ホーム領域検出ポリシーを使用してサインインの自動アクセラレーションを防ぐ - Microsoft Entra ID

[アーティクル]
10/28/2023

ホーム領域検出 (HRD) ポリシーにより、管理者がユーザー認証の方法と場所を制御するための複数の方法が提供されます。 HRD ポリシーの domainHintPolicy セクションを使用すると、フェデレーションユーザーを常に Microsoft Entra のサインインページにアクセスさせ、ドメインヒントによってフェデレーション IDP に自動高速化されないようにすることで、FIDO などのクラウドで管理されている資格情報に移行させるのに役立ちます。 HRD ポリシーの詳細については、「ホーム領域検出」を参照してください。

このポリシーは、サインイン中にと管理者がドメインヒントを制御または更新できない状況で必要です。たとえば、outlook.com/contoso.com の場合、ユーザーは &domain_hint=contoso.com パラメーターが追加されたサインインページに移動します。これは、ユーザーを contoso.com ドメインのフェデレーション IDP に直接高速化することが目的です。管理されている資格情報を持つユーザーをフェデレーション IDP に移動させた場合、管理されている資格情報を使用したサインインはできません。その結果、サインインエクスペリエンスのランダム化によるセキュリティの低下とユーザーの不満が発生します。管理されている資格情報をロールアウトする管理者は、管理されている資格情報をユーザーが常に使用できるように、このポリシーも設定する必要があります。

DomainHintPolicy の詳細

HRD ポリシーの DomainHintPolicy セクションは JSON オブジェクトであり、管理者はこれを使用して、ドメインヒントの使用対象から特定のドメインとアプリケーションをオプトアウトできます。機能的には、これにより Microsoft Entra のサインインページが、サインイン要求に domain_hint パラメーターが存在しない場合と同様に動作するようになります。

ポリシーの Respect (優先) と Ignore (無視) のセクション

Section	説明	値
`IgnoreDomainHintForDomains`	このドメインヒントが要求で送信された場合は、無視します。	ドメインアドレスの配列 (`contoso.com` など)。 `all_domains` もサポートされています
`RespectDomainHintForDomains`	要求でアプリを自動高速化しないことが `IgnoreDomainHintForApps` によって指示されていても、このドメインヒントが要求で送信された場合は、それを優先します。これは、ネットワーク内で非推奨になるドメインヒントのロールアウトを遅くするために使用されます。一部のドメインがまだ高速化の対象であることを指示できます。	ドメインアドレスの配列 (`contoso.com` など)。 `all_domains` もサポートされています
`IgnoreDomainHintForApps`	このアプリケーションからの要求にドメインヒントが含まれている場合は、無視します。	アプリケーション ID (GUID) の配列。 `all_apps` もサポートされています
`RespectDomainHintForApps`	このアプリケーションからの要求にドメインヒントが含まれている場合は、`IgnoreDomainHintForDomains` にそのドメインが含まれていても、それを優先します。ドメインヒントなしで中断されていることを検出した場合に、一部のアプリの動作を維持するために使用します。	アプリケーション ID (GUID) の配列。 `all_apps` もサポートされています

ポリシーの評価

DomainHintPolicy ロジックは、ドメインヒントを含む受信要求ごとに実行され、要求に含まれる 2 つのデータ、つまりドメインヒント内のドメインと、クライアント ID (アプリ) に基づいて高速化されます。要するに、ドメインまたはアプリを "優先" する方が、特定のドメインまたはアプリケーションに関するドメインヒントを "無視" する命令よりも優先されます。

ドメインヒントポリシーがない場合、あるいは 4 つのセクションのいずれにおいてもアプリまたはドメインヒントが参照されていない場合は、HRD ポリシーの残りの部分が評価されます。
要求で RespectDomainHintForApps または RespectDomainHintForDomains セクションのどちらか一方 (または両方) にアプリまたはドメインヒントが含まれている場合、ユーザーは要求どおりにフェデレーション IDP に自動高速化されます。
要求の IgnoreDomainHintsForApps または IgnoreDomainHintsForDomains のどちらか一方 (または両方) でアプリまたはドメインヒントが参照されていて、"Respect" セクションでは参照されていない場合、要求は自動高速化されず、ユーザーは Microsoft Entra のサインインページにとどまってユーザー名を指定します。

ユーザーは、サインインページでユーザー名を入力すれば、管理されている資格情報を使用できます。管理されている資格情報を使用しないことを選択した場合、または登録していない場合は、通常どおり、資格情報を入力するためのフェデレーション IDP に移動します。

前提条件

Microsoft Entra ID でアプリケーションの自動高速化サインインを無効にするには、次が必要です。

アクティブなサブスクリプションが含まれる Azure アカウント。まだアカウントがない場合は、無料でアカウントを作成することができます。
次のいずれかのロール: クラウドアプリケーション管理者、アプリケーション管理者、サービスプリンシパルの所有者。

Microsoft Graph PowerShell モジュール。

テナント内での推奨される使用方法

フェデレーションドメインの管理者は、HRD ポリシーのこのセクションを 4 フェーズ計画で設定する必要があります。この計画の目的は、最終的にテナント内のすべてのユーザーが、ドメインやアプリケーションに関係なく管理されている資格情報を使用できるようにすることです。ただし、domain_hint の使用に対して固定された依存関係を持つアプリは除きます。この計画は、管理者がこのようなアプリを検出し、新しいポリシーの適用対象から除外し、テナントの残りの部分への変更のロールアウトを続行するのに役立ちます。

