> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Entra ID での Passport Macログイン の設定

> Iru Endpoint で Microsoft Entra ID を使用した Passport の Macログイン を設定します。Entra ID の資格情報による macOS ログイン画面での認証を有効にします。

<Callout icon="apple" color="#B84A7A" iconType="regular">このガイドは Mac コンピュータに適用されます</Callout>

### Microsoft Entra ID Macログイン を使用した Passport について

Microsoft Entra ID Macログイン を使用した Passport では、ユーザーは Mac のログインウインドウで Microsoft Entra ID のユーザー名とパスワードを使用してサインインします。Webログイン（MFA が必要な場合を含め、Passport の Web ビューでの Microsoft Entra ID サインイン）については、[Microsoft Entra ID での Passport の設定 - Webログイン](/ja/endpoint/library/passport/microsoft-entra-id/configure-passport-with-microsoft-entra-id-web-login) を使用してください。

<Card title="Entra ID Passport に関する重要な更新" type="danger" icon="calendar-exclamation" iconType="solid">
  **2026 年 6 月 15 日**以降、適用の変更がテナントに該当する場合、Microsoft Entra ID では Passport サインインの条件付きアクセスの処理方法が変わります。影響を受けるかどうかを確認するには、[2026 年 6 月 15 日までに必要な変更](#june-2026-conditional-access-change)を参照してください。Microsoft は[こちらのドキュメント](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions)でこの変更について説明しています。

  Passport を初めて設定する場合は、この記事の最初から進めてください。設定手順にはすでにこれらの更新が含まれています。
</Card>

### 仕組み

Passport は Microsoft Entra ID テナントと統合し、標準のユーザー名とパスワードのフィールドを使用して macOS のログイン画面でユーザーを認証します。ユーザーが Entra ID の資格情報を入力すると、Passport はテナントに照らしてそれを検証し、ローカルの Mac ユーザーアカウントを作成または更新します。

### 前提条件

* Passport アプリに正しい権限を付与できる Microsoft Entra ID 管理者アカウントへのアクセス権。

<Tabs>
  <Tab title="Microsoft Entra ID" id="microsoft-entra-id" icon="microsoft" iconType="brands">
    ### アプリの登録を作成する

    <Steps>
      <Step title="Microsoft Entra 管理センターにサインインする">
        グローバル管理者アカウントを使用して、[Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインします。
      </Step>

      <Step title="Identity に移動する">
        ポータルメニューを開き、**Identity** を選択します。
      </Step>

      <Step title="App registrations にアクセスする">
        **Identity** メニューの **アプリケーション** で、**App registrations** を選択します。
      </Step>

      <Step title="新しい登録を開始する">
        **App registrations** ページのメニューで、**+ New registration** を選択します。
      </Step>

      <Step title="アプリケーションの詳細を設定する">
        **Register an application** ダイアログで、新しいアプリケーションの名前（*Iru Passport Macログイン* など）を入力します。
      </Step>

      <Step title="サポートされているアカウントの種類を設定する">
        **サポートされるアカウントの種類** でドロップダウンを開き、**Single tenant only** を選択します（このオプションにはテナント名も表示されます。例: **Single tenant only - *Accuhive***）。Passport は組織内のみのシングルテナントにする必要があります。[Microsoft Entra ID でのアプリケーションの登録](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app)を参照してください。
      </Step>

      <Step title="リダイレクト URI を設定する">
        **Redirect URI** セクションの **Select a platform** ドロップダウンで、**Web** を選択します。
      </Step>

      <Step title="リダイレクト URI を入力する">
        URI フィールドに、次のように入力します: `https://localhost.redirect`
      </Step>

      <Note>
        リダイレクト URI の制限、プラットフォームの種類、ベストプラクティスについて詳しくは、[Microsoft のリダイレクト URI のドキュメント](https://learn.microsoft.com/en-us/entra/identity-platform/reply-url)を参照してください。
      </Note>

      <Step title="登録を完了する">
        **登録** を選択します。
      </Step>
    </Steps>

    ### アプリケーションの詳細を設定する

    <Steps>
      <Step title="安全なドキュメントを準備する">
        この OIDC アプリの値を一時的に保存できる安全なテキストドキュメントを開きます。これらの詳細は、[Passport Library Item を設定する](/ja/endpoint/library/passport/configure-the-passport-library-item)ときに必要になります。
      </Step>

      <Step title="Application ID をコピーする">
        **概要** ページで、**Application (client) ID** を一時的な安全なテキストドキュメントにコピーします。
      </Step>

      <Step title="エンドポイントにアクセスする">
        Overview ページのまま、**Endpoints** を選択します。
      </Step>

      <Step title="メタデータドキュメントをコピーする">
        **OpenID Connect metadata document**（ID プロバイダの URL）を一時的な安全なテキストドキュメントにコピーします。
      </Step>

