Exchange Online PowerShell と Security & Compliance PowerShell の無人スクリプトのアプリ専用認証

注意

  • この記事で説明する機能と手順には、次のバージョンの Exchange Online PowerShell モジュールが必要です。

    • Exchange Online PowerShell (Connect-ExchangeOnline): バージョン 2.0.3 以降。
    • セキュリティ & コンプライアンス PowerShell (Connect-IPPSSession): バージョン 2.0.6-Preview5 以降。

    モジュールをインストールまたは更新する方法については、「Exchange Online PowerShell モジュールのインストールと保守」を参照してください。 Azure Automation でモジュールを使用する方法については、「Azure Automationでモジュールを管理する」を参照してください。

  • バージョン 2.0.5 以前は、Exchange Online PowerShell V2 モジュール (EXO V2 モジュールと略す) と呼ばれます。 バージョン 3.0.0 以降は、Exchange Online PowerShell V3 モジュール (EXO V3 モジュールと略す) と呼ばれます。

  • Exchange Online PowerShell では、この記事の手順を次の Microsoft 365 グループ コマンドレットで使用することはできません。

    代わりに、Microsoft Graph を使用することができます。 詳細については、「Microsoft Graph でのグループの操作」を参照してください。

  • セキュリティ/コンプライアンス PowerShell では、この記事の手順を次のコマンドレットで使用することはできません。

  • アプリのみの認証は委任をサポートしていません。 委任シナリオでの無人スクリプトは、セキュア アプリ モデルでサポートされています。 詳細については、こちらを参照してください。

Microsoft 365の監査とレポートのシナリオには、多くの場合、Exchange Online PowerShell と セキュリティ/コンプライアンス PowerShell の無人スクリプトが含まれます。 以前は、無人サインインでは、ユーザー名とパスワードをローカル ファイルまたは実行時にアクセスされるシークレット コンテナーに格納する必要がありました。 しかし、ご存知のように、ユーザーの資格情報をローカルに格納することは、セキュリティの面で良い方法ではありません。

この記事で説明されているように、証明書ベースの認証 (CBA) またはアプリのみの認証では、Azure AD アプリと自己署名証明書を使用した自動スクリプトと自動化のシナリオがサポートされます。

次の例は、アプリ専用認証で powerShell モジュールExchange Onlineを使用する方法を示しています。

重要

次の接続コマンドでは、組織 パラメーターの値にドメインを.onmicrosoft.com使用してください。 それ以外の場合は、アプリ コンテキストでコマンドを実行しようとすると、アクセス許可の問題が発生する可能性があります。

次の接続コマンドには、「Exchange Online PowerShell への接続とセキュリティへの接続&コンプライアンス PowerShell」で説明されているのと同じオプションが多数用意されています。 以下に例を示します。

  • EXO V3 モジュールを使用する powerShell Exchange Onlineでは、UseRPSSession スイッチを省略または含め、REST API コマンドレットまたは元のリモート PowerShell コマンドレットを使用できます。 詳細については、バージョン 3.0.0 (EXO V3 モジュール) の更新を参照してください。

  • Microsoft 365 GCC High 環境または Microsoft 365 DoD 環境では、次の追加のパラメーターと値が必要です。

    • GCC High の Connect-ExchangeOnline: -ExchangeEnvironmentName O365USGovGCCHigh.
    • GCC High での Connect-IPPSSession: -ConnectionUri https://ps.compliance.protection.office365.us/powershell-liveid/ -AzureADAuthorizationEndpointUri https://login.microsoftonline.us/common.
    • DoD の Connect-ExchangeOnline: -ExchangeEnvironmentName O365USGovDoD.
    • DoD の Connect-IPPSSession: -ConnectionUri https://l5.ps.compliance.protection.office365.us/powershell-liveid/ -AzureADAuthorizationEndpointUri https://login.microsoftonline.us/common.
  • 証明書の拇印を使用して接続します

    コマンドを実行しているコンピューターに証明書をインストールする必要があります。 証明書は、ユーザー証明書ストアにインストールする必要があります。

    • Exchange Online PowerShell:

      Connect-ExchangeOnline -CertificateThumbPrint "012THISISADEMOTHUMBPRINT" -AppID "36ee4c6c-0812-40a2-b820-b22ebd02bce3" -Organization "contosoelectronics.onmicrosoft.com"
      
    • セキュリティ/コンプライアンス PowerShell:

      Connect-IPPSSession -CertificateThumbPrint "012THISISADEMOTHUMBPRINT" -AppID "36ee4c6c-0812-40a2-b820-b22ebd02bce3" -Organization "contosoelectronics.onmicrosoft.com"
      
