Iru Identity を ID プロバイダーとして使用しているほとんどの組織では、ユーザーはパスキーまたは Iru Access アプリで直接サインインします。Iru Identity をプライマリ ID プロバイダーではなく Iru プラットフォームへの認証レイヤーとして使用する場合、または Iru Identity への移行を容易にする場合に Microsoft Entra ID を接続します。フェデレーション認証を参照してください。
この接続を完了するには、Iru テナントの管理者アクセス権と Microsoft Entra 管理センターへのアクセス権が必要です。
始める前に
1
Microsoft Entra ID にアプリケーションを登録する
Microsoft Entra 管理センターで、Iru 用のアプリケーションを登録します。Iru がこの接続に表示するリダイレクト URI を Web リダイレクト URI として追加し、クライアントシークレットを作成して、標準のサインインアクセス許可 (
openid、profile、email、User.Read) を付与します。テナントで必要な場合は管理者の同意を付与します。Iru に入力するため、アプリケーションのクライアント ID とクライアントシークレット、および Entra ID のドメイン (例: contoso.onmicrosoft.com) を控えておきます。Microsoft のポータルは変更される可能性があるため、手順が異なる場合は Microsoft の最新のドキュメントに従ってください。2
サインインドメインを確認する
ユーザーがサインインに使用するメールドメインを控えておきます。接続をこれらのドメインに制限して、それらのドメインのユーザーのみが使用できるようにすることができます。
3
ユーザーが Iru に存在することを確認する
接続を通じたサインインは、既存の Iru ユーザーに解決されます。最初にユーザーを追加またはインポートしてください。ユーザーのインポートまたは Directory Sync を参照してください。
Microsoft Entra ID を接続する
1
接続を追加する
Access → Authentication で authentication method を追加し、Microsoft Entra ID テンプレートを選択します。テンプレートを使用すると、標準設定が自動的に入力されます。
2
Entra ID の詳細を入力する
Microsoft Entra ID のドメイン、登録したアプリケーションのクライアント ID とクライアントシークレットを入力します。Iru はこれらを使用して Entra ID テナントとの信頼を確立します。
3
接続の用途を選択する
接続のユースケースとして、エンドユーザーのサインイン、デバイス登録、またはその両方を選択します。ほとんどの構成ではエンドユーザーのサインインを有効にします。
4
ドメインを制限する
特定のメールドメインのユーザーのみにこの接続を使用させたい場合は、ドメイン制限を有効にしてそれらのドメインを追加します。
5
ユーザーマッチングを設定する
Iru が Microsoft のサインインを Iru ユーザーと照合する方法 (UPN、ユーザー名、外部 ID、またはカスタム属性) を選択します。すべてのユーザーで一意かつ安定した値を選択してください。
6
接続を保存する
保存してから、許可されたドメインのメールアドレスを持つテストユーザーとしてサインインし、Microsoft への引き渡しがエンドツーエンドで機能することを確認します。
接続後のサインインの仕組み
ユーザーがサインインすると、Iru はサインインを Microsoft Entra ID に引き渡し、Entra ID がユーザーを確認します。Iru はセッションを続行し、アクセスを許可する前にアプリの認証ポリシーを評価します。全体像については、システムアーキテクチャを参照してください。関連情報
フェデレーション認証
ユースケース、ドメイン制限、ユーザーマッチングを 1 か所で説明します。
Google Workspace
専用のテンプレートを使用して、サインイン用に Google Workspace を接続します。
サインインエクスペリエンス
サインイン時にユーザーに表示される内容を設定します。
カスタム OIDC
テンプレートでカバーされていない OpenID Connect プロバイダーを接続します。