      <Step title="認証の設定にアクセスする">
        左側で **認証** を選択し、**設定** を選択します。
      </Step>

      <Step title="パブリッククライアントフローを許可する">
        **Allow public client flows** を **Enabled** に設定します。
      </Step>

      <Step title="認証設定を保存する">
        **保存** を選択します。
      </Step>

      <Step title="Token configuration にアクセスする">
        左側で **Token configuration** を選択します。
      </Step>

      <Step title="オプションのクレームを追加する">
        **Add optional claim** を選択します。
      </Step>

      <Step title="トークンの種類を設定する">
        Token type で **ID** を選択します。
      </Step>

      <Step title="クレームを選択する">
        Claim で **preferred\_username** を選択します。
      </Step>

      <Step title="クレームを追加する">
        **追加** を選択します。
      </Step>

      <Step title="グループクレームを追加する">
        Token configuration ページのまま、**Add groups claim** を選択します。
      </Step>

      <Step title="グループを選択する">
        **すべてのグループ** を選択します。

        <Note>
          Entra ID SAML がサポートするセキュリティグループは最大 150 個です。セキュリティグループが 150 個を超える場合は、**すべてのグループ** を使用せず、特定のグループを選択してください。詳しくは、Microsoft の記事 [Microsoft Entra ID を使用してアプリケーションのグループクレームを構成する](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-fed-group-claims)を参照してください。
        </Note>
      </Step>

      <Step title="グループクレームを追加する">
        **追加** を選択します。
      </Step>
    </Steps>

    トークンの設定が完了すると、両方のオプションのクレームが表示されます。

    ### API のアクセス許可を設定する

    <Steps>
      <Step title="API Permissions にアクセスする">
        **API Permissions** を選択します。
      </Step>

      <Step title="アクセス許可を追加する">
        **Add a permission** を選択します。
      </Step>

      <Step title="Microsoft Graph を選択する">
        **Microsoft Graph** を選択します。
      </Step>

      <Step title="委任されたアクセス許可を選択する">
        **Delegated permissions** を選択します。
      </Step>

      <Step title="OpenID のアクセス許可を展開する">
        **OpenID permissions** セクションが展開されていることを確認します。展開されていない場合は、**OpenID permissions** の横にある展開アイコンを選択します。
      </Step>

      <Step title="email のアクセス許可を選択する">
        **email** を選択します。
      </Step>

      <Step title="profile のアクセス許可を選択する">
        **profile** を選択します。
      </Step>

      <Step title="User.Read のアクセス許可を検索する">
        **Select permissions** フィールドに **User.Read** と入力します。
      </Step>

      <Step title="User.Read の選択を確認する">
        User セクションで、**User.Read** がすでに選択されていることを確認します。**User.Read** が選択されていない場合は、選択します。
      </Step>

      <Step title="アクセス許可を追加する">
        **Add permissions** を選択します。
      </Step>

      <Step title="管理者の同意を付与する">
        API permissions ページのまま、**Grant admin consent for \[your tenant]** を選択します。
      </Step>

      <Step title="管理者の同意を確定する">
        **はい** を選択します。
      </Step>
    </Steps>

    以下のような通知が表示され、各アクセス許可の横の Status 列に「Granted for \[your tenant] ...」というメッセージが表示されます。

    <Frame>
      <img src="https://mintcdn.com/iru/4wJJk-urrjfBXzBY/assets/media/images/iru-entra-passport-configured-perms.png?fit=max&auto=format&n=4wJJk-urrjfBXzBY&q=85&s=370e73da3d658ffcacf8f4656fce0e35" alt="テナントに対して付与済みのステータスが表示された Microsoft Entra ID の API のアクセス許可" width="2048" height="598" data-path="assets/media/images/iru-entra-passport-configured-perms.png" />
    </Frame>

    ### ユーザーとグループを割り当てる

    <Note>
      デフォルトでは、新しいアプリの登録を作成すると、「Assignment required?」属性は「No」に設定されます。ただし、Passport のエンタープライズアプリで割り当てが必要に設定されている場合は、以下の手順に従ってユーザーを割り当て、ユーザーが Passport アプリを使用できるようにします。
    </Note>

    <Steps>
      <Step title="エンタープライズアプリケーションにアクセスする">
        左側の Entra ID ナビゲーションメニューで、**Enterprise Apps** を選択します。
      </Step>

      <Step title="Passport アプリを選択する">
        All applications の一覧で、**Iru Passport Macログイン**、または前のセクションでアプリの登録に付けた名前を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-enterprise-applications.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=1e5359c8d0f650e1dc1804275841d8fb" alt="Iru Passport Macログイン が表示された Entra ID のエンタープライズアプリケーション一覧" width="3082" height="1438" data-path="assets/media/images/iru-entra-id-passport-enterprise-applications.png" />
        </Frame>
      </Step>

      <Step title="Properties にアクセスする">
        **管理** で、**Properties** を選択します。
      </Step>

