ID プロバイダー

この記事の対象: SDK v4

ID プロバイダーは、ユーザー ID またはクライアント ID を認証し、使用可能なセキュリティ トークンを発行します。 ユーザー認証をサービスとして提供します。

Web アプリケーションなどのクライアント アプリケーションは、信頼できる ID プロバイダーに認証を委任します。 このようなクライアント アプリケーションは、フェデレーションされていると言い、フェデレーション ID を使用します。 詳細については、「フェデレーション ID パターン」を参照してください。

信頼できる ID プロバイダーを使用すると:

• シングル サインオン (SSO) 機能が有効になり、アプリケーションはセキュリティで保護された複数のリソースにアクセスできるようになります。
• クラウド コンピューティング リソースとユーザーの間の接続が容易になり、ユーザーを再認証する必要性が少なくなります。

シングル サインオン

シングル サインオンとは、ユーザーが 1 つの資格情報セットを使用してシステムに 1 回ログオンすることで、複数のアプリケーションまたはサービスにアクセスすることを許可する認証プロセスを指します。

ユーザーは、1 つの ID とパスワードを使用してログインし、複数の関連するソフトウェア システムへのアクセス権を取得します。 詳細については、「シングル サインオン」を参照してください。

多くの ID プロバイダーは、ユーザー トークンを失効させ、関連付けられているアプリケーションやサービスへのアクセスを終了するサインアウト操作をサポートしています。

重要

SSO により、ユーザーが資格情報を入力しなければならない回数を減らすことで、使いやすさが向上します。 また、潜在的な攻撃対象領域を減らすことで、セキュリティが強化されます。

Microsoft Entra ID ID プロバイダー

Microsoft Entra ID とは、ID 管理およびアクセス制御機能を持つ Microsoft Azure の ID サービスです。 OAuth2.0 などの業界標準プロトコルを使用して、ユーザーを安全にサインインさせることができます。

次に示すように、異なる設定を持つ 2 つの Active Directory ID プロバイダーの実装から選択できます。

Note

これらの設定は、Azure ボット登録アプリケーションで OAuth 接続設定を構成するときに使用します。 詳しくは、「ボットに認証を追加する」をご覧ください。

Microsoft Entra ID

Microsoft ID プラットフォーム (v2.0) (Microsoft Entra ID エンドポイントとも呼ばれます) では、ボットは Microsoft Graph やその他の API などの Microsoft API を呼び出すトークンを取得できます。 ID プラットフォームは、Azure AD プラットフォーム (v1.0) の進化したものです。 詳細については、「Microsoft ID プラットフォーム (v2.0) の概要」を参照してください。

以下の AD v2v 設定を使用すると、ボットは、Microsoft Graph API を介して Office 365 データにアクセスでるようになります。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービス プロバイダー	使用するID プロバイダー。 [Microsoft Entra ID] を選びます。
クライアント ID	Azure ID プロバイダー アプリのアプリケーション (クライアント) ID。
クライアント シークレット	Azure ID プロバイダー アプリのシークレット
テナント ID	ディレクトリ (テナント) ID (common)。 詳細については、テナント ID に関する注記をご覧ください。
スコープ	Microsoft Entra ID ID プロバイダー アプリに付与した API アクセス許可のスペース区切りの一覧 (例: openid、profile、Mail.Read、Mail.Send、User.Read、User.ReadBasic.All）。
Token Exchange URL (トークン交換 URL)	SSO 対応スキル ボットの場合は、OAuth 接続に関連付けられているトークン交換 URL を使用します。それ以外の場合は、空のままにします。 SSO トークン交換 URL の詳細については、「OAuth 接続設定の作成」を参照してください。

Azure AD v1

Azure AD v1

次に示す設定を使用して、Microsoft Entra ID 開発者プラットフォーム (v1.0) (Azure AD v1 エンドポイントとも呼ばれます) を構成します。 これにより、Microsoft の職場または学校アカウントを使用して安全なユーザー サインインを行うアプリを構築できます。 詳細については、「開発者向け Microsoft Entra ID (v1.0) 概要」を参照してください。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービス プロバイダー	使用するID プロバイダー。 [Microsoft Entra ID] を選びます。
クライアント ID	Azure ID プロバイダー アプリのアプリケーション (クライアント) ID。
クライアント シークレット	Azure ID プロバイダー アプリのシークレット
付与タイプ	authorization_code
ログイン URL	https://login.microsoftonline.com
テナント ID	ディレクトリ (テナント) ID (common)。 詳細については、以下のテナント ID に関する注記をご覧ください。
リソースの URL	https://graph.microsoft.com/
スコープ	空のままにします。
Token Exchange URL (トークン交換 URL)	空のままにします。

Note

次のいずれかを選択した場合は、Microsoft Entra ID の ID プロバイダー アプリ用に記録したテナント ID を入力します。

• [Accounts in this organizational directory only (Microsoft only - Single tenant)] (この組織ディレクトリのみに含まれるアカウント (Microsoft のみ - 単一テナント))
• [Accounts in any organizational directory (Microsoft AAD directory - Multi tenant)] (任意の組織ディレクトリ内のアカウント (Microsoft AAD ディレクトリ - マルチテナント))

