Microsoft Graph を使用して Azure AD B2C を管理する

[アーティクル]
2025-04-30

重要

2025 年 5 月 1 日より、Azure AD B2C は新規のお客様向けに購入できなくなります。詳細については、FAQ を参照してください。

Microsoft Graph を使用すると、Azure AD B2C ディレクトリ内のリソースを管理できます。次の Microsoft Graph API 操作は、ユーザー、ID プロバイダー、ユーザーフロー、カスタムポリシー、ポリシーキーなど、Azure AD B2C リソースの管理でサポートされています。次のセクションの各リンクは、その操作の Microsoft Graph API リファレンス内の対応するページを対象としています。

注

また、Azure サブスクリプションにリンクされている対応する Azure リソースと共に、Azure AD B2C ディレクトリ自体をプログラムで作成することもできます。この機能は Microsoft Graph API ではなく、Azure REST API を通じて公開されます。詳細については、「 B2C テナント - 作成」を参照してください。

[前提条件]

MS Graph API を使用し、Azure AD B2C テナント内のリソースと対話するには、そのアクセス許可を付与するアプリケーション登録が必要です。 Microsoft Graph アプリケーションの登録に関する記事の手順に従って、管理アプリケーションで使用できるアプリケーション登録を作成します。

ユーザー管理

注

Azure AD B2C では現在、ディレクトリオブジェクトに対する高度なクエリ機能はサポートされていません。これは、クエリパラメーター $count および $search と、not クエリパラメーターの演算子 Not (ne)、Not equals (endsWith)、Ends with ($filter) がサポートされていないことを意味します。詳細については、Microsoft Graph のクエリパラメーターと Microsoft Graph の高度なクエリ機能を参照してください。

ユーザーの移行

このビデオでは、Microsoft Graph API を使用して Azure AD B2C へのユーザー移行を管理する方法について説明します。

ユーザー電話番号の管理

SMS または音声通話、または多要素認証を使用してサインインするためにユーザーが使用できる電話番号。詳細については、「 Microsoft Entra 認証方法 API」を参照してください。

リスト操作では、有効な電話番号のみが返されることに注意してください。リスト操作で使用するには、次の電話番号を有効にする必要があります。

注

正しく表された電話番号は、国番号と電話番号の間にスペースを入れた状態で保存されます。現在、Azure AD B2C サービスでは、この領域は既定では追加されていません。

Azure portal のサンプルユーザーの [認証方法] ページのスクリーンショット。電話番号のテキストボックスが強調表示されています。

セルフサービスパスワードリセットの電子メールアドレス

ユーザー名サインインアカウントがパスワードをリセットするために使用できる電子メールアドレス。詳細については、「 Microsoft Entra 認証方法 API」を参照してください。

ソフトウェア OATH トークン認証方法

ソフトウェア OATH トークンは、認証アプリを介した多要素認証に OATH 時間ベースのワンタイムパスワード (TOTP) 標準を使用するソフトウェアベースの番号ジェネレーターです。 Microsoft Graph API を使用して、ユーザーに登録されたソフトウェア OATH トークンを管理します。

ID プロバイダー

Azure AD B2C テナントのユーザーフローで使用できる ID プロバイダーを管理します。

ユーザーフロー (ベータ)

サインアップ、サインイン、サインアップとサインインの組み合わせ、パスワードのリセット、プロファイルの更新のための事前構築済みポリシーを構成します。

ユーザーフロー認証方法 (ベータ)

ユーザーがローカルアカウントを使用して登録できるようにするメカニズムを選択します。ローカルアカウントは、Azure AD B2C が ID アサーションを完了するアカウントです。詳細については、「 b2cAuthenticationMethodsPolicy リソースの種類」を参照してください。

カスタムポリシー (ベータ)

次の操作を使用すると、カスタムポリシーと呼ばれる Azure AD B2C Trust Framework ポリシーを管理できます。

ポリシーキー (ベータ)

Identity Experience Framework は、カスタムポリシーで参照されるシークレットを格納して、コンポーネント間の信頼を確立します。これらのシークレットには、対称キーまたは非対称キー/値を指定できます。 Azure portal では、これらのエンティティは ポリシーキーとして表示されます。