  • 証明書オブジェクトを使用して接続します

    コマンドを実行しているコンピューターに証明書をインストールする必要はありません。 証明書オブジェクトはリモートで格納できます。 証明書は、スクリプトの実行時にフェッチされます。

    • Exchange Online PowerShell:

      Connect-ExchangeOnline -Certificate <%X509Certificate2 Object%> -AppID "36ee4c6c-0812-40a2-b820-b22ebd02bce3" -Organization "contosoelectronics.onmicrosoft.com"
      
    • セキュリティ/コンプライアンス PowerShell:

      Connect-IPPSSession -Certificate <%X509Certificate2 Object%> -AppID "36ee4c6c-0812-40a2-b820-b22ebd02bce3" -Organization "contosoelectronics.onmicrosoft.com"
      
  • ローカル証明書を使用して接続 します。

    注意

    ConvertTo-SecureString コマンドを使用して証明書のパスワードをローカルに格納すると、自動化シナリオのセキュリティで保護された接続方法の目的は打ち負かされます。 Get-Credential コマンドを使用して証明書のパスワードを安全に入力するように求めるメッセージは、自動化シナリオには適していません。 つまり、ローカル証明書を使用して接続する 自動化された安全 な方法は実際にありません。

    • Exchange Online PowerShell:

      Connect-ExchangeOnline -CertificateFilePath "C:\Users\navin\Desktop\automation-cert.pfx" -CertificatePassword (Get-Credential).password -AppID "36ee4c6c-0812-40a2-b820-b22ebd02bce3" -Organization "contosoelectronics.onmicrosoft.com"
      
    • セキュリティ/コンプライアンス PowerShell:

      Connect-IPPSSession -CertificateFilePath "C:\Users\navin\Desktop\automation-cert.pfx" -CertificatePassword (Get-Credential).password -AppID "36ee4c6c-0812-40a2-b820-b22ebd02bce3" -Organization "contosoelectronics.onmicrosoft.com"
      

どのような仕組みですか?

Exchange Online PowerShell モジュールでは、Active Directory 認証ライブラリを使用して、アプリケーション ID、テナント ID (組織)、証明書の拇印を使用してアプリ専用トークンをフェッチします。 Azure AD 内にプロビジョニングされたアプリケーション オブジェクトには、アクセス トークンで返されるディレクトリ ロールが割り当てられています。 セッションのロール ベースのアクセス制御 (RBAC) は、トークンで使用可能なディレクトリ ロール情報を使用して構成されます。

アプリ専用の認証をセットアップする

初期のオンボードは、アプリケーション オブジェクトを使用する認証に必要です。 アプリケーションとサービス プリンシパルは同義に使用されますが、アプリケーションはクラス オブジェクトのようなものであり、サービス プリンシパルはクラスのインスタンスのようなものです。 詳細については、「Azure Active Directory のアプリケーション オブジェクトとサービス プリンシパル オブジェクト」 を参照してください。

Azure AD でのアプリケーションの作成に関する詳しい視覚的フローは、https://aka.ms/azuread-app を参照してください。

  1. Azure AD にアプリケーションを登録します

  2. アプリケーションに API アクセス許可を割り当てます

    アプリケーション オブジェクトには、既定のアクセス許可 User.Read があります。 アプリケーション オブジェクトがリソースにアクセスするには、アプリケーションのアクセス許可 Exchange.ManageAsApp が必要です。

  3. 自己署名証明書を生成する

    • For app-only authentication in Azure AD, you typically use a certificate to request access. Anyone who has the certificate and its private key can use the app, and the permissions granted to the app.

    • 自己署名された X.509 の証明書を作成して設定します。この証明書は、アプリ専用アクセス トークンを要求しながら Azure AD に対してアプリケーションを認証するために使用されます。

    • これは、ユーザーアカウントのパスワードを生成するのと似ています。 証明書も自己署名できます。 PowerShell で証明書を生成する手順については、この記事の後半にある 「付録」 セクションを参照してください。

      注意

      暗号化: 次世代 (CNG) 証明書は、Exchange のアプリ専用の認証ではサポートされていません。 CNG 証明書は、既定では、最新の Windows バージョンで作成されます。 CSP キー プロバイダーからの証明書を使用する必要があります。 「付録」 セクションでは、CSP 証明書を作成するためにサポートされている 2 つの方法について説明します。

  4. Azure AD アプリケーションに証明書を添付する

  5. Azure AD のロールをアプリケーションに割り当てる

    アプリケーションには、適切な RBAC ロールが割り当てられている必要があります。 アプリは Azure AD でプロビジョニングされるので、サポートされている組み込みのロールのいずれかを使用できます。