      <Step title="ロゴを追加する（オプション）">
        オプションで、エンタープライズアプリにロゴを追加します。
      </Step>

      <Step title="割り当ての要件を確認する">
        **Assignment required?** 設定を確認します。「No」に設定されている場合は、このセクションの残りをスキップできます。Entra ID のすべてのユーザーが Passport アプリを使用できます。
      </Step>

      <Step title="表示を設定する">
        **Visible to users?** が **いいえ** に設定されていることを確認します。そうしないと、ユーザーのポータルにアプリが表示されます。Passport アプリは macOS ログインウインドウの代替としてのみ有用です。
      </Step>

      <Step title="プロパティを保存する">
        **保存** を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-properties.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=8d06d2174e478f9f6347c971893cddd1" alt="Visible to users が No に設定された Entra ID の Passport のプロパティ" width="2558" height="1196" data-path="assets/media/images/iru-entra-id-passport-properties.png" />
        </Frame>
      </Step>

      <Step title="Users and Groups にアクセスする">
        <Note>
          **Assignment required?** 設定が「No」に設定されている場合は、このセクションの残りの手順をスキップして次のセクションに進むことができます。「Yes」に設定されている場合は、以下の手順に進んでユーザーとグループを割り当てます。
        </Note>

        **管理** で、**Users and Groups** を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-assignment-required.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=e60e0b210eccf98e0f1fe453500e6e48" alt="Assignment required が Yes で Users and groups が表示された Entra ID の Passport のプロパティ" width="3172" height="1492" data-path="assets/media/images/iru-entra-id-passport-assignment-required.png" />
        </Frame>
      </Step>

      <Step title="ユーザーまたはグループを追加する">
        メニューで、**+ Add user/group** を選択します。
      </Step>

      <Step title="ユーザーとグループを選択する">
        **Add Assignment** ダイアログで、**Users and groups** の下のリンクを選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-users-groups-empty.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=df0424332d9bc5ac8264aab9b4c06025" alt="割り当てがない Entra ID の Passport の Users and groups" width="3182" height="1484" data-path="assets/media/images/iru-entra-id-passport-users-groups-empty.png" />
        </Frame>
      </Step>

      <Step title="ユーザーとグループを選ぶ">
        ユーザーとセキュリティグループの一覧が表示されます。特定のユーザーやグループを検索するか、一覧に表示される複数のユーザーとグループを選択できます。
      </Step>

      <Step title="選択を確定する">
        ユーザーとグループを選択したら、**選択** を選択します。

        以下のメッセージが表示される場合は、無料プランが使用されていることを意味します。Passport のエンタープライズアプリには、ユーザーのみを追加でき、グループは追加できません。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-groups-not-available-plan-level.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=969cd9458b7d340c056d89b1187c5b2b" alt="Active Directory のプランレベルのため、グループを割り当てに使用できない" width="1420" height="166" data-path="assets/media/images/iru-entra-groups-not-available-plan-level.png" />
        </Frame>
      </Step>

      <Step title="割り当てを完了する">
        **割り当て** を選択して、アプリへのユーザーとグループの割り当てを完了します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-select-users-groups.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=b90dccbe36260010fd1e5d9c420a5396" alt="Select が表示された Entra ID の Add Assignment のユーザーとグループの選択画面" width="3178" height="1434" data-path="assets/media/images/iru-entra-id-passport-select-users-groups.png" />
        </Frame>
      </Step>

      <Step title="割り当てを確認する">
        追加したユーザーとグループが **Users and groups** の一覧に表示されていることを確認します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-add-assignment.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=74b4e200c3e7b97e6823a584691e3e35" alt="ユーザーが選択され Assign ボタンが表示された Entra ID の Add Assignment" width="3174" height="1434" data-path="assets/media/images/iru-entra-id-passport-add-assignment.png" />
        </Frame>
      </Step>

      <Step title="設定を確認する">
        Entra ID の設定のこの部分が完了したら、Microsoft Entra ID 環境に関するこの記事の残りのセクションを確認します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-users-and-groups.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=86df36369402d68491dad8cf43413840" alt="割り当て済みのユーザーが表示された Entra ID の Passport の Users and groups" width="3184" height="1432" data-path="assets/media/images/iru-entra-id-passport-users-and-groups.png" />
        </Frame>
      </Step>
    </Steps>

    ### Microsoft Entra ID の条件付きアクセスに関する考慮事項

    <Warning>
      [Microsoft Entra ID の条件付きアクセス](https://learn.microsoft.com/en-us/entra/identity/conditional-access/)は、Microsoft Entra ID Premium 以上に含まれています。Microsoft Entra ID の条件付きアクセスポリシーをオンにする前に、ユーザーごとの MFA とセキュリティの既定値群の両方をオフにしてください。
    </Warning>

    以下の手順を完了して、**Passport - CA Policy API** を登録し、そのスコープを Passport アプリに追加して、該当するポリシーからそのアプリを除外します。条件付きアクセスを使用しない場合は、このセクションをスキップしてください。完了したら、[Iru Endpoint](#iru-endpoint) タブの[認証モード](#authentication-mode)で、**Additional scopes (optional)** にスコープを追加します。

