外部テナント アプリのサインアップおよびサインイン ユーザー フローを作成する

適用対象: 外部テナント (詳細)

ヒント

ユーザー フローは、Microsoft Entra 管理センター両方の認証方法で同じ方法で作成されます。 この記事の手順では、アプリでブラウザー委任認証 (Microsoft ホスト型サインイン ページ) またはネイティブ認証 (アプリに組み込まれているサインイン UI) のどちらを使用するかが適用されます。 実行時にアプリをユーザー フローと統合する方法は、アプローチによって異なります。 詳細については、「 認証方法の選択」を参照してください。

アプリケーションにユーザー フローを追加することで、顧客向けの簡単なサインアップとサインインのエクスペリエンスを作成できます。 ユーザー フローでは、ユーザーが従う一連のサインアップ手順と、使用できる一連のサインイン方法 (電子メールとパスワード、ワンタイム パスコード、Google、facebook、Apple) のソーシャル アカウント、またはカスタム OIDC フェデレーションを定義します。 また、一連のユーザー組み込み属性から選択するか、独自のカスタム属性を追加することで、サインアップ時に顧客から情報を収集することもできます。

この記事では、サインインとサインアップのユーザー フローを作成する方法について説明します。 ユーザー フローを作成したら、次の手順として 、アプリケーションをユーザー フローに追加します。 顧客に提供する複数のアプリケーションがある場合は、複数のユーザー フローを作成できます。 または、多くのアプリケーションで同じユーザー フローを使用できます。 ただし、アプリケーションに指定できるユーザー フローは 1 つだけです。

前提条件

• Microsoft Entra 外部テナント: 開始する前に、Microsoft Entra 外部テナントを作成します。 無料試用版を設定することも、Microsoft Entra ID で新しい外部テナントを作成することもできます。
• 電子メールワンタイム パスコードが有効 (省略可能): ユーザーがサインインするたびにメール アドレスとワンタイム パスコードを使用する場合は、テナント レベルで電子メール ワンタイム パスコードが有効になっていることを確認します ( Microsoft Entra 管理センターで、 外部 ID>All Identity Providers>Email One-time-passcode に移動します)。
• 定義されたカスタム属性 (省略可能): ユーザー属性は、セルフサービス サインアップ時にユーザーから収集された値です。 Microsoft Entra ID には組み込みの属性セットが付属していますが、 サインアップ時に収集するカスタム属性を定義できます。 カスタム属性を事前に定義して、ユーザー フローを設定するときに使用できるようにします。 または、後で作成して追加することもできます。
• 定義されている ID プロバイダー (省略可能):Google、 Facebook 、または OIDC ID プロバイダー とのフェデレーションを事前に設定し、ユーザー フローを作成するときにサインイン オプションとして選択できます。

ユーザーフローの作成とカスタマイズ

顧客がアプリケーションにサインインまたはサインアップするために使用できるユーザー フローを作成するには、次の手順に従います。 これらの手順では、新しいユーザー フローを追加し、収集する属性を選択し、サインアップ ページの属性の順序を変更する方法について説明します。

新しいユーザー フローを追加する

1. Microsoft Entra 管理センターにサインインします。

2. 複数のテナントにアクセスできる場合は、上部メニューの [設定] アイコン を使用して、[ ディレクトリ + サブスクリプション ] メニューから外部テナントに切り替えます。

3. Entra ID>External Identities>ユーザーフローに移動します。

4. [ 新しいユーザー フロー] を選択します。

   

5. [ 作成 ] ページで、ユーザー フローの 名前 ("SignUpSignIn" など) を入力します。

6. [ ID プロバイダー] の [ 電子メール アカウント ] チェック ボックスをオンにし、次のいずれかのオプションを選択します。

   • パスワード付き電子メール: 新しいユーザーがサインイン名として電子メール アドレスを使用してサインアップおよびサインインし、パスワードを第 1 要素認証方法として使用できるようにします。 また、サインイン ページでセルフサービス パスワード リセット リンクを表示、非表示、またはカスタマイズするためのオプションを構成することもできます (詳細を参照)。 多要素認証を必要とする場合、このオプションを使用すると、電子メールのワンタイム パスコード、SMS テキスト コード、またはその両方を第 2 要素方式として選択できます。

   • 電子メール ワンタイム パスコード: 新しいユーザーがサインイン名としてメール アドレスを使用してサインアップおよびサインインし、最初の要素認証方法として電子メール ワンタイム パスコードを使用できるようにします。 多要素認証を必要とする場合、第 2 要素方式として SMS テキスト コードを有効にすることができます。

   注

   Microsoft Entra ID サインアップ オプションは使用できません。これは、お客様が別の Microsoft Entra 組織からのメールを使用してローカル アカウントにサインアップできますが、Microsoft Entra フェデレーションは認証に使用されないためです。 Google と Facebook は、フェデレーションを設定した後でのみ利用できるようになります。 認証方法と ID プロバイダーの詳細について説明します。

   

7. [ ユーザー属性] で、サインアップ時にユーザーから収集する属性を選択します。

   

8. [ 詳細を表示 ] を選択すると、 役職、 表示名、 郵便番号などの属性の完全な一覧から選択できます。

   この一覧には、 定義したカスタム属性も含まれます。 サインアップ時にユーザーから収集する属性については、それぞれの横にあるチェック ボックスをオンにします。

   

9. [ OK] を選択します。

10. [ 作成] を選択してユーザー フローを作成します。

「サインインしたままにする」を管理する ダイアログを表示する

既定では、ユーザー フローを使用するアプリに顧客がサインインすると、ブラウザー セッション間 でサインイン したままにするかどうかを確認するプロンプトが表示されます。 ユーザーが [はい] を選択した場合、永続的な認証 Cookie が発行され、ブラウザー セッション間でサインインしたままになります。 [ いいえ] を選択すると、非永続的な Cookie が発行されます。

このプロンプトは、すべてのユーザー フローの既定の動作です。 ユーザー フローにカスタム ブランドを適用したり、多要素認証を要求したりしても、プロンプトが表示されるかどうかは変わりません。 条件付きアクセス ポリシーでオーバーライドしない限り、すべてのケースで表示されます。

プロンプトはユーザー フロー設定ではありません。 変更または抑制するには、顧客とアプリを対象とする条件付きアクセス ポリシーで 永続的なブラウザー セッション セッション制御を構成します。

• 常に永続的: ブラウザー セッションは常に永続化されます。 [ サインインしたままにする] プロンプトは表示されません。
• 永続的でない: ブラウザーが閉じられると、ブラウザー セッションが終了します。 [ サインインしたままにする] プロンプトは表示されません。

セッション制御とその適用方法の詳細については、「 条件付きアクセス: セッション - 永続的なブラウザー セッション 」および 「認証セッション管理の構成」を参照してください。

次のステップ

• アプリケーションをユーザー フローに追加する
• カスタム ユーザー属性を作成し、サインアップ ページで属性の順序をカスタマイズします。