アプリケーションのホーム領域検出

[アーティクル]
11/22/2023

ホーム領域検出 (HRD) は、ユーザーがサインイン時にどの ID プロバイダー (IDP) に対して認証する必要があるかを Microsoft Entra ID で決定できるようにするプロセスです。ユーザーは、Microsoft Entra テナントにサインインしてリソース (または Microsoft Entra の共通サインインページ) にアクセスするとき、ユーザー名 (UPN) を入力します。 Microsoft Entra ID はそれを使用して、ユーザーがどこにサインインする必要があるかを決定します。

ユーザーは、認証を受けるため、以下のいずれかの ID プロバイダーに移動されます。

ユーザーのホームテナント (ユーザーがアクセスしようとしているリソースと同じテナントである可能性があります)。
Microsoft アカウント。ユーザーは、認証にコンシューマーアカウントを使用するリソーステナント内のゲストです。
Active Directory フェデレーションサービス (AD FS) など、オンプレミスの ID プロバイダー。
Microsoft Entra テナントとフェデレーションされた別の ID プロバイダー。

自動高速化

一部の組織では、その Microsoft Entra テナント内のドメインを別の IdP (ユーザー認証用の AD FS など) とフェデレーションするように構成します。

ユーザーがアプリケーションにサインインすると、最初に Microsoft Entra のサインインページが表示されます。 UPN を入力した後、フェデレーションドメイン内にいると、そのドメインにサービスを提供している IdP のサインインページが表示されます。状況によっては、管理者は特定のアプリケーションにサインインしたユーザーに対してサインインページを表示したい場合があります。

その結果、ユーザーは最初の Microsoft Entra ID ページをスキップできます。このプロセスは、「サインイン自動高速化」と呼ばれます。FIDO などのより強力な認証方法を使用できない可能性があり、コラボレーションの妨げとなるため、Microsoft では自動高速化を構成することはもはやお勧めしていません。自動高速化を構成しない利点については、「パスワードなしセキュリティキーのサインインを有効にする」を参照してください。サインインの自動高速化を防止する方法については、「自動高速化サインインを無効にする」を参照してください。

テナントがサインイン用の別の IdP にフェデレーションされている場合、自動高速化によりユーザーサインインがいっそう効率化されます。自動高速化は個々のアプリケーションに対して構成できます。 HRD を使用して自動高速化を強制する方法については、「自動高速化の構成」を参照してください。

注意

自動高速化のためにアプリケーションを構成する場合、ユーザーは管理された資格情報 (FIDO など) を使用できず、ゲストユーザーはサインインできません。ユーザーが認証のためにフェデレーション IdP に直接アクセスした場合、そのユーザーが Microsoft Entra サインインページに戻ることはできません。ゲストユーザーは、他のテナントや Microsoft アカウントなどの外部の IdP に移動されなければならない場合があり、HRD の手順がスキップされるため、そのアプリケーションにサインインすることはできません。

フェデレーション IdP に対する自動高速化を制御する方法は 3 つあります。

アプリケーションの認証要求でドメインヒントを使用する。
HRD ポリシーを構成して自動高速化を強制する。
HRD ポリシーを構成して特定のアプリケーションからの、または特定のドメインのドメインヒントを無視する。

[ドメインの確認] ダイアログ

2023 年 4 月以降、自動高速化またはスマートリンクを使用する組織では、サインイン UI に追加された新しい画面が表示される可能性があります。 [ドメインの確認] ダイアログと呼ばれるこの画面は、セキュリティ強化に対する Microsoft の一般的なコミットメントの一部であり、ユーザーはサインイン先のテナントのドメインを確認する必要があります。 [ドメインの確認] ダイアログが表示されたが、一覧されたテナントドメインを承認できない場合は、認証フローをキャンセルし、IT 管理者にお問い合わせください (該当する場合)。 [ドメインの確認] ダイアログの表示例を次に示します。

Screenshot of the domain confirmation dialog listing the sign-in identifier '<kelly@contoso.com>' with a tenant domain of 'contoso.com'.

