する必要があります。

スクリプトを編集したら、保存して次の手順を実行します。

Microsoft Entra 管理センターにアクセスできるマシンから、管理者特権を使って Windows PowerShell コマンドプロンプトを開きます。
保存した PowerShell スクリプトの場所に移動し、実行します。
PowerShell モジュールのインストール時にプロンプトが表示されたら、[すべてはい] を選びます。
プロンプトが表示されたら、テナントのグローバル管理者で Microsoft Entra 管理センターにサインインします。

#
# DISCLAIMER:
# Copyright (c) Microsoft Corporation. All rights reserved. This 
# script is made available to you without any express, implied or 
# statutory warranty, not even the implied warranty of 
# merchantability or fitness for a particular purpose, or the 
# warranty of title or non-infringement. The entire risk of the 
# use or the results from the use of this script remains with you.
#
#
#
#
#Declare variables

$Displayname_employee = "Melva Prince"
$UPN_employee = "mprince<your tenant name here>"
$Name_employee = "mprince"
$Password_employee = "Pass1w0rd"
$EmployeeHireDate_employee = "04/10/2022"
$Department_employee = "Sales"
$Displayname_manager = "Britta Simon"
$Name_manager = "bsimon"
$Password_manager = "Pass1w0rd"
$Department = "Sales"
$UPN_manager = "bsimon@<your tenant name here>"

Install-Module -Name AzureAD
Connect-MgGraph -Confirm

$PasswordProfile = New-Object -TypeName Microsoft.Open.AzureAD.Model.PasswordProfile
$PasswordProfile.Password = "<Password>"
New-MgUser -DisplayName $Displayname_manager  -PasswordProfile $PasswordProfile -UserPrincipalName $UPN_manager -AccountEnabled $true -MailNickName $Name_manager -Department $Department
New-MgUser -DisplayName $Displayname_employee  -PasswordProfile $PasswordProfile -UserPrincipalName $UPN_employee -AccountEnabled $true -MailNickName $Name_employee -Department $Department

Microsoft Entra ID に 1 人以上のユーザーが作成されたら、ライフサイクルワークフローのチュートリアルに従ってワークフローを作成できます。

雇用前シナリオのその他の手順

Microsoft Entra 管理センターでライフサイクルワークフローを使用して組織にユーザーをオンボーディングするチュートリアルと Microsoft Graph でライフサイクルワークフローを使用して組織にユーザーをオンボーディングするチュートリアルのいずれかでテストするときに注意する必要がある他の手順があります。

Microsoft Entra 管理センターを使用してユーザー属性を編集する

雇用前オンボードのチュートリアルに必要な属性の一部は Microsoft Entra 管理センターに表示され、そこで設定することができます。

次のような属性です。

属性	説明	設定対象
mail	新入社員の一時的なアクセスパスをマネージャーに通知するために使います。	Manager
manager	この属性はライフサイクルワークフローに使用します	Employee

このチュートリアルでは、mail 属性をマネージャーアカウントにのみ設定し、manager 属性を従業員アカウントに設定する必要があります。次の手順に従います。

Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
>[ID]>[ユーザー]>[すべてのユーザー] を参照します。
"Melva Prince" を選びます。
上部にある [編集] を選びます。
マネージャーの下にある [変更] を選び、"Britta Simon" を選びます。
上部にある [保存] を選択します。
ユーザーに戻り、"Britta Simon" を選びます。
上部にある [編集] を選びます。
[メール] に有効なメールアドレスを入力します。
[保存] を選択します。

employeeHireDate を編集します

employeeHireDate 属性は、Microsoft Entra ID の新しい属性です。 UI には表示されないので、Graph を使って更新する必要があります。この属性を編集するには、Graph エクスプローラーを使用できます。

注意

従業員の入社日 (イベントからの日数) がワークフロー作成日よりも前の場合、ワークフローはトリガーされないことに注意してください。設計上、employeeHireDate を現在より後の日付に設定する必要があります。このチュートリアルで使われる日付はスナップショットです。そのため、この状況に対応するために、日付を適宜変更する必要があります。

