ID プロバイダー

2025-05-10

適用対象: SDK v4

ID プロバイダーは、ユーザー ID またはクライアント ID を認証し、使用可能なセキュリティトークンを発行します。ユーザー認証をサービスとして提供します。

Web アプリケーションなどのクライアントアプリケーションは、信頼できる ID プロバイダーに認証を委任します。このようなクライアントアプリケーションはフェデレーションと言われます。つまり、フェデレーション ID を使用します。詳細については、「フェデレーション ID パターン」を参照してください。

信頼できる ID プロバイダーの使用:

シングルサインオン (SSO) 機能を有効にして、アプリケーションが複数のセキュリティで保護されたリソースにアクセスできるようにします。
クラウドコンピューティングリソースとユーザー間の接続を容易にし、ユーザーが再認証する必要が減ります。

単一サインイン

シングルサインオンとは、ユーザーが 1 つの資格情報セットを使用してシステムに 1 回ログオンして、複数のアプリケーションまたはサービスにアクセスできるようにする認証プロセスを指します。

ユーザーは、1 つの ID とパスワードでログインして、関連する複数のソフトウェアシステムのいずれかにアクセスできます。詳細については、「シングルサインオン」を参照してください。

多くの ID プロバイダーは、ユーザートークンを取り消し、関連付けられているアプリケーションとサービスへのアクセスを終了するサインアウト操作をサポートしています。

Von Bedeutung

SSO では、ユーザーが資格情報を入力する必要がある回数を減らすことで、使いやすさが向上します。また、潜在的な攻撃対象領域を減らすことで、セキュリティが向上します。

Microsoft Entra ID ID プロバイダー

Microsoft Entra ID は、ID 管理とアクセス制御機能を提供する Microsoft Azure の ID サービスです。 これにより、OAuth2.0 などの業界標準のプロトコルを使用してユーザーを安全にサインインできます。

次に示すように、異なる設定を持つ 2 つの Active Directory ID プロバイダーの実装から選択できます。

注

これらの設定は、Azure ボット登録アプリケーションで OAuth 接続設定 を構成するときに使用します。詳細については、「ボットに認証を追加する」を参照してください。

Microsoft Entra ID
Azure AD v1

Microsoft ID プラットフォーム (v2.0) (Microsoft Entra ID エンドポイントとも呼ばれます) を使用すると、ボットは Microsoft Graph やその他の API などの Microsoft API を呼び出すトークンを取得できます。 ID プラットフォームは、Azure AD プラットフォーム (v1.0) の進化です。詳細については、「Microsoft ID プラットフォーム (v2.0) の概要」を参照してください。

以下の AD v2 設定を使用して、ボットが Microsoft Graph API 経由で Office 365 データにアクセスできるようにします。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービスプロバイダー	使用する ID プロバイダー。 [Microsoft Entra ID] を選びます。
クライアント ID	Azure ID プロバイダーアプリのアプリケーション (クライアント) ID。
クライアントシークレット	Azure ID プロバイダーアプリのシークレット。
テナント ID	ディレクトリ (テナント) ID または `common`。詳細については、テナント ID に関する注意事項を参照してください。
スコープ	`openid`、`profile`、`Mail.Read`、`Mail.Send`、`User.Read`、`User.ReadBasic.All`など、Microsoft Entra ID ID プロバイダーアプリに付与した API アクセス許可のスペース区切りの一覧。
トークン交換 URL	SSO 対応スキルボットの場合は、OAuth 接続に関連付けられているトークン交換 URL を使用します。それ以外の場合は、空のままにします。 SSO トークン交換 URL の詳細については、「 OAuth 接続設定の作成」を参照してください。

Azure AD v1

次に示す設定を使用して、Microsoft Entra ID 開発者プラットフォーム (v1.0) ( Azure AD v1 エンドポイントとも呼ばれます) を構成します。これにより、Microsoft の職場または学校アカウントを使用してユーザーを安全にサインインさせるアプリを構築できます。詳細については、開発者向け Microsoft Entra ID (v1.0) の概要に関するページを参照してください。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービスプロバイダー	使用する ID プロバイダー。 [Microsoft Entra ID] を選びます。
クライアント ID	Azure ID プロバイダーアプリのアプリケーション (クライアント) ID。
クライアントシークレット	Azure ID プロバイダーアプリのシークレット。
グラントタイプ	`authorization_code`
ログイン URL	`https://login.microsoftonline.com`
テナント ID	ディレクトリ (テナント) ID または `common`。詳細については、テナント ID に関する以下の注意事項を参照してください。
リソースURL	`https://graph.microsoft.com/`
スコープ	これは空のままにします。
トークン交換 URL	これは空のままにします。

注

次のいずれかを選択した場合は、Microsoft Entra ID ID プロバイダーアプリ用に記録したテナント ID を入力します。

この組織のディレクトリ内のアカウントのみ (Microsoft のみ - シングルテナント)
任意の組織ディレクトリ内のアカウント (Microsoft AAD ディレクトリ - マルチテナント)