ダイアログの上部にある識別子 (kelly@contoso.com) は、サインインに使用する識別子を表します。ダイアログのヘッダーおよびサブヘッダーにリストされているテナントドメインは、アカウントのホームテナントのドメインを表示しています。

自動高速化またはスマートリンクのすべてのインスタンスに対して [ドメインの確認] ダイアログを表示する必要はありませんが、[ドメインの確認] ダイアログが表示されると、自動高速化とスマートリンクをシームレスに続行できなくなります。ブラウザーポリシーなどの理由で組織が Cookie をクリアした場合、[ドメインの確認] ダイアログが頻繁に表示されることがあります。最後に、Microsoft Entra ID で自動高速化サインインフローをエンドツーエンドで管理する場合、[ドメインの確認] ダイアログを導入しても、アプリケーションが破損することはありません。

さらに、テナント制限 v2 (TRv2) ポリシーを構成することで、ドメイン確認ダイアログを抑制できます。 TRv2 ポリシーは、ドメイン確認ダイアログと同じセキュリティ態勢を実現するため、TRv2 ポリシーヘッダーが要求に存在する場合、ドメイン確認ダイアログは抑制されます。

ドメインヒント

ドメインヒントは、アプリケーションからの認証要求に含まれるディレクティブです。ドメインヒントを使用して、ユーザーのフェデレーション IdP サインインページへの移動を高速化できます。マルチテナントアプリケーションでもそれらを使用すれば、ユーザーが自分のテナント用にブランディングされた Microsoft Entra サインインページをすぐに表示することができます。

たとえば、"largeapp.com" というアプリケーションがあり、顧客が "contoso.largeapp.com" というカスタム URL でアプリケーションにアクセスできる場合は、認証要求に contoso.com へのドメインヒントが含まれている可能性があります。

ドメインヒントの構文は、使用されているプロトコルによって異なり、通常は次の方法によってアプリケーションで構成されます。

WS-Federation: whr クエリ文字列パラメーターを使用するアプリケーションの場合。たとえば、whr=contoso.com とします。
SAML を使用するアプリケーションの場合: ドメインヒントを含む SAML 認証要求か、またはクエリ文字列 whr=contoso.com のどちらか。
Open ID Connect: domain_hint クエリ文字列パラメーターを使用するアプリケーションの場合。たとえば、domain_hint=contoso.com とします。

既定では、次の両方に当てはまる場合、Microsoft Entra ID はドメインに対して構成されている IDP へのサインインのリダイレクトを試みます。

アプリケーションからの認証要求にドメインヒントが含まれていて、さらに
そのドメインとテナントがフェデレーションされている。

ドメインヒントが確認済みのフェデレーションドメインを参照していない場合、ドメインヒントは無視されます。

Note

認証要求にドメインヒントが含まれていて、優先する必要がある場合、そのドメインヒントにより、HRD ポリシー内でアプリケーションに対して設定されている自動高速化がオーバーライドされます。

自動高速化のための HRD ポリシー

アプリケーションで、出力される認証要求を構成する手段が提供されていない場合があります。そのような場合は、ドメインヒントを使って自動高速化を制御することはできません。自動高速化をホーム領域検出ポリシーによって構成して、同じ動作を実現できます。

自動高速化を防止する HRD ポリシー

一部の Microsoft アプリケーションや SaaS アプリケーションには、自動的に domain_hints が含められます (たとえば https://outlook.com/contoso.com は、&domain_hint=contoso.com が追加されたログイン要求になります)。これによって、FIDO などの管理された資格情報のロールアウトが中断される可能性があります。管理された資格情報のロールアウト中に、ホーム領域検出ポリシーを使用して、特定のアプリまたは特定のドメインのドメインヒントを無視できます。

レガシアプリケーションに対するフェデレーションユーザーの直接 ROPC 認証を有効にする

アプリケーションで Microsoft Entra ライブラリと対話型サインインを使用してユーザーを認証することがベストプラクティスです。ライブラリは、フェデレーションユーザーのフローを処理します。レガシアプリケーションの中でも特にリソース所有者のパスワード資格情報 (ROPC) 付与を使用するアプリケーションは、ユーザー名とパスワードを Microsoft Entra ID に直接送信するため、フェデレーションを理解するようには書き込まれない場合があります。これらは HRD を実行せず、正しいフェデレーションエンドポイントと連携してユーザーを認証することも行いません。必要であれば、ホーム領域検出ポリシーを使用して、ROPC 許可を使用してユーザー名とパスワード資格情報を送信する特定のレガシアプリケーションが Microsoft Entra ID に対して直接認証するようにできます。パスワードハッシュの同期が有効になっている必要があります。

重要

直接認証を有効にするのは、パスワードハッシュ同期がオンであり、なおかつオンプレミス IdP でポリシーを実装せずにこのアプリケーションを認証しても問題ないことがわかっている場合のみにしてください。何らかの理由でパスワードハッシュ同期をオフにした場合、または AD Connect によるディレクトリ同期をオフにした場合は、このポリシーを削除し、古いパスワードハッシュを使用して直接認証が行われないようにしてください。

