代替ログイン ID の構成

代替ログイン ID とは

ほとんどのシナリオでは、ユーザーは UPN (ユーザー プリンシパル名) を使用して自分のアカウントにログインします。 ただし、企業ポリシーやオンプレミスの基幹業務アプリケーションの依存関係により、一部の環境では、ユーザーが他の形式のサインインを使用している可能性があります。

たとえば、サインインに電子メール ID を使用でき、UPN とは異なる場合があります。 これは、UPN がルーティング不可能なシナリオで特に一般的です。 UPN jdoe@contoso.local とメールアドレス jdoe@contoso.com を持つユーザー、Jane Doe について考えてみましょう。 Jane は、サインインに電子メール ID を常に使用してきたため、UPN を認識していない可能性があります。 UPN の代わりに他のサインイン方法を使用すると、代替 ID が構成されます。 UPN の作成方法の詳細については、「Microsoft Entra UserPrincipalName の作成」を参照してください。

Active Directory フェデレーション サービス (AD FS) を使用すると、AD FS を使用するフェデレーション アプリケーションで代替 ID を使用してサインインできます。 これにより、管理者はサインインに使用する既定の UPN の代替手段を指定できます。 AD FS では、Active Directory Domain Services (AD DS) で受け入れられる任意の形式のユーザー識別子の使用が既にサポートされています。 代替 ID 用に構成されている場合、AD FS では、電子メール ID などの構成済みの代替 ID 値を使用してユーザーがサインインできるようになります。 代替 ID を使用すると、オンプレミスの UPN を変更することなく、Office 365 などの SaaS プロバイダーを採用できます。 また、コンシューマー プロビジョニング ID を使用して基幹業務サービス アプリケーションをサポートすることもできます。

Microsoft Entra ID の代替 ID

組織は、次のシナリオで代替 ID を使用する必要がある場合があります。

1. オンプレミスのドメイン名は、 contoso.localなどルーティング不可能であるため、既定のユーザー プリンシパル名はルーティング不可能 (jdoe@contoso.local)。 ローカル アプリケーションの依存関係または会社のポリシーにより、既存の UPN を変更することはできません。 Microsoft Entra ID と Office 365 では、Microsoft Entra ディレクトリに関連付けられているすべてのドメイン サフィックスが完全にインターネット ルーティング可能である必要があります。
2. オンプレミスの UPN はユーザーのメール アドレスと同じではなく、Office 365 にサインインする場合、ユーザーはメール アドレスを使用し、組織の制約により UPN を使用できません。 上記のシナリオでは、AD FS の代替 ID を使用すると、ユーザーはオンプレミスの UPN を変更せずに Microsoft Entra ID にサインインできます。

代替ログオン ID を構成する

Microsoft Entra Connect の使用 Microsoft Entra Connect を使用して、環境の代替ログオン ID を構成することをお勧めします。

• Microsoft Entra Connect の新しい構成については、代替 ID と AD FS ファームを構成する方法の詳細については、Microsoft Entra ID への接続に関するページを参照してください。
• 既存の Microsoft Entra Connect のインストールについては、サインイン方法を AD FS に変更する手順については、「ユーザー サインイン方法の変更」を参照してください。

Microsoft Entra Connect が AD FS 環境に関する詳細を受け取ると、AD FS に適切な KB の存在を自動的に確認し、Microsoft Entra のフェデレーション信頼に必要なすべての要求規則を含めた代替 ID 用に AD FS が構成されます。 代替 ID を構成するためにウィザードの外部で追加の手順は必要ありません。

代替 ID を手動で構成する

代替ログイン ID を構成するには、次のタスクを実行する必要があります。

代替ログイン ID を有効にするように AD FS 要求プロバイダー信頼を構成する

1. Windows Server 2012 R2 をお持ちの場合は、すべての AD FS サーバーにKB2919355がインストールされていることを確認します。 Windows Update Services 経由で入手することも、直接ダウンロードすることもできます。

2. ファーム内のいずれかのフェデレーション サーバーで次の PowerShell コマンドレットを実行して、AD FS 構成を更新します (WID ファームがある場合は、ファーム内のプライマリ AD FS サーバーでこのコマンドを実行する必要があります)。

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID <attribute> -LookupForests <forest ___domain>

AlternateLoginID is the LDAP name of the attribute that you want to use for login.

LookupForests is the list of forest DNS that your users belong to.