    <span id="passport-ca-policy-api" />

    #### Passport - CA Policy API アプリケーションを作成する

    Passport がベースラインスコープ以外のスコープを要求できるよう、このアプリケーションの登録を作成します。

    <Steps>
      <Step title="App registrations を開く">
        [Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインし、**Entra ID** > **App registrations** を開きます。
      </Step>

      <Step title="アプリケーションを登録する">
        **+ New registration** を選択します。名前に **Passport - CA Policy API** と入力し、**サポートされるアカウントの種類** で **Single tenant only** を選択し、**Redirect URI** は空のままにします。**登録** を選択します。
      </Step>

      <Step title="Microsoft Graph の管理者の同意を付与する">
        **API permissions** を開きます。管理者の同意がまだ付与されていない場合は、**Grant admin consent for \[your tenant]** を選択します。
      </Step>

      <Step title="API を公開する">
        左側のナビゲーションで **Expose an API** を開きます。
      </Step>

      <Step title="スコープを追加する">
        **+ Add a scope** を選択します。
      </Step>

      <Step title="Application ID URI を設定する">
        **Application ID URI** を確認します。Entra ID はデフォルト値（例: `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a`）を提案します。デフォルトのままで問題ありません。**保存して続行** を選択します。この URI をコピーする必要はありません。以下の**スコープ URI をコピーする**でスコープ URI をコピーします。
      </Step>

      <Step title="Passport スコープを設定する">
        **Scope name** に、スペースや特殊文字を含めずに `Passport` と入力します。**Who can consent** はデフォルトのままにします。**Admin consent** フィールドに表示名と説明を入力し、**Add scope** を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-ca-policy-api-scope.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=7696a053228d59eac997a0a97c23ca2d" alt="Passport のスコープ URI と Enabled 状態が表示された Microsoft Entra ID の Expose an API のスコープ一覧" width="1822" height="188" data-path="assets/media/images/iru-entra-passport-ca-policy-api-scope.png" />
        </Frame>
      </Step>

      <Step title="スコープ URI をコピーする">
        **Scopes** の一覧のスコープ URI（例: `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport`）の横にある **コピー** を選択します。[Iru Endpoint](#iru-endpoint) タブの[認証モード](#authentication-mode)の **Add Additional scopes** で使用するために保存しておきます。
      </Step>
    </Steps>

    <span id="passport-ca-policy-api-permission" />

    #### Passport アプリの登録にカスタムスコープを追加する

    <Steps>
      <Step title="Passport アプリの登録を開く">
        まだサインインしていない場合は、[Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインし、**Entra ID** > **App registrations** を開きます。Passport の **Macログイン** に使用しているアプリケーションを開きます。
      </Step>

      <Step title="API のアクセス許可を追加する">
        **API permissions** を開き、**+ Add a permission** を選択します。
      </Step>

      <Step title="Passport - CA Policy API を選択する">
        **APIs my organization uses** タブを開き、**Passport - CA Policy API** を選択します。
      </Step>

      <Step title="Passport の委任されたアクセス許可を追加する">
        **Delegated permissions** を選択し、**Passport** のアクセス許可を選択してから、**Add permissions** を選択します。
      </Step>

      <Step title="管理者の同意を付与する">
        **Grant admin consent for \[your tenant]** を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-ca-policy-api-permissions.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=624831db5dcf4ae73afe9a33a284cf6a" alt="Microsoft Graph と Passport - CA Policy API の委任されたアクセス許可が表示された Passport の Microsoft Entra ID の API のアクセス許可" width="964" height="472" data-path="assets/media/images/iru-entra-passport-ca-policy-api-permissions.png" />
        </Frame>
      </Step>
    </Steps>

    <span id="passport-ca-policy-api-ca-exclude" />

    #### All resources ポリシーから Passport - CA Policy API を除外する

    条件付きアクセスを使用する場合は、**All resources** を対象とする各ポリシーから **Passport - CA Policy API** を除外します。**All resources** を対象とするポリシーには、`openid` スコープを使用するサインインが含まれます。**Passport - CA Policy API** を除外すると、Passport が **Macログイン** でのパスワードの検証と同期に使用する ROPG の MFA 要件が解除されます。

    <Steps>
      <Step title="条件付きアクセスを開く">
        [Microsoft Entra 管理センター](https://entra.microsoft.com)で、**Protection** > **Conditional Access** > **Policies** を開きます。
      </Step>

      <Step title="All resources を対象とするポリシーを開く">
        **All resources** を対象とする各ポリシーを選択し、**Target resources** を開きます。
      </Step>