この変更を最初にロールアウトするドメインを選択します。これがテストドメインになります。そのため、UX の変更 (たとえば、別のサインインページが表示される) を反映しやすいものを選択してください。これにより、このドメイン名を使用するすべてのアプリケーションからのすべてのドメインヒントが無視されます。テナントの既定の HRD ポリシーで、このポリシーを設定します。

PATCH /policies/homeRealmDiscoveryPolicies/{id}

"DomainHintPolicy": { 
    "IgnoreDomainHintForDomains": [ "testDomain.com" ], 
    "RespectDomainHintForDomains": [], 
    "IgnoreDomainHintForApps": [], 
    "RespectDomainHintForApps": [] 
}

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"DomainHintPolicy`": { `"IgnoreDomainHintForDomains`": [ `"testDomain.com`" ], `"RespectDomainHintForDomains`": [], `"IgnoreDomainHintForApps`": [], `"RespectDomainHintForApps`": [] } } }") 
    -DisplayName BasicBlockAccelerationPolicy 
    -Type HomeRealmDiscoveryPolicy

テストドメインのユーザーからフィードバックを収集します。この変更の結果として中断されたアプリケーションの詳細を収集します。それらはドメインヒントの使用に対して依存関係があるため、更新する必要があります。ここでは、RespectDomainHintForApps セクションに追加します。

PATCH /policies/homeRealmDiscoveryPolicies/{id}

"DomainHintPolicy": { 
    "IgnoreDomainHintForDomains": [ "testDomain.com" ], 
    "RespectDomainHintForDomains": [], 
    "IgnoreDomainHintForApps": [], 
    "RespectDomainHintForApps": ["app1-clientID-Guid", "app2-clientID-Guid] 
}

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"DomainHintPolicy`": { `"IgnoreDomainHintForDomains`": [ `"testDomain.com`" ], `"RespectDomainHintForDomains`": [], `"IgnoreDomainHintForApps`": [], `"RespectDomainHintForApps`": ["app1-clientID-Guid", "app2-clientID-Guid"] } } }") 
    -DisplayName BasicBlockAccelerationPolicy 
    -Type HomeRealmDiscoveryPolicy

新しいドメインへのポリシーのロールアウトを引き続き拡大し、より多くのフィードバックを収集します。

PATCH /policies/homeRealmDiscoveryPolicies/{id}

"DomainHintPolicy": { 
    "IgnoreDomainHintForDomains": [ "testDomain.com", "otherDomain.com", "anotherDomain.com"], 
    "RespectDomainHintForDomains": [], 
    "IgnoreDomainHintForApps": [], 
    "RespectDomainHintForApps": ["app1-clientID-Guid", "app2-clientID-Guid] 
}

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"DomainHintPolicy`": { `"IgnoreDomainHintForDomains`": [ `"testDomain.com`", "otherDomain.com", "anotherDomain.com"], `"RespectDomainHintForDomains`": [], `"IgnoreDomainHintForApps`": [], `"RespectDomainHintForApps`": ["app1-clientID-Guid", "app2-clientID-Guid"] } } }") 
    -DisplayName BasicBlockAccelerationPolicy 
    -Type HomeRealmDiscoveryPolicy

ロールアウトを完了します。ターゲットは、引き続き高速化する必要があるドメインを除外した、すべてのドメインです。

PATCH /policies/homeRealmDiscoveryPolicies/{id}

"DomainHintPolicy": { 
    "IgnoreDomainHintForDomains": [ "*" ], 
    "RespectDomainHintForDomains": ["guestHandlingDomain.com"], 
    "IgnoreDomainHintForApps": [], 
    "RespectDomainHintForApps": ["app1-clientID-Guid", "app2-clientID-Guid] 
}

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"DomainHintPolicy`": { `"IgnoreDomainHintForDomains`": [ `"*`" ], `"RespectDomainHintForDomains`": [guestHandlingDomain.com], `"IgnoreDomainHintForApps`": [], `"RespectDomainHintForApps`": ["app1-clientID-Guid", "app2-clientID-Guid"] } } }") 
    -DisplayName BasicBlockAccelerationPolicy 
    -Type HomeRealmDiscoveryPolicy

手順 4 を完了すると、guestHandlingDomain.com 以外のすべてのユーザーが、フェデレーション IDP への自動高速化を発生させるドメインヒントがあったとしても、Microsoft Entra サインインページでサインインできるようになります。これの例外は、サインインを要求しているアプリが除外対象の 1 つである場合です。そのようなアプリについては、すべてのドメインヒントが引き続き受け入れられます。

Graph エクスプローラーを使用したポリシーの構成

Microsoft Graph を使用して、ホーム領域検出ポリシーを管理します。

前提条件セクションに記載されているロールのいずれかで Microsoft Graph エクスプローラーにサインインします。
Policy.ReadWrite.ApplicationConfiguration アクセス許可を付与します。
ホーム領域検出ポリシーを使用して、新しいポリシーを作成します。

新しいポリシーを POST するか、既存のポリシーを更新する場合は PATCH します。

PATCH /policies/homeRealmDiscoveryPolicies/{id}
{
    "displayName":"Home Realm Discovery Domain Hint Exclusion Policy",
    "definition":[
        "{\"HomeRealmDiscoveryPolicy\" : {\"DomainHintPolicy\": { \"IgnoreDomainHintForDomains\": [\"Contoso.com\"], \"RespectDomainHintForDomains\": [], \"IgnoreDomainHintForApps\": [\"sample-guid-483c-9dea-7de4b5d0a54a\"], \"RespectDomainHintForApps\": [] } } }"
    ],
    "isOrganizationDefault":true
}

Graph を使用する場合は、必ずスラッシュを使用して JSON セクション Definition をエスケープしてください。

isOrganizationDefault は true である必要がありますが、displayName と定義は変更できます。

次の方法で共有