Active Directory (AD) SSO

オンプレミスのデータゲートウェイは、Active Directory が構成されているオンプレミスのデータソースに接続するための Active Directory (AD) SSO をサポートしています。 AD SSO には、Kerberos の制約付き委任と Security Assertion Markup Language (SAML) の両方が含まれています。 SSO と AD SSO でサポートされているデータソースの一覧の詳細については、「Power BI のオンプレミスのデータゲートウェイ用シングルサインオン (SSO) の概要」を参照してください。

Active Directory SSO を実行する場合のクエリ手順

SSO を使ったクエリ実行は、次の図に示す 3 つのステップで構成されます。

Screenshot of Active Directory single sign on query steps.

各手順の詳細を次に示します。

構成済みゲートウェイにクエリ要求が送信されるときに、クエリごとに Power BI サービスには "ユーザープリンシパル名 (UPN)"、つまり現在 Power BI サービスにサインインしているユーザーの完全修飾ユーザー名が含まれます。
ゲートウェイは、Microsoft Entra の UPN を Active Directory のローカル ID にマップする必要があります。

a. Microsoft Entra DirSync (Microsoft Entra Connect とも呼ばれます) が構成されている場合、ゲートウェイでのマッピングは自動的に行われます。

b. そうでない場合、ゲートウェイは、ローカル環境の Active Directory ドメインの検索を実行し、Microsoft Entra の UPN を参照してローカル AD ユーザーにマップできます。
ゲートウェイサービスのプロセスは、マップされたローカルユーザーを偽装して、基になるデータベースへの接続を開いた後、クエリを送信します。データベースと同じマシンにゲートウェイをインストールする必要はありません。

ゲートウェイ経由での SSO 実現に関する基礎を理解したところで、Kerberos と SAML に関する詳細をお読みください。