代替ログイン ID 機能を有効にするには、null 以外の有効な値を使用して -AlternateLoginID パラメーターと -LookupForests パラメーターの両方を構成する必要があります。

次の例では、contoso.com フォレストと fabrikam.com フォレスト内のアカウントを持つユーザーが、"mail" 属性を使用して AD FS 対応アプリケーションにログインできるように、代替ログイン ID 機能を有効にします。

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID mail -LookupForests contoso.com,fabrikam.com

3. この機能を無効にするには、両方のパラメーターの値を null に設定します。

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID $NULL -LookupForests $NULL

代替 ID を使用したハイブリッド先進認証

Exchange と Skype for Business

Exchange と Skype for Business で代替ログイン ID を使用している場合、ユーザー エクスペリエンスは HMA を使用しているかどうかによって異なります。

詳細については、「ハイブリッド先進認証の概要」を参照してください。

Exchange と Skype for Business の前提条件

代替 ID で SSO を実現するための前提条件を次に示します。

• Exchange Online で先進認証が有効になっている必要があります。
• Skype for Business (SFB) Online で先進認証が有効になっている必要があります。
• Exchange オンプレミスでは、先進認証が有効になっている必要があります。 Exchange 2013 CU19 または Exchange 2016 CU18 以降は、すべての Exchange サーバーで必要です。 環境内に Exchange 2010 はありません。
• オンプレミスの Skype for Business では、先進認証が有効になっている必要があります。
• 先進認証が有効になっている Exchange クライアントと Skype クライアントを使用する必要があります。 すべてのサーバーが SFB Server 2015 CU5 を実行している必要があります。
• 先進認証が可能な Skype for Business クライアント
  • iOS、Android、Windows Phone
  • SFB 2016 (MA は既定では ON ですが、無効になっていないことを確認してください)。
  • SFB 2013 (MA は既定では OFF なので、MA がオンになっていることを確認してください)。
  • SFB Mac デスクトップ
• 先進認証が可能で、AltID レジストリ キーをサポートする Exchange クライアント
  • Office Pro Plus 2016 のみ

サポートされている Office のバージョン

代替 ID を使用した SSO 用のディレクトリの構成

代替 ID を使用すると、これらの追加の構成が完了していない場合、認証の追加プロンプトが表示される可能性があります。 代替 ID を使用したユーザー エクスペリエンスに与える可能性のある影響については、記事を参照してください。

次の追加構成により、ユーザー エクスペリエンスが大幅に向上し、組織内の代替 ID ユーザーの認証を求めるプロンプトをほぼゼロにできます。

手順 1: 必要な Office バージョンに更新する

Office バージョン 1712 (ビルド番号 8827.2148) 以降では、代替 ID シナリオを処理するための認証ロジックが更新されました。 新しいロジックを利用するには、クライアント コンピューターを Office バージョン 1712 (ビルド番号 8827.2148) 以降に更新する必要があります。

手順 2: 必要な Windows バージョンに更新する

Windows バージョン 1709 以降では、代替 ID シナリオを処理するための認証ロジックが更新されました。 新しいロジックを利用するには、クライアント マシンを Windows バージョン 1709 以降に更新する必要があります。

手順 3: グループ ポリシーを使用して影響を受けたユーザーのレジストリを構成する

Office アプリケーションは、ディレクトリ管理者によってプッシュされた情報に依存して、代替 ID 環境を識別します。 Office アプリケーションが追加のプロンプトを表示せずに代替 ID でユーザーを認証できるように、次のレジストリ キーを構成する必要があります。

追加構成後の新しい認証フロー

1. a: 代替 ID
   b を使用して Microsoft Entra ID でユーザーがプロビジョニングされる: ディレクトリ管理者が影響を受けるクライアント マシンに必要な regkey 設定をプッシュする
2. ユーザーがローカル コンピューターで認証を行い、Office アプリケーションを開く
3. Office アプリケーションがローカル セッション資格情報を取得する
4. Office アプリケーションは、管理者とローカルの資格情報によってプッシュされたドメイン ヒントを使用して Microsoft Entra ID に対して認証を行います
5. Microsoft Entra ID は、正しいフェデレーション領域に指示してトークンを発行することで、ユーザーを正常に認証します

追加の構成後のアプリケーションとユーザー エクスペリエンス

Exchange 以外および Skype for Business クライアント

Exchange と Skype for Business クライアント

その他の詳細と考慮事項

• Microsoft Entra ID には、"代替ログイン ID" に関連するさまざまな機能が用意されています

  • The AD FS Alternate Login ID configuration feature for Federated¹ identity infrastructure environments described in this article.
  • The Microsoft Entra Connect Sync configuration that defines which on-premises attribute is used as Microsoft Entra username (userPrincipalName) for Federated¹ OR Managed² identity infrastructure environments, which is partially covered in this article.
  • マネージド2 ID インフラストラクチャ環境の^{代替ログイン ID 機能として電子メールを使用して Microsoft Entra ID にサインイン}します。

