このガイドは Mac コンピュータに適用されます
Microsoft Entra ID Macログイン を使用した Passport について
Microsoft Entra ID Macログイン を使用した Passport では、ユーザーは Mac のログインウインドウで Microsoft Entra ID のユーザー名とパスワードを使用してサインインします。Webログイン（MFA が必要な場合を含め、Passport の Web ビューでの Microsoft Entra ID サインイン）については、Microsoft Entra ID での Passport の設定 - Webログイン を使用してください。仕組み
Passport は Microsoft Entra ID テナントと統合し、標準のユーザー名とパスワードのフィールドを使用して macOS のログイン画面でユーザーを認証します。ユーザーが Entra ID の資格情報を入力すると、Passport はテナントに照らしてそれを検証し、ローカルの Mac ユーザーアカウントを作成または更新します。前提条件
- Passport アプリに正しい権限を付与できる Microsoft Entra ID 管理者アカウントへのアクセス権。
- Microsoft Entra ID
- Iru Endpoint
Iru Endpointアプリの登録を作成する
1
Microsoft Entra 管理センターにサインインする
グローバル管理者アカウントを使用して、Microsoft Entra 管理センターにサインインします。
2
Identity に移動する
ポータルメニューを開き、Identity を選択します。
3
App registrations にアクセスする
Identity メニューの アプリケーション で、App registrations を選択します。
4
新しい登録を開始する
App registrations ページのメニューで、+ New registration を選択します。
5
アプリケーションの詳細を設定する
Register an application ダイアログで、新しいアプリケーションの名前（Iru Passport Macログイン など）を入力します。
6
サポートされているアカウントの種類を設定する
サポートされるアカウントの種類 でドロップダウンを開き、Single tenant only を選択します（このオプションにはテナント名も表示されます。例: Single tenant only - Accuhive）。Passport は組織内のみのシングルテナントにする必要があります。Microsoft Entra ID でのアプリケーションの登録を参照してください。
7
リダイレクト URI を設定する
Redirect URI セクションの Select a platform ドロップダウンで、Web を選択します。
8
リダイレクト URI を入力する
URI フィールドに、次のように入力します:
https://localhost.redirect9
登録を完了する
登録 を選択します。
アプリケーションの詳細を設定する
1
安全なドキュメントを準備する
この OIDC アプリの値を一時的に保存できる安全なテキストドキュメントを開きます。これらの詳細は、Passport Library Item を設定するときに必要になります。
2
Application ID をコピーする
概要 ページで、Application (client) ID を一時的な安全なテキストドキュメントにコピーします。
3
エンドポイントにアクセスする
Overview ページのまま、Endpoints を選択します。
4
メタデータドキュメントをコピーする
OpenID Connect metadata document（ID プロバイダの URL）を一時的な安全なテキストドキュメントにコピーします。
5
認証の設定にアクセスする
左側で 認証 を選択し、設定 を選択します。
6
パブリッククライアントフローを許可する
Allow public client flows を Enabled に設定します。
7
認証設定を保存する
保存 を選択します。
8
Token configuration にアクセスする
左側で Token configuration を選択します。
9
オプションのクレームを追加する
Add optional claim を選択します。
10
トークンの種類を設定する
Token type で ID を選択します。
11
クレームを選択する
Claim で preferred_username を選択します。
12
クレームを追加する
追加 を選択します。
13
グループクレームを追加する
Token configuration ページのまま、Add groups claim を選択します。
14
グループを選択する
すべてのグループ を選択します。
Entra ID SAML がサポートするセキュリティグループは最大 150 個です。セキュリティグループが 150 個を超える場合は、すべてのグループ を使用せず、特定のグループを選択してください。詳しくは、Microsoft の記事 Microsoft Entra ID を使用してアプリケーションのグループクレームを構成するを参照してください。
15
グループクレームを追加する
追加 を選択します。
API のアクセス許可を設定する
1
API Permissions にアクセスする
API Permissions を選択します。
2
アクセス許可を追加する
Add a permission を選択します。
3
Microsoft Graph を選択する
Microsoft Graph を選択します。
4
委任されたアクセス許可を選択する
Delegated permissions を選択します。
5
OpenID のアクセス許可を展開する
OpenID permissions セクションが展開されていることを確認します。展開されていない場合は、OpenID permissions の横にある展開アイコンを選択します。
6
email のアクセス許可を選択する
email を選択します。
7
profile のアクセス許可を選択する
profile を選択します。
8
User.Read のアクセス許可を検索する
Select permissions フィールドに User.Read と入力します。
9
User.Read の選択を確認する
User セクションで、User.Read がすでに選択されていることを確認します。User.Read が選択されていない場合は、選択します。
10
アクセス許可を追加する
Add permissions を選択します。
11
管理者の同意を付与する