      <Step title="Passport - CA Policy API を除外する">
        **Exclude** タブを開き、**Select resources** を選択してから、**Passport - CA Policy API** を選択します。**選択** を選択し、**保存** を選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-ca-policy-api-ca-exclude.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=1c5ff72b9d4671691b3cbbfd376c2503" alt="Select specific resources で Passport - CA Policy API が選択された Microsoft Entra ID の条件付きアクセスポリシーの Exclude タブ" width="604" height="826" data-path="assets/media/images/iru-entra-passport-ca-policy-api-ca-exclude.png" />
        </Frame>
      </Step>

      <Step title="All resources の各ポリシーについて繰り返す">
        **All resources** を対象とするすべての条件付きアクセスポリシーについて、これらの手順を繰り返します。
      </Step>
    </Steps>

    <Note>
      **保存** が失敗する場合は、**Passport - CA Policy API** でパブリッククライアントフローが許可されていないことを確認してください。アプリにリダイレクト URI が設定されている場合は、それを削除してから再試行してください。
    </Note>

    ### Passport を使用したユーザーアカウントのプロビジョニング

    Entra ID のセキュリティグループのメンバーシップに基づいて各ユーザーの Mac アカウントの種類を Passport で設定する場合は、このセクションの手順を使用して、Microsoft Entra 管理センターで各グループの **Object ID** を収集します。これらの値は、Passport Library Item の [**Iru Endpoint** タブ](#iru-endpoint)の **ユーザープロビジョニング** で使用します。このモードについて詳しくは、**Passport Library Item の設定**の[ユーザープロビジョニング](/ja/endpoint/library/passport/configure-the-passport-library-item#user-provisioning)を参照してください。

    Microsoft Entra ID が SAML アサーションでサポートするセキュリティグループの数は 150 です。大規模な組織では、ユーザーがメンバーになっているグループの数が、Microsoft Entra ID がトークンでグループクレームを発行する前に適用する上限を超える場合があります。この上限を超えると、Microsoft Entra ID はトークンからグループクレームを省略します。

    <Steps>
      <Step title="グループにアクセスする">
        [Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインします。左側の Identity ナビゲーションメニューで **グループ** を開き、**すべてのグループ** を選択します。
      </Step>

      <Step title="グループを選択する">
        使用するグループを選択します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-groups-all-groups.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=34b8389946a40766e3d14022d1f35791" alt="Mac Computer Admin Users が表示された Entra ID の すべてのグループ 一覧" width="3178" height="1504" data-path="assets/media/images/iru-entra-id-groups-all-groups.png" />
        </Frame>
      </Step>

      <Step title="Object ID をコピーする">
        そのグループの **Object ID** をコピーします。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-group-object-id.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=032b1059e37294d2bee6e77afbb864d3" alt="Object ID が表示された Entra ID のグループの Overview" width="2204" height="1416" data-path="assets/media/images/iru-entra-id-group-object-id.png" />
        </Frame>
      </Step>

      <Step title="追加の Entra ID グループについて繰り返す">
        使用する追加の Entra ID グループごとに、**グループを選択する**と **Object ID をコピーする**を繰り返します。[**Iru Endpoint** タブ](#iru-endpoint)で入力するまで、**Object ID** の値を安全なドキュメントに保管しておきます。
      </Step>
    </Steps>

    <Note>
      [**Iru Endpoint** タブ](#iru-endpoint)の Passport Library Item で、**認証モード** と **ユーザープロビジョニング** を設定します。
    </Note>
  </Tab>

  <Tab title="Iru Endpoint" id="iru-endpoint" icon="https://mintcdn.com/iru/8j4H0SpqtcKJ5JUM/assets/media/svgs/Iru-Logomark-OnLight-16-Dashboard.svg?fit=max&auto=format&n=8j4H0SpqtcKJ5JUM&q=85&s=befa6ce99e1df18d397deb65aec8edaf" width="14" height="15" data-path="assets/media/svgs/Iru-Logomark-OnLight-16-Dashboard.svg">
    まだ行っていない場合は、[Passport Library Item の設定](/ja/endpoint/library/passport/configure-the-passport-library-item)を使用して Passport Library Item と基本設定を追加します。以下の手順は、Passport Library Item における Microsoft Entra ID の **Macログイン** のフィールドです。[Microsoft Entra ID](#microsoft-entra-id) タブで取得した **Application (client) ID** と OpenID Connect メタデータの URL を使用します。

    ### 認証モード

    ユーザーが Mac のログインウインドウで Microsoft Entra ID のユーザー名とパスワードを使用してサインインできるよう、**認証モード** を **Macログイン** に設定します。

    <Steps>
      <Step title="ID プロバイダとして Microsoft Entra ID を選択する">
        Passport Library Item で、**IDプロバイダー** を **Microsoft Entra ID** に設定します。
      </Step>

      <Step title="IDプロバイダーのURL を入力する">
        **IDプロバイダーのURL** フィールドに、[Microsoft Entra ID](#microsoft-entra-id) タブのアプリの登録で取得した **OpenID Connect metadata document** の URL を貼り付けます。
      </Step>

