Skip to main content
このガイドは Mac コンピュータに適用されます
Microsoft Entra ID は Azure AD（Azure Active Directory）の新しい名称です

​
フェデレーションされた Microsoft Entra ID 環境での Passport について

フェデレーションされた Microsoft Entra ID 環境での Passport は、Entra ID が外部の ID プロバイダのサービスプロバイダ（SP）である場合に該当します。認証とパスワードの検証が Entra ID に対して正しく完了するよう、Macログイン と Webログイン のどちらにも追加の設定が必要です。

Entra ID Passport に関する重要な更新

2026 年 6 月 15 日以降、Microsoft Entra ID では Passport サインインの条件付きアクセスの処理方法が変わります。
  • Macログイン: テナントが影響を受けるかどうか、およびその日付までに何を更新する必要があるかを確認するには、Entra ID Passport Macログイン を参照してください。
  • Webログイン: 更新が必要なのは、Webログイン を使用していて、条件付きアクセスで Passport を MFA の対象外にしたい場合のみです。Entra ID Passport Webログイン を参照してください。
Microsoft はこちらのドキュメントでこの変更について説明しています。

​
仕組み

ユーザーが別の IdP を通じてフェデレーションする場合でも、Passport は引き続き Entra ID を OIDC 機関として使用します。Macログイン と Webログイン では、フェデレーション環境でパスワードの検証が Entra ID に対して完了できるよう、PowerShell を使用して Entra ID にホームレルム検出（HRD）ポリシーを作成します。

​
前提条件

HRD ポリシーを作成する前に、以下のすべてを確認してください。この記事は、フェデレーションされたテナントで Macログイン または Webログイン に Entra ID を使用して Passport を使用する場合に適用されます。

Azure と Microsoft Entra ID

  • 有効な Azure サブスクリプション（必要に応じて無料アカウントを作成してください）。
  • ディレクトリのアプリとポリシーを管理できるユーザー: Global Administrator、Cloud Application Administrator、Application Administrator、またはサービスプリンシパルの所有者。

Windows と PowerShell

Passport 用の ID 同期

  • Passport でサインインするユーザーは、サインイン経路をサポートする形で Entra ID に存在している必要があります。
  • ハイブリッド Active Directory: 該当する場合は、パスワードハッシュ同期を使用した Microsoft Entra Connect を使用します。
  • クラウドのフェデレーション IdP: フェデレーション IdP のユーザー名とパスワードが、ROPC 形式のサインインで想定どおりに Entra ID に届くことを確認します。

Passport の導入済み

​
フェデレーション環境での認証フロー

以下の図は、Entra ID が別の ID プロバイダ（IdP）とフェデレーションされたサービスプロバイダ（SP）として機能する場合の Passport の認証フローを示しています。
Entra ID が別の ID プロバイダとフェデレーションされている場合の Passport の認証フロー
ユーザーが Passport を使用して認証しようとすると、リクエストは次のようになります。
1

Passport が認証リクエストを送信する

Passport が Microsoft Entra ID に認証リクエストを送信します。
2

Microsoft Entra ID がリクエストを転送する

Microsoft Entra ID が認証リクエストをフェデレーション IdP に転送します。
3

IdP がリクエストを検証する

IdP が認証リクエストを検証し、Microsoft Entra ID に送り返します。
4

認証が失敗する

Microsoft Entra ID は検証結果を受け取りますが、それを Passport に転送する理由がありません。認証の試行は失敗し、Passport にエラーが表示されます。

​
HRD が設定されている場合の認証フロー

以下の図は、Microsoft Entra ID にホームレルム検出ポリシーがある場合の Passport の認証フローを示しています。ユーザーが Passport を使用して認証しようとすると、リクエストは次のようになります。
ホームレルム検出ポリシーがある場合の Passport の認証フロー
1

Passport が認証リクエストを送信する

Passport が Microsoft Entra ID に認証リクエストを送信します。
2

Entra ID が HRD ポリシーで検証する

Entra ID は HRD ポリシーを使用して認証リクエストを検証し、ユーザー認証の成功応答を Passport に返します。

​
HRD ポリシーを作成する

Microsoft Entra ID で Passport を使用し、テナントが外部の IdP とフェデレーションされている場合は、HRD ポリシーが必要です。この要件は Macログイン と Webログイン の両方に適用されます。
1

Windows コンピュータにアクセスする

Windows コンピュータに移動します。
2

管理者として PowerShell を開く

管理者として PowerShell を開きます。
3

Entra ID に接続する

Connect-AzureAD コマンドで Entra ID テナントに接続します。Web ビューが開き、Entra ID の資格情報の入力を求められます。
4

HRD ポリシーを作成する

以下のコマンドで新しいポリシーを作成します。これにより、フェデレーション環境で、ユーザーはユーザー名とパスワードを使用して特定のアプリケーションに Entra ID で直接認証できるようになります。環境に既存の HRD ポリシーがある場合は、DisplayName を IruHRDPolicy などに設定できます。
5

ポリシーの ObjectID を取得する

Get-AzureADPolicy コマンドを実行して作成したポリシーを一覧表示し、出力の ID 列に表示される ObjectID の文字列をコピーします。
6

サービスプリンシパルの ObjectID を取得する

Get-AzureADServicePrincipal コマンドを実行して、サービスプリンシパル（Azure エンタープライズアプリケーション）の ObjectID を取得します。
エンタープライズアプリケーションの名前がわかっている場合は、上記のコマンドに -SearchString your_app_name_here を追加できます。例: Get-AzureADServicePrincipal -SearchString “Iru Passport”
7

HRD ポリシーにアプリケーションを追加する

次のコマンドを実行して、Iru Passport エンタープライズアプリケーションを HRD ポリシーに追加します。<ObjectID of the Service Principal> を先ほどコピーした Iru エンタープライズアプリの ObjectID に置き換えます。<ObjectId of the Policy> を先ほどコピーした HRD の ObjectID に置き換えます。
正しいポリシーを作成しなかった場合は、以下のコマンドを使用してポリシーを削除し、再試行できます。
8

ポリシーの割り当てを確認する

Get-AzureADPolicyAppliedObject -id <ObjectId of the Policy> で、割り当てられたアプリを確認します。
9

Azure から切断する

PowerShell セッションを Azure から切断するには、Disconnect-AzureAD を実行します。