付録

ステップ 1: Azure AD にアプリケーションを登録します。

注意

問題が発生した場合は、必要なアクセス許可を確認して、アカウントが ID を作成できることを確認します。

  1. https://portal.azure.com/で Azure AD ポータルを開きます。

  2. [Azure Active Directory の管理] で、[表示] をクリックします。

    Azure AD ポータルの [Azure Active Directory の管理] の下にある [表示] をクリックします。

  3. 開いた [概要] ページの [管理] で、[アプリの登録] を選択します。

    [アプリの登録] を選択します。

  4. 開いた [アプリの登録] ページで、[新規登録] を選択します。

    [アプリの登録] ページで、[新規登録] を選択します。

    [アプリケーションの登録] ページが開いたら、次の設定を構成します:

    • 名前: 分かりやすい名前を入力します。 たとえば、ExO PowerShell CBA です。

    • サポートされているアカウントの種類: この組織ディレクトリ内のアカウントのみ(<YourOrganizationName>のみ - シングル テナント) が選択されていることを確認します。

    • URI のリダイレクト (オプション): 最初のボックスで、Web が選択されていることを確認します。 2番目のボックスに、アクセス トークンの送信先 URI を入力します。

      ネイティブ アプリケーション の資格情報を作成できないのは、自動化されたアプリケーションにはそのタイプを使用できないためです。

      アプリケーションを登録します。

    完了したら、[登録] をクリックします。

  5. 戻ったアプリ ページを開いたままにします。 次の手順で使用します。

手順 2: アプリケーションに API アクセス許可を割り当てる

注意

このセクションの手順は、新しいアプリ用に自動的に構成された既定のアクセス許可を置き換えます。 アプリには、置き換えられた既定のアクセス許可は必要はありません。

  1. [管理] の下のアプリページで、[マニフェスト] を選択します。

    アプリケーションのプロパティ ページで [マニフェスト] を選択します。

  2. マニフェスト ページが開いたら、requiredResourceAccess エントリを見つけます (47 行目またはその前後にあります)。

    次のコード スニペットに示すように、resourceAppIdresourceAccessid、およびtypeの値を変更します。

    "requiredResourceAccess": [
       {
          "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
          "resourceAccess": [
             {
                "id": "dc50a0fb-09a3-484d-be87-e023b12c6440",
                "type": "Role"
             }
          ]
       }
    ],
    

    完了したら、[保存] をクリックします。

  3. 引き続き マニフェスト ページの [管理] で、[API権限] を選択します。

    アプリケーションのプロパティ ページで [API アクセス許可] を選択します。

    開いた [API アクセス許可] ページで、次の手順を実行します。

    • API / アクセス許可名: 値 Exchange.ManageAsApp が表示されていることを確認します。

      注意

      必要に応じて、API アクセス許可の要求 ページの 組織が使用している API にある、Office 365 Exchange を探します。

    • ステータス: 現在の不正な値は 許可されておらず<Organization>、この値を変更する必要があります。

      オリジナルの誤った API アクセス許可。

      [管理者の同意を付与する]<Organization> を選択し、開いた確認ダイアログを読んで、[はい] をクリックします。

      これで、ステータス 値が 付与されます<Organization>

      管理者の同意が付与されました。

  4. Close the current API permissions page (not the browser tab) to return to the App registrations page. You'll use it in an upcoming step.

手順 3: 自己署名証明書を生成する

次のいずれかの方法で、自己署名 x.509 証明書を作成します:

  • (Recommended) Use the New-SelfSignedCertificate, Export-Certificate and Export-PfxCertificate cmdlets in an elevated (run as administrator) Windows PowerShell session to request a self-signed certificate and export it to .cer and .pfx (SHA1 by default). For example:

    # Create certificate
    $mycert = New-SelfSignedCertificate -DnsName "contoso.org" -CertStoreLocation "cert:\CurrentUser\My" -NotAfter (Get-Date).AddYears(1) -KeySpec KeyExchange
    
    # Export certificate to .pfx file
    $mycert | Export-PfxCertificate -FilePath mycert.pfx -Password (Get-Credential).password
    
    # Export certificate to .cer file
    $mycert | Export-Certificate -FilePath mycert.cer
    
  • Create-SelfSignedCertificate script スクリプトを使用して、SHA1 証明書を生成します。

    .\Create-SelfSignedCertificate.ps1 -CommonName "MyCompanyName" -StartDate 2021-01-06 -EndDate 2022-01-06
    