      <Step title="Client ID (パスワード同期) を入力する">
        **Client ID (Password Sync)** フィールドに、[Microsoft Entra ID](#microsoft-entra-id) タブのアプリの登録で取得した **Application (client) ID** を貼り付けます。
      </Step>

      <Step title="Additional scopes を追加する（条件付きアクセスのみ）">
        <Note>
          この手順は、[Microsoft Entra ID の条件付きアクセスに関する考慮事項](#microsoft-entra-id-conditional-access-considerations)を完了した場合にのみ実行してください。そのセクションをスキップした場合は、**Macログイン を選択する**に進みます。
        </Note>

        **Passport - CA Policy API アプリケーションを作成する**でコピーしたスコープ URI を、**Additional scopes (optional)** に貼り付けます。このフィールドは **Client ID (Password Sync)** の下に表示されます。

        <Frame>
          <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-additional-scopes.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=184577a527e20b9066f038cfadb7e6ce" alt="Passport - CA Policy API のスコープ URI が表示された Passport Library Item の Additional scopes フィールド" width="744" height="214" data-path="assets/media/images/iru-entra-passport-additional-scopes.png" />
        </Frame>
      </Step>

      <Step title="Macログイン を選択する">
        **認証モード** で、**Macログイン** を選択します。
      </Step>

      <Step title="設定を保存する">
        Passport Library Item で **保存** を選択します。
      </Step>
    </Steps>

    ### ユーザープロビジョニング

    Entra ID のセキュリティグループのメンバーシップに基づいて各ユーザーの Mac アカウントの種類を Passport で設定する場合は、Passport Library Item の [**Iru Endpoint** タブ](#iru-endpoint)の **ユーザープロビジョニング** で以下の手順を使用します。まず Entra ID で各グループの **Object ID** を収集してください。[Microsoft Entra ID](#microsoft-entra-id) タブの [Passport を使用したユーザーアカウントのプロビジョニング](#user-account-provisioning-via-passport)を参照してください。

    <Steps>
      <Step title="ユーザーアカウントの種類を設定する">
        **ユーザープロビジョニング** セクションで **ユーザーアカウントの種類** を開き、**IDプロバイダーグループごとに指定** を選択します。
      </Step>

      <Step title="フォールバックのアカウントの種類を選択する">
        **ユーザーアカウントの種類** を **IDプロバイダーグループごとに指定** に設定した状態で、その下のアカウントの種類のドロップダウンを開き、Administrator または Standard ユーザーを選択します。ユーザーの IdP グループメンバーシップから Administrator と Standard の両方のアカウントの種類が返される場合、そのユーザーは Administrator に指定されます。
      </Step>

      <Step title="Object ID を入力する">
        各 **IDプロバイダーグループ** フィールドに、グループの表示名ではなく、Entra ID グループの **Object ID** を GUID として入力します。
      </Step>

      <Step title="アカウントの種類を設定する">
        各 **IDプロバイダーグループ** の行で、**Account type** を適切に設定します。

        <Frame>
          <img src="https://mintcdn.com/iru/gptx2MM5S_bBcDGe/assets/media/images/iru-entra-id-passport-user-account-type.png?fit=max&auto=format&n=gptx2MM5S_bBcDGe&q=85&s=91c1ca4439ea3c71cc1fbc651bb1d4fe" alt="Entra ID の ID プロバイダグループごとのユーザーアカウントの種類が表示された Passport Library Item" width="2436" height="892" data-path="assets/media/images/iru-entra-id-passport-user-account-type.png" />
        </Frame>
      </Step>

      <Step title="設定を保存する">
        **保存** を選択します。
      </Step>
    </Steps>

    <Note>
      Passport Library Item を保存した後、アプリの登録、**Passport - CA Policy API** の除外、またはグループの **Object ID** を変更する必要がある場合は、[Microsoft Entra ID](#microsoft-entra-id) タブに戻ります。
    </Note>
  </Tab>
</Tabs>

<span id="june-2026-conditional-access-change" />

## 2026 年 6 月 15 日までに必要な変更

**2026 年 6 月 15 日**、Microsoft Entra ID は、**All resources**（旧 **All cloud apps**）を対象とし、**リソースの除外**を含むポリシーについて、条件付きアクセスの適用範囲を拡大します。`openid`、`profile`、`email`、`User.Read` などの**ベースラインスコープ**のみを要求するサインインが、これらのポリシーの対象になります。

<Note>
  条件付きアクセスのライセンスがない場合、この変更は組織に適用されません。この変更は、ポリシーが 1 つ以上の**リソースの除外**を含む **All resources** を対象とし、ユーザーがベースラインスコープのみを要求するアプリケーションを通じてサインインする場合にのみ適用されます。そのようなポリシー構成を使用していない場合は、影響を受けません。リソースの除外がなく **All resources** を対象とするポリシーも、この変更の対象外です。
</Note>

Passport の **Macログイン** は、パブリッククライアントとしてこれらのスコープを要求します。この変更がテナントに該当し、すでに **Macログイン** を使用している場合は、**2026 年 6 月 15 日**までに以下の関連する更新を完了してください。スキップすると、適用が開始された時点でサインインとパスワードの同期が機能しなくなる可能性があります。