このためには、ユーザー Melva Prince のオブジェクト ID を取得する必要があります。

Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
>[ID]>[ユーザー]>[すべてのユーザー] を参照します。
"Melva Prince" を選びます。
[オブジェクト ID] の横にあるコピー記号を選びます。
次に Graph エクスプローラーに移動します。
テナントのグローバル管理者アカウントで Graph エクスプローラーにサインインします。
上部にある [GET] を [PATCH] に変更し、ボックスに「https://graph.microsoft.com/v1.0/users/<id>」を追加します。「<id>」を先ほどコピーした値に置き換えます。
[要求本文] に以下をコピーして、[クエリの実行] を選びます。
```
{
"employeeHireDate": "2022-04-15T22:10:00Z"
}
```
PATCH を GET に戻し、v1.0 を beta にして変更を検証します。 [クエリの実行] を選択します。設定された Melva の属性を確認できます。

従業員アカウントの manager 属性を編集する

manager 属性はメール通知タスクに使いますマネージャーに新しい従業員の一時的なパスワードをメールで送信します。次の手順に従って、Microsoft Entra ユーザーに manager 属性の値が設定されていることを確認します。

まだ Graph エクスプローラーを表示している状態です。
上部がまだ [PUT] に設定され、「https://graph.microsoft.com/v1.0/users/<id>/manager/$ref」がボックスに入力されていることを確認します。「<id>」を Melva Prince の ID に変更します。
[要求本文] に次のコードをコピーします。
次のコードの「<managerid>」を Britta Simons の ID の値に置き換えます。

[クエリの実行] 選びます

{
  "@odata.id": "https://graph.microsoft.com/v1.0/users/<managerid>"
}

次に、[PUT] を [GET] に変更することで、マネージャーが正しく設定されたことを確認できます。
「https://graph.microsoft.com/v1.0/users/<id>/manager/」がボックスに入力されていることを確認します。「<id>」はまだ Melva Prince のものです。
[クエリの実行] を選択します。その応答では Britta Simon が返されるはずです。

Graph API でユーザーのマネージャー情報を更新する方法については、マネージャーの割り当てのドキュメントを参照してください。この属性は、Azure 管理センターで設定することもできます。詳細については、プロファイル情報の追加または変更に関する記事を参照してください。

一時アクセスパス (TAP) の有効化

一時アクセスパスは、管理者が発行する期限付のパスであり、強力な認証要件を満たすものです。

このシナリオでは、Microsoft Entra ID のこの機能を使って、新入社員のための一時的なアクセスパスを生成します。これはその従業員のマネージャーにメールで送信されます。

この機能を使うには、Microsoft Entra テナントでこの機能を有効にする必要があります。この機能を有効にするには、以下の手順を実行します。

少なくとも認証ポリシー管理者として Microsoft Entra 管理センターにサインインします。
[保護]>[認証方法]>[一時アクセスパス] の参照
[はい] を選んでポリシーを有効にし、Britta Simons を追加し、ポリシーが適用されているユーザーと、[全般] の設定を選びます。

退職者シナリオに関する考慮事項

Microsoft Entra 管理センターチュートリアルまたは Microsoft Graph で Lifecycle ワークフローを使用して組織からオフボーディングするユーザーのチュートリアルをテストするときに、注意する必要がある追加の手順があります。

グループと Teams のチームメンバーシップをユーザーに設定する

退職者シナリオのチュートリアルを始める前に、グループと Teams メンバーシップを持つユーザーが必要です。

次の方法で共有

ライフサイクルワークフローのユーザーアカウントの準備に関するチュートリアル

前提条件

開始する前に

Microsoft Entra ID でユーザーを作成する

雇用前シナリオのその他の手順

Microsoft Entra 管理センターを使用してユーザー属性を編集する

employeeHireDate を編集します

従業員アカウントの manager 属性を編集する

一時アクセスパス (TAP) の有効化

退職者シナリオに関する考慮事項

グループと Teams のチームメンバーシップをユーザーに設定する

次のステップ

フィードバック

その他のリソース

次の方法で共有

ライフサイクル ワークフローのユーザー アカウントの準備に関するチュートリアル

前提条件

開始する前に

Microsoft Entra ID でユーザーを作成する

雇用前シナリオのその他の手順

Microsoft Entra 管理センターを使用してユーザー属性を編集する

employeeHireDate を編集します

従業員アカウントの manager 属性を編集する

一時アクセス パス (TAP) の有効化

退職者シナリオに関する考慮事項

グループと Teams のチーム メンバーシップをユーザーに設定する

次のステップ

フィードバック

その他のリソース

ライフサイクルワークフローのユーザーアカウントの準備に関するチュートリアル

一時アクセスパス (TAP) の有効化

グループと Teams のチームメンバーシップをユーザーに設定する