手順 4: Azure AD アプリケーションに証明書を添付する

アプリケーションに証明書を登録したら、認証のために秘密鍵 (.pfx ファイル) または拇印を使用できます。

  1. 手順 2 の最後の [アプリの登録] ページで、アプリケーションを選択します。

    [アプリの登録] ページに戻る必要がある場合は、次の手順を実行します。

    1. https://portal.azure.com/で Azure AD ポータルを開きます。
    2. [Azure Active Directory の管理] で、[表示] をクリックします。
    3. [管理] の下で [アプリの登録] を選択します。

    アプリを選択するアプリ登録ページ。

  2. 開いたアプリケーション ページの [管理] で、[証明書とシークレット] を選択します。

    アプリケーションのプロパティ ページで [証明書とシークレット] を選択します。

  3. 表示された [証明書とシークレット] ページで、[証明書のアップロード] をクリックします。

    [証明書とシークレット] ページで、[証明書のアップロード] を選択します。

    開いたダイアログで、手順 3 で作成した自己署名証明書 (.cer ファイル) を参照します。

    証明書を参照し、[追加] をクリックします。

    完了したら、[追加] をクリックします。

    これで、証明書が [証明書] セクションに表示されます。

    証明書が追加されたことを示す申請ページ。

  4. Close the current Certificates & secrets page, and then the App registrations page to return to the main https://portal.azure.com/ page. You'll use it in the next step.

手順 5: Azure AD のロールをアプリケーションに割り当てる

Azure AD には、50 以上の管理者ロールがあります。 サポートされているロールについては、次の表で説明します。

役割 Exchange Online PowerShell セキュリティ/コンプライアンス PowerShell
コンプライアンス管理者 チェック マーク。 チェック マーク。
Exchange 管理者* チェック マーク。
グローバル管理者* チェック マーク。 チェック マーク。
グローバル閲覧者 チェック マーク。 チェック マーク。
ヘルプデスク管理者 チェック マーク。
セキュリティ管理者* チェック マーク。 チェック マーク。
セキュリティ閲覧者 チェック マーク。 チェック マーク。
"Exchange Recipient Administrator/Exchange 受信者管理者" チェック マーク。

* The Global Administrator and Exchange Administrator roles provide the required permissions for any task in Exchange Online PowerShell. For example:

  • 受信者の管理。
  • Security and protection features. For example, anti-spam, anti-malware, anti-phishing, and the associated reports.

セキュリティ管理者の役割には、同じタスクに必要なアクセス許可がありません。

Azure AD での役割の割り当てに関する一般的な手順については、「Azure Active Directory で管理者ロールを確認し割り当てる」を参照してください。

注意

次の手順は、Exchange Online PowerShell と セキュリティ/コンプライアンス PowerShell では若干異なります。 両方の環境の手順を示します。 両方の環境の役割を構成するには、このセクションの手順を繰り返します。

  1. https://portal.azure.com/の Azure AD ポータルの [AzureActive Directoryの管理] で、[表示] をクリックします。

    Azure AD ポータルの [Azure Active Directory の管理] で表示します。

  2. 開いた [概要] ページの [管理] で、[役割と管理者] を選択します。

    概要ページから [役割と管理者] を選択します。

  3. 開いた [役割と管理者] ページで、 (チェックボックスではなく) 結果の役割の名前をクリック して、サポートされている役割の 1 つを見つけて選択します。

    • Exchange Online PowerShell:

      役割名をクリックして、サポートされている Exchange Online PowerShell の役割を見つけて選択します。

    • セキュリティ/コンプライアンス PowerShell:

      役割名をクリックして、サポートされているセキュリティ/コンプライアンス PowerShell の役割を見つけて選択します。

  4. 開いた [割り当て] ページで、[割り当ての追加] をクリックします。

    • Exchange Online PowerShell:

      Exchange Online PowerShell の [役割の割り当て] ページで [割り当ての追加] を選択します。

    • セキュリティ/コンプライアンス PowerShell:

      セキュリティ/コンプライアンス PowerShell の [ロールの割り当て] ページで [割り当ての追加] を選択します。

  5. 開いた [割り当ての追加] フライアウトで、手順 1 で作成したアプリを見つけて選択します。

    [割り当ての追加] フライアウトでアプリを見つけて選択します。

    完了したら、[追加] をクリックします。

  6. [割り当て] ページに戻り、アプリが役割に割り当てられていることを確認します。

    • Exchange Online PowerShell:

      Exchange Online PowerShell の役割にアプリを追加した後の、[役割の割り当て] ページ。

    • セキュリティ/コンプライアンス PowerShell:

      セキュリティ/コンプライアンス PowerShell の役割にアプリを追加した後の [役割の割り当て] ページ。