この記事を使用して Passport の **Macログイン** を初めて設定する場合は、上記の **Microsoft Entra ID** タブと **Iru Endpoint** タブにすでにこれらの更新が含まれています。

詳しくは、[条件付きアクセスにおけるベースラインスコープの適用](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions)を参照してください。

### これらの更新をスキップした場合

**2026 年 6 月 15 日**までに準備しない場合:

* 新しいユーザーが Passport でサインインできなくなる可能性があります。
* パスワードの同期と状態管理が機能しなくなる可能性があります。
* Microsoft Entra ID に余分なサインイン失敗イベントが記録される可能性があります。

### 条件付きアクセスポリシーを使用していない場合

条件付きアクセスを使用していない場合、またはテスト中にテナント全体で以前の動作を維持したい場合:

<Steps>
  <Step title="プレースホルダーアプリケーションを登録する">
    ベースラインスコープのカスタムターゲットリソースとして機能するシングルテナントアプリケーションを Microsoft Entra ID に登録します。登録時に追加の設定は必要ありません。[動作のカスタマイズ](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions#customize-behavior)の **Create an application** を参照してください。
  </Step>

  <Step title="関連するポリシーからアプリケーションを除外する">
    以前の動作を維持する必要がある各条件付きアクセスポリシーで、**Target resources** からプレースホルダーアプリケーションを除外します。[Microsoft のドキュメント](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions#customize-behavior)の **Exclude the application from the relevant policy** を参照してください。
  </Step>

  <Step title="ベースラインスコープの設定でアプリケーションを選択する">
    [ベースラインスコープの設定](https://aka.ms/BaselineScopesSettingsUX)を開き、**Customize behavior** を選択して、プレースホルダーアプリケーションを選択してから、**保存** を選択します。[Microsoft のドキュメント](https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-enforcement-resource-exclusions#customize-behavior)の **Select the application in the Baseline scopes settings UX** を参照してください。
  </Step>

  <Step title="Passport Library Item の変更は不要">
    Iru Endpoint の Passport Library Item を変更する必要はありません。
  </Step>
</Steps>

この Entra ID の設定は、Passport だけでなく、ベースラインスコープを要求するすべてのアプリケーションに影響します。

### 条件付きアクセスポリシーを使用している場合

Passport の **Macログイン** で条件付きアクセスを使用している場合は、**2026 年 6 月 15 日**までに以下の手順を完了してください。

<span id="create-passport-ca-policy-api-app" />

#### Passport - CA Policy API アプリケーションを作成する

<Steps>
  <Step title="App registrations を開く">
    [Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインし、**Entra ID** > **App registrations** を開きます。
  </Step>

  <Step title="アプリケーションを登録する">
    **+ New registration** を選択します。名前に **Passport - CA Policy API** と入力し、**サポートされるアカウントの種類** で **Single tenant only** を選択し、**Redirect URI** は空のままにします。**登録** を選択します。
  </Step>

  <Step title="Microsoft Graph の管理者の同意を付与する">
    **API permissions** を開きます。管理者の同意がまだ付与されていない場合は、**Grant admin consent for \[your tenant]** を選択します。
  </Step>

  <Step title="API を公開する">
    左側のナビゲーションで **Expose an API** を開きます。
  </Step>

  <Step title="スコープを追加する">
    **+ Add a scope** を選択します。
  </Step>

  <Step title="Application ID URI を設定する">
    **Application ID URI** を確認します。Entra ID はデフォルト値（例: `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a`）を提案します。デフォルトのままで問題ありません。**保存して続行** を選択します。この URI をコピーする必要はありません。以下の**スコープ URI をコピーする**でスコープ URI をコピーします。
  </Step>

  <Step title="Passport スコープを設定する">
    **Scope name** に、スペースや特殊文字を含めずに `Passport` と入力します。**Who can consent** はデフォルトのままにします。**Admin consent** フィールドに表示名と説明を入力し、**Add scope** を選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-ca-policy-api-scope.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=7696a053228d59eac997a0a97c23ca2d" alt="Passport のスコープ URI と Enabled 状態が表示された Microsoft Entra ID の Expose an API のスコープ一覧" width="1822" height="188" data-path="assets/media/images/iru-entra-passport-ca-policy-api-scope.png" />
    </Frame>
  </Step>

  <Step title="スコープ URI をコピーする">
    **Scopes** の一覧のスコープ URI（例: `api://cca588ed-dfe6-4fb4-b695-abfa23b6475a/Passport`）の横にある **コピー** を選択します。[Passport Library Item を更新する](#update-passport-library-item)で使用するために保存しておきます。
  </Step>
</Steps>