API permissions ページのまま、Grant admin consent for [your tenant] を選択します。
12
管理者の同意を確定する
はい を選択します。
ユーザーとグループを割り当てる
デフォルトでは、新しいアプリの登録を作成すると、「Assignment required?」属性は「No」に設定されます。ただし、Passport のエンタープライズアプリで割り当てが必要に設定されている場合は、以下の手順に従ってユーザーを割り当て、ユーザーが Passport アプリを使用できるようにします。
1
エンタープライズアプリケーションにアクセスする
左側の Entra ID ナビゲーションメニューで、Enterprise Apps を選択します。
2
Passport アプリを選択する
All applications の一覧で、Iru Passport Macログイン、または前のセクションでアプリの登録に付けた名前を選択します。
3
Properties にアクセスする
管理 で、Properties を選択します。
4
ロゴを追加する（オプション）
オプションで、エンタープライズアプリにロゴを追加します。
5
割り当ての要件を確認する
Assignment required? 設定を確認します。「No」に設定されている場合は、このセクションの残りをスキップできます。Entra ID のすべてのユーザーが Passport アプリを使用できます。
6
表示を設定する
Visible to users? が いいえ に設定されていることを確認します。そうしないと、ユーザーのポータルにアプリが表示されます。Passport アプリは macOS ログインウインドウの代替としてのみ有用です。
7
プロパティを保存する
保存 を選択します。
8
Users and Groups にアクセスする
Assignment required? 設定が「No」に設定されている場合は、このセクションの残りの手順をスキップして次のセクションに進むことができます。「Yes」に設定されている場合は、以下の手順に進んでユーザーとグループを割り当てます。
9
ユーザーまたはグループを追加する
メニューで、+ Add user/group を選択します。
10
ユーザーとグループを選択する
Add Assignment ダイアログで、Users and groups の下のリンクを選択します。
11
ユーザーとグループを選ぶ
ユーザーとセキュリティグループの一覧が表示されます。特定のユーザーやグループを検索するか、一覧に表示される複数のユーザーとグループを選択できます。
12
選択を確定する
ユーザーとグループを選択したら、選択 を選択します。以下のメッセージが表示される場合は、無料プランが使用されていることを意味します。Passport のエンタープライズアプリには、ユーザーのみを追加でき、グループは追加できません。
13
割り当てを完了する
割り当て を選択して、アプリへのユーザーとグループの割り当てを完了します。
14
割り当てを確認する
追加したユーザーとグループが Users and groups の一覧に表示されていることを確認します。
15
設定を確認する
Entra ID の設定のこの部分が完了したら、Microsoft Entra ID 環境に関するこの記事の残りのセクションを確認します。
Microsoft Entra ID の条件付きアクセスに関する考慮事項
以下の手順を完了して、Passport - CA Policy API を登録し、そのスコープを Passport アプリに追加して、該当するポリシーからそのアプリを除外します。条件付きアクセスを使用しない場合は、このセクションをスキップしてください。完了したら、Iru Endpoint タブの認証モードで、Additional scopes (optional) にスコープを追加します。Passport - CA Policy API アプリケーションを作成する
Passport がベースラインスコープ以外のスコープを要求できるよう、このアプリケーションの登録を作成します。1
App registrations を開く
Microsoft Entra 管理センターにサインインし、Entra ID > App registrations を開きます。
2
アプリケーションを登録する
+ New registration を選択します。名前に Passport - CA Policy API と入力し、サポートされるアカウントの種類 で Single tenant only を選択し、Redirect URI は空のままにします。登録 を選択します。
3
Microsoft Graph の管理者の同意を付与する
API permissions を開きます。管理者の同意がまだ付与されていない場合は、Grant admin consent for [your tenant] を選択します。
4
API を公開する
左側のナビゲーションで Expose an API を開きます。
5
スコープを追加する
+ Add a scope を選択します。
6
Application ID URI を設定する
Application ID URI を確認します。Entra ID はデフォルト値（例:
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a）を提案します。デフォルトのままで問題ありません。保存して続行 を選択します。この URI をコピーする必要はありません。以下のスコープ URI をコピーするでスコープ URI をコピーします。7
Passport スコープを設定する
Scope name に、スペースや特殊文字を含めずに 
Passport と入力します。Who can consent はデフォルトのままにします。Admin consent フィールドに表示名と説明を入力し、Add scope を選択します。8
スコープ URI をコピーする
Scopes の一覧のスコープ URI（例:
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport）の横にある コピー を選択します。Iru Endpoint タブの認証モードの Add Additional scopes で使用するために保存しておきます。Passport アプリの登録にカスタムスコープを追加する
1
Passport アプリの登録を開く
まだサインインしていない場合は、Microsoft Entra 管理センターにサインインし、Entra ID > App registrations を開きます。Passport の Macログイン に使用しているアプリケーションを開きます。
2
API のアクセス許可を追加する