HRD ポリシーを設定する

フェデレーションサインイン自動高速化用のアプリケーション、または直接的なクラウドベースアプリケーションに対して HRD ポリシーを設定するには、以下の 3 つのステップを実行します。

HRD ポリシーを作成します。
ポリシーをアタッチするサービスプリンシパルを探します。
サービスプリンシパルにポリシーをアタッチします。

ポリシーは、サービスプリンシパルにアタッチされてはじめて、特定のアプリケーションに対して有効になります。

サービスプリンシパル上でアクティブにできる HRD ポリシーは、一度に 1 つだけです。

Microsoft Graph PowerShell コマンドレットを使用して、HRD ポリシーを作成および管理できます。

JSON オブジェクトは、HRD ポリシーの定義の一例です。

{  
  "HomeRealmDiscoveryPolicy":
  {  
    "AccelerateToFederatedDomain":true,
    "PreferredDomain":"federated.example.edu",
    "AllowCloudPasswordValidation":false
  }
}

ポリシーの種類は、"HomeRealmDiscoveryPolicy" です。

AccelerateToFederatedDomain は、省略可能です。 AccelerateToFederatedDomain が false の場合、ポリシーが自動高速化に影響を与えることはありません。 AccelerateToFederatedDomain が true で、テナント内に検証およびフェデレーションされたドメインが 1 つのみある場合、ユーザーはフェデレーション IdP に直接移動してサインインすることができます。この値が true で、テナント内に検証されたドメインが複数ある場合は、PreferredDomain を指定する必要があります。

PreferredDomain は、省略可能です。 PreferredDomain では、高速化するドメインを指定する必要があります。テナントのフェデレーションドメインが 1 つだけの場合は、これを省略できます。これを省略した場合で、確認済みのフェデレーションドメインが複数ある場合には、ポリシーは無効になります。

PreferredDomain を指定する場合は、テナントの検証済みのフェデレーションドメインと一致している必要があります。アプリケーションのすべてのユーザーがそのドメインにサインインできる必要があります。フェデレーションドメインでサインインできないユーザーは、トラップされてサインインを完了できません。

AllowCloudPasswordValidation は、省略可能です。 AllowCloudPasswordValidation が true の場合、アプリケーションは、Microsoft Entra トークンエンドポイントに対して直接ユーザー名とパスワードの資格情報を提示することにより、フェデレーションユーザーを認証できます。これが機能するのは、パスワードハッシュ同期が有効の場合に限られます。

さらに、上に示されていないテナントレベルの HRD オプションが 2 つ存在します。

AlternateIdLogin は省略可能です。 AlternateLoginID を有効にすると、Microsoft Entra のサインインページで、ユーザーは UPN の代わりに自分のメールアドレスを使用してサインインできるようになります。代替 ID は、フェデレーション IDP に対して自動高速化されていないユーザーに依存します。
DomainHintPolicy は、ドメインヒントがフェデレーションドメインに対してユーザーを自動高速化 "しないようにする" 省略可能な複合オブジェクトです。このテナント全体の設定は、ドメインヒントを送信するアプリケーションが、クラウドで管理されている資格情報を使用してユーザーがサインインすることを妨げないようにするために使用されます。

HRD ポリシーの優先順位と評価

HRD ポリシーを作成し、特定の組織およびサービスプリンシパルに割り当てることができます。これは、特定のアプリケーションに複数のポリシーを適用できることを意味するため、Microsoft Entra ID で、どのポリシーを優先するかを決定する必要があります。一連の規則によって、(適用される多くのポリシーのうち) どの HRD ポリシーが有効になるかが決定されます。

認証要求内にドメインヒントがある場合は、テナントに対する HRD ポリシー (テナントの既定値として設定されているポリシー) がチェックされ、ドメインヒントを無視する必要があるかどうかが確認されます。ドメインヒントが許可されている場合は、ドメインヒントによって指定されてている動作が使用されます。
その他の場合、ポリシーがサービスプリンシパルに明示的に割り当てられていれば、そのポリシーが適用されます。
ドメインヒントが存在せず、サービスプリンシパルに明示的に割り当てられているポリシーがない場合は、サービスプリンシパルの親組織に明示的に割り当てられているポリシーが適用されます。
ドメインヒントが存在せず、サービスプリンシパルまたは組織にポリシーが割り当てられていない場合は、デフォルトの HRD 動作が使用されます。

次のステップ

ホーム領域検出ポリシーを使用してアプリケーションのサインイン動作を構成する
ホーム領域検出ポリシーを使用してユーザーサインイン時のフェデレーション IDP への自動高速化を無効にする
Microsoft Entra ID での認証のしくみの詳細については、「Microsoft Entra ID の認証シナリオ」を参照してください。