#### Passport アプリの登録にカスタムスコープを追加する

<Steps>
  <Step title="Passport アプリの登録を開く">
    まだサインインしていない場合は、[Microsoft Entra 管理センター](https://entra.microsoft.com)にサインインし、**Entra ID** > **App registrations** を開きます。Passport の **Macログイン** に使用しているアプリケーションを開きます。
  </Step>

  <Step title="API のアクセス許可を追加する">
    **API permissions** を開き、**+ Add a permission** を選択します。
  </Step>

  <Step title="Passport - CA Policy API を選択する">
    **APIs my organization uses** タブを開き、**Passport - CA Policy API** を選択します。
  </Step>

  <Step title="Passport の委任されたアクセス許可を追加する">
    **Delegated permissions** を選択し、**Passport** のアクセス許可を選択してから、**Add permissions** を選択します。
  </Step>

  <Step title="管理者の同意を付与する">
    **Grant admin consent for \[your tenant]** を選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-ca-policy-api-permissions.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=624831db5dcf4ae73afe9a33a284cf6a" alt="Microsoft Graph と Passport - CA Policy API の委任されたアクセス許可が表示された Passport の Microsoft Entra ID の API のアクセス許可" width="964" height="472" data-path="assets/media/images/iru-entra-passport-ca-policy-api-permissions.png" />
    </Frame>
  </Step>
</Steps>

#### All resources ポリシーから Passport - CA Policy API を除外する

**All resources** を対象とするポリシーには、`openid` スコープを使用するサインインが含まれます。**Passport - CA Policy API** を除外すると、Passport が **Macログイン** でのパスワードの検証と同期に使用する ROPG の MFA 要件が解除されます。

<Steps>
  <Step title="条件付きアクセスを開く">
    [Microsoft Entra 管理センター](https://entra.microsoft.com)で、**Protection** > **Conditional Access** > **Policies** を開きます。
  </Step>

  <Step title="All resources を対象とするポリシーを開く">
    **All resources** を対象とする各ポリシーを選択し、**Target resources** を開きます。
  </Step>

  <Step title="Passport - CA Policy API を除外する">
    **Exclude** タブを開き、**Select resources** を選択してから、**Passport - CA Policy API** を選択します。**選択** を選択し、**保存** を選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-ca-policy-api-ca-exclude.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=1c5ff72b9d4671691b3cbbfd376c2503" alt="Select specific resources で Passport - CA Policy API が選択された Microsoft Entra ID の条件付きアクセスポリシーの Exclude タブ" width="604" height="826" data-path="assets/media/images/iru-entra-passport-ca-policy-api-ca-exclude.png" />
    </Frame>
  </Step>

  <Step title="All resources の各ポリシーについて繰り返す">
    **All resources** を対象とするすべての条件付きアクセスポリシーについて、これらの手順を繰り返します。
  </Step>
</Steps>

<Note>
  **保存** が失敗する場合は、**Passport - CA Policy API** でパブリッククライアントフローが許可されていないことを確認してください。アプリにリダイレクト URI が設定されている場合は、それを削除してから再試行してください。
</Note>

<span id="update-passport-library-item" />

#### Passport Library Item を更新する

<Steps>
  <Step title="Passport Library Item を開く">
    Iru Endpoint で **Library** を開き、Microsoft Entra ID の **Macログイン** 用に設定された Passport Library Item を編集します。
  </Step>

  <Step title="スコープ URI を追加する">
    [**Iru Endpoint** タブ](#iru-endpoint)で、[Passport - CA Policy API アプリケーションを作成する](#create-passport-ca-policy-api-app)で取得したスコープ URI を **Additional scopes (optional)** に貼り付けてから、**保存** を選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/XxnIQlFwhHx3K8Yp/assets/media/images/iru-entra-passport-additional-scopes.png?fit=max&auto=format&n=XxnIQlFwhHx3K8Yp&q=85&s=184577a527e20b9066f038cfadb7e6ce" alt="Passport - CA Policy API のスコープ URI が表示された Passport Library Item の Additional scopes フィールド" width="744" height="214" data-path="assets/media/images/iru-entra-passport-additional-scopes.png" />
    </Frame>
  </Step>

  <Step title="他の Passport Library Item について繰り返す">
    Microsoft Entra ID の **Macログイン** 用に設定されたすべての Passport Library Item について、**スコープ URI を追加する**を繰り返します。
  </Step>
</Steps>

これらの更新が完了したら、登録済みの Mac で Passport のサインインをテストします。サインインに失敗する場合は、[Microsoft Entra ID（旧 Azure AD）での Passport のトラブルシューティング](/ja/endpoint/library/passport/microsoft-entra-id/passport-troubleshooting-with-microsoft-entra-id-formerly-azure-ad)を参照してください。

## Microsoft Entra ID のトラブルシューティング

Entra ID で Passport のサインインに失敗する場合は、[Microsoft Entra ID（旧 Azure AD）での Passport のトラブルシューティング](/ja/endpoint/library/passport/microsoft-entra-id/passport-troubleshooting-with-microsoft-entra-id-formerly-azure-ad)を参照してください。