API permissions を開き、+ Add a permission を選択します。
3
Passport - CA Policy API を選択する
APIs my organization uses タブを開き、Passport - CA Policy API を選択します。
4
Passport の委任されたアクセス許可を追加する
Delegated permissions を選択し、Passport のアクセス許可を選択してから、Add permissions を選択します。
5
管理者の同意を付与する
Grant admin consent for [your tenant] を選択します。
All resources ポリシーから Passport - CA Policy API を除外する
条件付きアクセスを使用する場合は、All resources を対象とする各ポリシーから Passport - CA Policy API を除外します。All resources を対象とするポリシーには、openid スコープを使用するサインインが含まれます。Passport - CA Policy API を除外すると、Passport が Macログイン でのパスワードの検証と同期に使用する ROPG の MFA 要件が解除されます。1
条件付きアクセスを開く
Microsoft Entra 管理センターで、Protection > Conditional Access > Policies を開きます。
2
All resources を対象とするポリシーを開く
All resources を対象とする各ポリシーを選択し、Target resources を開きます。
3
Passport - CA Policy API を除外する
Exclude タブを開き、Select resources を選択してから、Passport - CA Policy API を選択します。選択 を選択し、保存 を選択します。
4
All resources の各ポリシーについて繰り返す
All resources を対象とするすべての条件付きアクセスポリシーについて、これらの手順を繰り返します。
保存 が失敗する場合は、Passport - CA Policy API でパブリッククライアントフローが許可されていないことを確認してください。アプリにリダイレクト URI が設定されている場合は、それを削除してから再試行してください。
Passport を使用したユーザーアカウントのプロビジョニング
Entra ID のセキュリティグループのメンバーシップに基づいて各ユーザーの Mac アカウントの種類を Passport で設定する場合は、このセクションの手順を使用して、Microsoft Entra 管理センターで各グループの Object ID を収集します。これらの値は、Passport Library Item の Iru Endpoint タブの ユーザープロビジョニング で使用します。このモードについて詳しくは、Passport Library Item の設定のユーザープロビジョニングを参照してください。Microsoft Entra ID が SAML アサーションでサポートするセキュリティグループの数は 150 です。大規模な組織では、ユーザーがメンバーになっているグループの数が、Microsoft Entra ID がトークンでグループクレームを発行する前に適用する上限を超える場合があります。この上限を超えると、Microsoft Entra ID はトークンからグループクレームを省略します。1
グループにアクセスする
Microsoft Entra 管理センターにサインインします。左側の Identity ナビゲーションメニューで グループ を開き、すべてのグループ を選択します。
2
グループを選択する
使用するグループを選択します。
3
Object ID をコピーする
そのグループの Object ID をコピーします。
4
追加の Entra ID グループについて繰り返す
使用する追加の Entra ID グループごとに、グループを選択すると Object ID をコピーするを繰り返します。Iru Endpoint タブで入力するまで、Object ID の値を安全なドキュメントに保管しておきます。
Iru Endpoint タブの Passport Library Item で、認証モード と ユーザープロビジョニング を設定します。
2026 年 6 月 15 日までに必要な変更
2026 年 6 月 15 日、Microsoft Entra ID は、All resources（旧 All cloud apps）を対象とし、リソースの除外を含むポリシーについて、条件付きアクセスの適用範囲を拡大します。openid、profile、email、User.Read などのベースラインスコープのみを要求するサインインが、これらのポリシーの対象になります。
条件付きアクセスのライセンスがない場合、この変更は組織に適用されません。この変更は、ポリシーが 1 つ以上のリソースの除外を含む All resources を対象とし、ユーザーがベースラインスコープのみを要求するアプリケーションを通じてサインインする場合にのみ適用されます。そのようなポリシー構成を使用していない場合は、影響を受けません。リソースの除外がなく All resources を対象とするポリシーも、この変更の対象外です。
これらの更新をスキップした場合
2026 年 6 月 15 日までに準備しない場合:- 新しいユーザーが Passport でサインインできなくなる可能性があります。
- パスワードの同期と状態管理が機能しなくなる可能性があります。
- Microsoft Entra ID に余分なサインイン失敗イベントが記録される可能性があります。
条件付きアクセスポリシーを使用していない場合
条件付きアクセスを使用していない場合、またはテスト中にテナント全体で以前の動作を維持したい場合:1
プレースホルダーアプリケーションを登録する
ベースラインスコープのカスタムターゲットリソースとして機能するシングルテナントアプリケーションを Microsoft Entra ID に登録します。登録時に追加の設定は必要ありません。動作のカスタマイズの Create an application を参照してください。
2
関連するポリシーからアプリケーションを除外する
以前の動作を維持する必要がある各条件付きアクセスポリシーで、Target resources からプレースホルダーアプリケーションを除外します。Microsoft のドキュメントの Exclude the application from the relevant policy を参照してください。
3