• The Alternate login ID feature described in this article is available for Federated¹ identity infrastructure environments. 次のシナリオではサポートされていません。

  • Microsoft Entra ID では検証できないルーティング不可能なドメイン (Contoso.local など) を持つ AlternateLoginID 属性。
  • AD FS がデプロイされていないマネージド環境。 Please either refer to the Microsoft Entra Connect Sync documentation or to the Sign-in to Microsoft Entra ID with email as an alternate login ID documentation. If you decide to adjust the Microsoft Entra Connect Sync configuration in a Managed² identity infrastructure environment, the Applications and user experience after the additional configuration section of this article may still be applicable while the specific AD FS configuration is no longer applicable since no AD FS is deployed in a Managed² identity infrastructure environment.

• 有効にすると、代替ログイン ID 機能は、AD FS (SAML-P、WS-Fed、WS-Trust、OAuth) でサポートされているすべてのユーザー名/パスワード認証プロトコルのユーザー名/パスワード認証でのみ使用できます。

• Windows 統合認証 (WIA) が実行されると (たとえば、ユーザーがイントラネットからドメインに参加しているコンピューター上の企業アプリケーションにアクセスしようとしたときに、AD FS 管理者がイントラネットに WIA を使用するように認証ポリシーを構成している場合)、UPN が認証に使用されます。 代替ログイン ID 機能用に証明書利用者の要求規則を構成している場合は、WIA の場合でもそれらの規則が有効であることを確認する必要があります。

• 代替ログイン ID 機能を有効にすると、AD FS がサポートするユーザー アカウント フォレストごとに、AD FS サーバーから少なくとも 1 つのグローバル カタログ サーバーに到達できる必要があります。 ユーザー アカウント フォレスト内のグローバル カタログ サーバーへの接続に失敗すると、AD FS は代替として UPN を使用します。 既定では、すべてのドメイン コントローラーはグローバル カタログ サーバーです。

• 有効にすると、構成されているすべてのユーザー アカウント フォレストで同じ代替ログイン ID 値が指定された複数のユーザー オブジェクトが AD FS サーバーによって検出されると、ログインは失敗します。

• 代替ログイン ID 機能が有効になっている場合、AD FS は最初に代替ログイン ID を使用してエンド ユーザーの認証を試み、代替ログイン ID で識別できるアカウントが見つからない場合は UPN の使用にフォールバックします。 UPN ログインを引き続きサポートする場合は、代替ログイン ID と UPN の間に競合がないことを確認する必要があります。 たとえば、一方のメール属性を他方の UPN に設定すると、他のユーザーが UPN でサインインできなくなります。

• 管理者によって構成されているフォレストのいずれかがダウンしている場合、AD FS は、構成されている他のフォレストで代替ログイン ID を持つユーザー アカウントを引き続き検索します。 AD FS サーバーが検索したフォレスト全体で一意のユーザー オブジェクトを見つけた場合、ユーザーは正常にログインします。

• さらに、AD FS サインイン ページをカスタマイズして、代替ログイン ID に関するヒントをエンド ユーザーに提供することもできます。 これを行うには、カスタマイズしたサインイン ページの説明を追加します (詳細については、「 AD FS サインイン ページのカスタマイズ 」を参照するか、ユーザー名フィールドの上にある「組織のアカウントでサインイン」文字列をカスタマイズします (詳細については、「 AD FS サインイン ページの高度なカスタマイズ」を参照してください)。

• The new claim type that contains the alternate login ID value is http:schemas.microsoft.com/ws/2013/11/alternateloginid

¹ A Federated identity infrastructure environment represents an environment with an identity provider such as AD FS or other third-party IDP.

² A Managed identity infrastructure environment represents an environment with Microsoft Entra ID as the identity provider deployed with either password hash sync (PHS) or pass-through authentication (PTA).

イベントおよびパフォーマンス カウンター

代替ログイン ID が有効になっている場合の AD FS サーバーのパフォーマンスを測定するために、次のパフォーマンス カウンターが追加されました。

• 代替ログイン ID 認証: 代替ログイン ID を使用して実行された認証の数

• 代替ログイン ID 認証数/秒: 1 秒あたりの代替ログイン ID を使用して実行された認証の数

• 代替ログイン ID の平均検索待機時間: 管理者が代替ログイン ID 用に構成したフォレスト全体の平均検索待機時間

さまざまなエラー ケースと、AD FS によってログに記録されたイベントを使用したユーザーのサインイン エクスペリエンスへの対応する影響を次に示します。

See Also

AD FS の運用