Microsoft Graph API のポリシーキーの最上位リソースは、信頼できるフレームワークキーセットです。各 キーセット には、少なくとも 1 つのキーが含まれています。キーを作成するには、まず空のキーセットを作成してから、キーセットにキーを生成します。手動シークレットの作成、証明書のアップロード、または PKCS12 キーを使用できます。キーには、生成されたシークレット、文字列 (Facebook アプリケーションシークレットなど)、またはアップロードする証明書を指定できます。キーセットに複数のキーがある場合、アクティブなキーは 1 つだけです。

Trust Framework ポリシーキーセット

Trust Framework ポリシーキー

アプリケーション

アプリケーション拡張機能 (ディレクトリ拡張機能) のプロパティ

アプリケーション拡張機能のプロパティは、ディレクトリまたは Microsoft Entra 拡張機能とも呼ばれます。 Azure AD B2C でそれらを管理するには、 identityUserFlowAttribute リソースの種類とそれに関連付けられているメソッドを使用します。

ユーザーごとに最大 100 個のディレクトリ拡張値を格納できます。ユーザーのディレクトリ拡張機能プロパティを管理するには、Microsoft Graph で次のユーザー API を使用します。

ユーザーの更新: ディレクトリ拡張プロパティの値をユーザーオブジェクトに書き込むか、ユーザーオブジェクトから削除します。
ユーザーを取得する: ユーザーのディレクトリ拡張機能の値を取得します。このプロパティは既定でbeta エンドポイントを通じて返されますが、$select エンドポイント経由のv1.0でのみ返されます。

ユーザーフローの場合、これらの拡張機能プロパティは Azure portal を使用して管理されます。カスタムポリシーの場合、Azure AD B2C は、ポリシーが初めて拡張プロパティに値を書き込む際に、プロパティを自動的に作成します。

注

Microsoft Entra ID では、ディレクトリ拡張機能は extensionProperty リソースの種類とそれに関連付けられているメソッドを使用して管理されます。ただし、更新すべきではない b2c-extensions-app アプリを介して B2C で使用されるため、 identityUserFlowAttribute リソースの種類とそれに関連付けられているメソッドを使用して Azure AD B2C で管理されます。

テナントの使用状況

組織の詳細の取得 API を使用して、ディレクトリサイズのクォータを取得します。次の HTTP 要求に示すように、 $select クエリパラメーターを追加する必要があります。

GET https://graph.microsoft.com/v1.0/organization/organization-id?$select=directorySizeQuota

organization-idを組織またはテナント ID に置き換えます。

上記の要求への応答は、次の JSON スニペットのようになります。

{
    "directorySizeQuota": {
        "used": 156,
        "total": 1250000
    }
}

監査ログ

監査ログを一覧表示する

Azure AD B2C 監査ログへのアクセスの詳細については、「 Azure AD B2C 監査ログへのアクセス」を参照してください。

条件付きアクセス

削除されたユーザーとアプリケーションを取得または復元する

削除されたユーザーとアプリは、過去 30 日以内に削除された場合にのみ復元できます。

Microsoft Graph をプログラムで管理する方法

Microsoft Graph は、次の 2 つの方法で管理できます。

委任されたアクセス許可 は、ユーザーまたは管理者が、アプリが要求するアクセス許可に同意します。目的のリソースに対する呼び出しを行うときにサインインしたユーザーとして振る舞う権限を、アプリに委任します。
アプリケーションのアクセス許可 は、サインインしているユーザーが存在する必要がないアプリによって使用されます。このため、管理者のみがアプリケーションのアクセス許可に同意できます。

注

ユーザーフローまたはカスタムポリシーを使用してサインインするユーザーの委任されたアクセス許可は、Microsoft Graph API の委任されたアクセス許可に対しては使用できません。

Microsoft Graph API を調べる
Microsoft Graph API を試して、それらについて学習できる Graph エクスプローラーについて説明します。

次の方法で共有

Microsoft Graph を使用して Azure AD B2C を管理する

[前提条件]

ユーザー管理

ユーザーの移行

ユーザー電話番号の管理

セルフサービス パスワード リセットの電子メール アドレス

ソフトウェア OATH トークン認証方法

ID プロバイダー

ユーザー フロー (ベータ)

ユーザー フロー認証方法 (ベータ)

カスタム ポリシー (ベータ)

ポリシー キー (ベータ)

Trust Framework ポリシー キーセット

Trust Framework ポリシー キー