ポータルの OpenID Connect プロバイダーを Azure AD で構成する

この記事では、 Azure Active Directory (Azure AD) とマルチテナント Azure AD のポータル用の OpenID Connect プロバイダーの構成について説明します。

暗黙的な許可フローを使用して OpenID Connect プロバイダとして Azure AD を設定する

1. ポータルで プロバイダーを追加する を選択します。

2. ログイン プロバイダーにその他を選択します。

3. OpenID Connect にプロトコルを選択します。

4. プロバイダーの名前を入力します。

   

5. 次へ を選択します。

6. この手順では、アプリケーションを作成し、ID プロバイダーを使用して設定を構成します。

   

   注意

   • 返信 URL は、認証に成功した後にユーザーをポータルにリダイレクトする目的で、アプリが使用します。 ポータルでカスタム ドメイン名を使用している場合は、ここで提供されているものとは異なる URL を使用している可能性があります。
   • Azure portal におけるアプリ登録の作成についての詳細は、クイックスタート : Microsoft ID プラットフォームでアプリケーションを登録する を参照してください。

   1. Azure portalにサインインします。

   2. Azure Active Directory を検索して選択します。

   3. 管理 配下で アプリの登録 を選択します。

   4. 新規登録を選択します。

      

   5. 名前を入力してください。

   6. 必要に応じて、別の対応しているアカウント タイプを選択します。 詳細情報 : 体操しているアカウント タイプ

   7. URI のリダイレクト配下で、ウェブ (まだ選択されていない場合) を選択します。

   8. リダイレクト URI テキスト ボックスにポータルの返信 URL を入力します。
      例: https://contoso-portal.powerappsportals.com/signin-openid_1

      注意

      既定のポータル URL を使用している場合は、ID プロバイダーを構成する画面の OpenID 接続プロバイダー設定を作成して構成するセクションに示すように応答 URL をコピーして貼り付けます (上記の手順 6)。 ポータルにカスタム ドメイン名を使用している場合は、カスタム URL を入力します。 OpenID Connect プロバイダーを設定する際に、ポータルの設定で リダイレクト URL を設定する場合は、必ずこの値を使用してください。
      たとえば、Azureポータルで 返信 URL に https://contoso-portal.powerappsportals.com/signin-openid_1 と入力した場合、ポータルの OpenID Connect の構成ではこれをそのまま使用する必要があります。

      

   9. 登録を選択します。

   10. 左側のペインの管理配下で、認証を選択します。

       

   11. 暗黙的な許可配下で、ID トークンチェック ボックスを選択します。

   12. 保存を選択します。

7. この手順では、ポータルの構成で使用するサイトの設定を入力します。

   

   ヒント

   前述の手順でアプリ登録の構成をした後でブラウザのウィンドウを閉じてしまった場合は、再度 Azure portal にサインインして、登録したアプリに移動します。

   1. オーソリティ : オーソリティの URL を構成するには、次の形式を使用します :

      https://login.microsoftonline.com/<Directory (tenant) ID>/

      たとえば、 Azure ポータルのディレクトリ (テナント) ID が 7e6ea6c7-a751-4b0d-bbb0-8cf17fe85dbb の場合、オーソリティの URL は https://login.microsoftonline.com/7e6ea6c7-a751-4b0d-bbb0-8cf17fe85dbb/ となります

   2. クライアント ID : Azure ポータルからクライアント ID としてアプリケーション (クライアント) ID をコピーします。

      

   3. リダイレクト URL : リダイレクト URLサイトの設定値が、前述の Azure ポータルで設定したリダイレクト URIと同じであることを確認します。

      

      注意

      既定のポータル URL を使用している場合は、OpenID Connect プロバイダー設定の構成と作成の手順に記載のとおり、返信URL をコピーして貼り付けることができます。 カスタム ドメイン名を使用している場合は、URL を手動で入力してください。 ここで入力した値が、前述の Azure ポータルでリダイレクト URI として入力した値と全く同じである必要があります。

   4. メタデータ アドレス : メタデータ アドレスを構成する方法 :

      1. Azure portal で、概要 を選択します。

      2. エンドポイントを選択します。

         

      3. OpenID Connect メタデータ ドキュメントの URL をコピーします。

         

      4. コピーしたドキュメントの URL をポータルのメタデータ アドレスして貼り付けます。

   5. 範囲 : スコープのサイト設定値に次を設定します :

      openid email

      注意

      スコープの openid 値は必須です。 email の値は任意です。この email の値をスコープに指定することで、ポータルユーザー (取引先担当者レコード) のメールアドレスが自動的に入力され、ユーザーがログインした後に プロファイル ページに表示されるようになります。 追加のクレームについては、この記事の後半に記載の追加の要求を構成するを参照してください。

   6. 応答タイプ に コード id_tokenを選択します。

   7. 応答モード に form_post を選択します。

8. 確認 を選択します。

   

9. 閉じるを選択します。

追加の要求の構成

1. Azure AD におけるオプションの要求を有効にします。

2. スコープを設定して追加の要求を含めます。
   例: openid email profile

3. 追加のサイト設定に登録要求のマッピングを設定します。
   例: firstname=given_name,lastname=family_name

4. 追加のサイト設定にログイン要求のマッピングを設定します。
   例: firstname=given_name,lastname=family_name

たとえば、追加の要求で提供された名、姓、メールアドレスは、ポータルのプロファイル ページの既定の値となります。

マルチテナント Azure AD アプリケーションを使用して認証を有効にする

Azure AD に登録されているマルチテナント型のアプリケーションを利用することで、特定のテナントからだけでなく、Azure 内のどのテナントからでも Azure AD のユーザーを受け入れるようにポータルを設定することができます。 マルチテナント機能を有効にするには、Azure AD アプリケーションでアプリケーションの登録を更新します。

マルチテナント型のアプリケーションを使用して Azure AD に対する認証をサポートするには、追加の 発行者フィルター サイト設定を作成または構成する必要があります。

このサイト設定は、ワイルドカード ベースのフィルターで、すべてのテナントを横断するすべての発行者に一致します。 例: https://sts.windows.net/*/

関連項目

ポータルで OpenIDConnect を使用することに関する FAQ