任意の組織ディレクトリ (任意の Microsoft Entra ID ディレクトリ - マルチテナントと個人の Microsoft アカウント (Skype、Xbox、Outlook.com など) でアカウントを選択した場合は、common入力します。

それ以外の場合、Microsoft Entra ID ID プロバイダーアプリは、テナントを使用して選択した ID を確認し、個人の Microsoft アカウントを除外します。

詳細については、以下を参照してください。

その他の ID プロバイダー

Azure では、複数の ID プロバイダーがサポートされています。次の Azure コンソールコマンドを実行すると、関連する詳細と共に完全な一覧を取得できます。

az login
az bot authsetting list-providers

また、ボット登録アプリの OAuth 接続設定を定義するときに、 Azure portal でこれらのプロバイダーの一覧を表示することもできます。

Azure ID プロバイダー

OAuth 汎用プロバイダー

Azure では汎用 OAuth2 がサポートされています。これにより、独自の ID プロバイダーを使用できます。

次に示すように、異なる設定を持つ 2 つの汎用 ID プロバイダー実装から選択できます。

注

Azure ボット登録アプリケーションで OAuth 接続設定 を構成するときに、ここで説明する設定を使用します。

汎用 OAuth 2
OAuth 2 汎用プロバイダー

このプロバイダーを使用して、Microsoft Entra ID プロバイダー (特に AD v2) と同様の期待を持つ汎用 OAuth2 ID プロバイダーを構成します。この接続の種類では、クエリ文字列と要求本文のペイロードが固定されています。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービスプロバイダー	使用する ID プロバイダー。 [汎用 Oauth 2] を選択します。
クライアント ID	ID プロバイダーから取得したクライアント ID。
クライアントシークレット	ID プロバイダーの登録から取得したクライアントシークレット。
Authorization URL (承認 URL)	`https://login.microsoftonline.com/common/oauth2/v2.0/authorize`
Token URL (トークン URL)	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
URL の更新	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
トークン交換 URL	これは空のままにします。
スコープ	ID プロバイダーアプリに付与した API アクセス許可のコンマ区切りの一覧。

このプロバイダーは、より多くの構成パラメーターを必要とするため、このバージョンを使用して、より柔軟性が必要な場合は、汎用 OAuth 2 サービスプロバイダーを構成します。この構成では、承認、更新、トークン変換用の URL テンプレート、クエリ文字列テンプレート、および本文テンプレートを指定します。

プロパティ	説明や値
名前	この ID プロバイダー接続の名前。
サービスプロバイダー	使用する ID プロバイダー。 Oauth 2 汎用プロバイダーを選択します。
クライアント ID	ID プロバイダーから取得したクライアント ID。
クライアントシークレット	ID プロバイダーの登録から取得したクライアントシークレット。
スコープリストの区切り記号	スコープリストの区切り文字。このフィールドでは空のスペース ( ) はサポートされていませんが、ID プロバイダーで必要な場合は [スコープ ] フィールドで使用できます。その場合は、このフィールドにコンマ (,) を使用し、 Scopes フィールドにスペース ( ) を使用します。
承認 URL テンプレート	ID プロバイダーによって定義された承認用の URL テンプレート。たとえば、`https://login.microsoftonline.com/common/oauth2/v2.0/authorize` のようにします。
承認 URL クエリ文字列テンプレート	ID プロバイダーによって提供される承認用のクエリテンプレート。クエリ文字列テンプレートのキーは、ID プロバイダーによって異なります。たとえば、`?client_id={ClientId}&response_type=code&redirect_uri={RedirectUrl}&scope={Scopes}&state={State}` のようにします。
トークン URL テンプレート	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
トークン URL クエリ文字列テンプレート	トークン URL のクエリ文字列区切り記号。通常は疑問符 (?) です。
トークン本文テンプレート	トークン本文のテンプレート。たとえば、`code={Code}&grant_type=authorization_code&redirect_uri={RedirectUrl}&client_id={ClientId}&client_secret={ClientSecret}` のようにします。
URL テンプレートの更新	`https://login.microsoftonline.com/common/oauth2/v2.0/token`
更新 URL クエリ文字列テンプレート	トークン URL のリフレッシュ用 URL クエリ文字列の区切り記号。通常は疑問符 (?) です。
本文テンプレートの更新	更新本文のテンプレート。たとえば、`refresh_token={RefreshToken}&redirect_uri={RedirectUrl}&grant_type=refresh_token&client_id={ClientId}&client_secret={ClientSecret}` のようにします。
トークン交換 URL	これは空のままにします。
スコープ	認証されたユーザーが一度サインインした後に必要なスコープの一覧。必要なスコープのみを設定していることを確認し、最小限の特権アクセス制御の原則に従ってください。たとえば、`User.Read` のようにします。カスタムスコープを使用している場合は、公開されているアプリケーション ID URI を含む完全な URI を使用します。

次のステップ

ID プロバイダープロキシ