ベースラインスコープの設定でアプリケーションを選択する
ベースラインスコープの設定を開き、Customize behavior を選択して、プレースホルダーアプリケーションを選択してから、保存 を選択します。Microsoft のドキュメントの Select the application in the Baseline scopes settings UX を参照してください。
4
Passport Library Item の変更は不要
Iru Endpoint の Passport Library Item を変更する必要はありません。
条件付きアクセスポリシーを使用している場合
Passport の Macログイン で条件付きアクセスを使用している場合は、2026 年 6 月 15 日までに以下の手順を完了してください。Passport - CA Policy API アプリケーションを作成する
1
App registrations を開く
Microsoft Entra 管理センターにサインインし、Entra ID > App registrations を開きます。
2
アプリケーションを登録する
+ New registration を選択します。名前に Passport - CA Policy API と入力し、サポートされるアカウントの種類 で Single tenant only を選択し、Redirect URI は空のままにします。登録 を選択します。
3
Microsoft Graph の管理者の同意を付与する
API permissions を開きます。管理者の同意がまだ付与されていない場合は、Grant admin consent for [your tenant] を選択します。
4
API を公開する
左側のナビゲーションで Expose an API を開きます。
5
スコープを追加する
+ Add a scope を選択します。
6
Application ID URI を設定する
Application ID URI を確認します。Entra ID はデフォルト値（例:
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a）を提案します。デフォルトのままで問題ありません。保存して続行 を選択します。この URI をコピーする必要はありません。以下のスコープ URI をコピーするでスコープ URI をコピーします。7
Passport スコープを設定する
Scope name に、スペースや特殊文字を含めずに
Passport と入力します。Who can consent はデフォルトのままにします。Admin consent フィールドに表示名と説明を入力し、Add scope を選択します。8
スコープ URI をコピーする
Scopes の一覧のスコープ URI（例:
api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport）の横にある コピー を選択します。Passport Library Item を更新するで使用するために保存しておきます。Passport アプリの登録にカスタムスコープを追加する
1
Passport アプリの登録を開く
まだサインインしていない場合は、Microsoft Entra 管理センターにサインインし、Entra ID > App registrations を開きます。Passport の Macログイン に使用しているアプリケーションを開きます。
2
API のアクセス許可を追加する
API permissions を開き、+ Add a permission を選択します。
3
Passport - CA Policy API を選択する
APIs my organization uses タブを開き、Passport - CA Policy API を選択します。
4
Passport の委任されたアクセス許可を追加する
Delegated permissions を選択し、Passport のアクセス許可を選択してから、Add permissions を選択します。
5
管理者の同意を付与する
Grant admin consent for [your tenant] を選択します。
All resources ポリシーから Passport - CA Policy API を除外する
All resources を対象とするポリシーには、openid スコープを使用するサインインが含まれます。Passport - CA Policy API を除外すると、Passport が Macログイン でのパスワードの検証と同期に使用する ROPG の MFA 要件が解除されます。
1
条件付きアクセスを開く
Microsoft Entra 管理センターで、Protection > Conditional Access > Policies を開きます。
2
All resources を対象とするポリシーを開く
All resources を対象とする各ポリシーを選択し、Target resources を開きます。
3
Passport - CA Policy API を除外する
Exclude タブを開き、Select resources を選択してから、Passport - CA Policy API を選択します。選択 を選択し、保存 を選択します。
4
All resources の各ポリシーについて繰り返す
All resources を対象とするすべての条件付きアクセスポリシーについて、これらの手順を繰り返します。
保存 が失敗する場合は、Passport - CA Policy API でパブリッククライアントフローが許可されていないことを確認してください。アプリにリダイレクト URI が設定されている場合は、それを削除してから再試行してください。
Passport Library Item を更新する
1
Passport Library Item を開く
Iru Endpoint で Library を開き、Microsoft Entra ID の Macログイン 用に設定された Passport Library Item を編集します。
2
スコープ URI を追加する
Iru Endpoint タブで、Passport - CA Policy API アプリケーションを作成するで取得したスコープ URI を Additional scopes (optional) に貼り付けてから、保存 を選択します。
3
他の Passport Library Item について繰り返す
Microsoft Entra ID の Macログイン 用に設定されたすべての Passport Library Item について、スコープ URI を追加するを繰り返します。