組織ディレクトリ内のアカウント (何らかの Microsoft Entra ID ディレクトリ - Skype、Xbox、Outlook.comなどのマルチ テナントおよび個人用 Microsoft アカウント) を選択した場合は、common を入力します。

それ以外の場合、Microsoft Entra ID の ID プロバイダー アプリはテナントを使用して選択された ID を検証し、個人用 Microsoft アカウントを除外します。

詳細については、以下を参照してください:

• Microsoft ID プラットフォーム (v2.0) に更新する理由
• Microsoft ID プラットフォーム (開発者向け Microsoft Entra ID)

他の ID プロバイダー

Azure では、複数の ID プロバイダーがサポートされています。 次の Azure コンソール コマンドを実行して、関連する詳細情報と共に完全な一覧を取得できます。

az login
az bot authsetting list-providers

また、ボット登録アプリの OAuth 接続設定を定義するときに、Azure portal でこれらのプロバイダーの一覧を表示できます。

OAuth 汎用プロバイダー

Azure では、独自の ID プロバイダーを使用できる汎用 OAuth2 がサポートされています。

以下に示すように、異なる設定を持つ 2 つの汎用 ID プロバイダーの実装から選択できます。

Note

ここで説明する設定は、Azure ボット登録アプリケーションで OAuth 接続設定を構成するときに使用します。

汎用 OAuth 2

このプロバイダーを使用して、Microsoft Entra ID プロバイダー (特に AD v2) と同様の想定を持つ汎用 OAuth2 ID プロバイダーを構成します。 この接続の種類では、クエリ文字列と要求本文のペイロードが固定されています。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービス プロバイダー	使用するID プロバイダー。 [汎用 Oauth 2] を選択します。
クライアント ID	ID プロバイダーから取得したクライアント ID。
クライアント シークレット	ID プロバイダー登録から取得したクライアント シークレット。
Authorization URL (承認 URL)	https://login.microsoftonline.com/common/oauth2/v2.0/authorize
Token URL (トークン URL)	https://login.microsoftonline.com/common/oauth2/v2.0/token
Refresh URL (更新 URL)	https://login.microsoftonline.com/common/oauth2/v2.0/token
Token Exchange URL (トークン交換 URL)	空のままにします。
スコープ	ID プロバイダー アプリに付与した API アクセス許可のコンマ区切りリスト

OAuth 2 汎用プロバイダー

このプロバイダーにはさらに構成パラメーターが必要なので、より高い柔軟性が求められる場合は、このバージョンを使用して汎用 OAuth 2 サービス プロバイダーを構成します。 この構成では、承認、更新、およびトークン変換用の URL テンプレート、クエリー文字列テンプレート、および本文テンプレートを指定します。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービス プロバイダー	使用するID プロバイダー。 OAuth 2 汎用プロバイダーを選択します。
クライアント ID	ID プロバイダーから取得したクライアント ID。
クライアント シークレット	ID プロバイダー登録から取得したクライアント シークレット。
Scope List Delimiter (スコープ リストの区切り記号)	スコープ リストの区切り文字。 このフィールドでは空のスペース ( ) はサポートされていませんが、[スコープ] フィールドでは、ID プロバイダーで必要な場合に使用できます。 その場合は、このフィールドではコンマ (,) を使用し、[スコープ] フィールドにスペース ( ) を使用します。
Authorization URL Template (承認 URL テンプレート)	ID プロバイダーによって定義されている、認証の URL テンプレート。 たとえば、https://login.microsoftonline.com/common/oauth2/v2.0/authorize のようにします。
認証 URL のクエリ文字列テンプレート	ID プロバイダーによって提供された認証用のクエリ テンプレート。 クエリ文字列テンプレートのキーは、ID プロバイダーによって異なります。 たとえば、?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State} のようにします。
Token URL Template (トークン URL テンプレート)	https://login.microsoftonline.com/common/oauth2/v2.0/token
Token URL Query String Template (トークン URL クエリ文字列テンプレート)	トークン URL のクエリ文字列区切り記号。 通常は疑問符 (?) です。
Token Body Template (トークン本文テンプレート)	トークン本文のテンプレート。 たとえば、code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret} のようにします。
Refresh URL Template (更新 URL テンプレート)	https://login.microsoftonline.com/common/oauth2/v2.0/token
Refresh URL Query String Template (更新 URL クエリ文字列テンプレート)	トークン URL の更新 URL クエリ文字列区切り記号。 通常は疑問符 (?) です。
Refresh Body Template (更新の本文テンプレート)	更新本文のテンプレート。 たとえば、refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret} のようにします。
Token Exchange URL (トークン交換 URL)	空のままにします。
スコープ	認証されたユーザーがサインインした後に必要なスコープの一覧。 必要なスコープのみを設定していることを確認し、最小限の特権アクセス制御の原則に従ってください。 たとえば、User.Read のようにします。 カスタム スコープを使用している場合は、公開されているアプリケーション ID URI を含む完全な URI を使用します。

次のステップ

ID プロバイダーのプロキシ