Azure Active Directory

はじめに この記事は、Azure Advent Calendar 2021 の 15日目の記事になります。 qiita.com 本題 Azure のサービスで API を公開したい場合、API Management (以降 APIM) を使用すると、API の管理、保護などがサービスとして提供される為、 開発者は、API の開発に集中することが出来ます。 そんな中、昨今のセキュリティ意識の高まりから、よりセキュアな API の提供が求められていますが、高度なセキュリティを実装するとなると、かなりの労力や、実装ミスによるトラブル等 厄介な問題が付きまといます。 ということで今回は、Azure A…

Azure SentinelにAzure ADのデータを取り込むため、「データコネクタ」の設定をします。 はじめに 取り込めるデータ 参考資料 作業実施 事前準備 Azure ADに接続する 動作確認 はじめに Azure SentinelにAzure ADのデータを取り込むため、「データコネクタ」の設定をします。 取り込めるデータ 計7種類のログが取りこめます。 サインインログ（対話型ユーザー サインイン ログ） 対話型ではないユーザー サインイン ログ サービス プリンシパルのサインイン ログ マネージド ID サインイン ログ AD FS サインイン ログ 監査ログ プロビジョニングログ…

概要 React SPA内でAzure Active Directoryに対して認証し、Web API を呼び出すためのアクセストークン取得方法を調査する。 下記記事をもとに検証を行った。 クイックスタート: 認可コードを使用して JavaScript React シングルページ アプリ (SPA) でユーザーをサインインさせて Microsoft Graph を呼び出す - Microsoft identity platform | Microsoft Docs 環境 OS: windows 10 参考記事 1. Azure Active Directory 作成したReactSPAを、Az…

はじめに Azureコンテナソリューショングループ）土居です。 我々の部署ではAzureにフォーカスをあてクラウドネイティブ関連の技術を追求しお客様をサポートしていきます。 その一環としてAzureに関して日々ブログで技術紹介していきますので宜しくお願いします。 今回はAKSで利用するkubectlの権限周りについて紹介していきます。 kubectlと~/.kube/configについて Kubernetesで何らかの操作を行う場合は一般的に「kubectl」を利用しますが、kubectlで操作対象とするKubernetesクラスターや操作するUserなどを指定する必要があります。 kubec…

皆さんこんにちは。業務ハックLabのよ～よんです。 今日はGoogle WorkspaceでSSOを使用する方法についてご案内したいと思います。 SSOとはシングル・サインオンとは1組のIDとパスワードによる認証を行うだけで複数のWebサービス、クラウドサービス、アプリなどにログインができる仕組みのこと。 昨今、色々なサービスがクラウド化されていく中でそれぞれにIDとパスワードの設定が必要となり、ユーザーは非常に多くのID、パスワードを管理しなければならない状況になっています。これはパスワードの使い回しや単純なパスワードを設定するなどの温床となり、結果的にセキュリティレベルを下げてしまうことも…

こんにちは、クラウド推進部 の島田です。 新体系となった Azure MCP 試験（AZ-300、AZ-301）に合格し、先日 Azure Solutions Architect Expert となりました！（新体系の Azure MCP 試験について ⇒「Azure関連のMCP試験と認定資格 ～2019年版～」） 試験では、可用性、性能、コストなどの要件に応じて Azure のサービスを適切にデザインできるかどうかを問う問題が多く、 日頃の業務にぴったりの内容でした。 今回は、その試験にも登場する Azure Active Directory Privileged Identity Mana…

こんにちは、上坂(@takashiuesaka)です。 先日、Azureでサービスプリンシパルが作れないんだけど！という問い合わせをいただきました。原因はわかってしまえば簡単だったのですが意外と知られていない気がするので公開します。原因追及を頑張ってくれた弊社AzureチームのKさんありがとう！ さて、そもそもサービスプリンシパルとはなんでしょうか。別名実行アカウントです。どちらかというと実行アカウントの方がまだわかりやすいと思います。要するに、アカウントのことですから。このサービスプリンシパル、RBAC(Role-based Access Control)の全面導入に伴った重要な存在となって…

前々から気になっていた、マイクロソフト365 開発者プログラムを試してみた。developer.microsoft.comむむ、見た目はおなじみのMS365 管理センターだ。 azureのほうもおなじみのやつだ。 今回は開発者用プログラムというわけで、ユーザがデフォルトで作成されていたり、teamsのテンプレートが入っていたりする。 （日本人にはちょっと覚えにくいな。佐藤さんや鈴木さんのほうがありがたい） ただちょっと困ったことが。おそらく商用でも最新はそうなのかもしれないが、デフォルトで二段階認証が有効になっている。。。(´ｴ`;) いずれはMicrosoft Authenticatorなど…

メッセージセンターでMC316448により、Powershellでセキュリティコンプライアンスセンターに基本認証で接続できなくなることが公開されていました。 (adsbygoogle = window.adsbygoogle || []).push({}); MC316448 について アプリケーションから Windows PowerShell を使用したセキュリティ センターとコンプライアンス センターへのアクセスについては、基本認証がご利用できなくなります。 MC316448 の適用後は基本認証でのセキュリティ/コンプライアンス センターへのアクセスが行えなくなるため、アプリケーションから…

Microsoft 365 Business について、M365 E5 Security の機能が含まれるか調べ直すことがあるので、まとめました。 まず各プランの機能一覧はこちら。 Microsoft 365 のすべてのプランを比較 | Microsoft M365 E5 Security の５つの主要な機能について、それぞれ公開情報から調べました。 Microsoft Defender for Office 365（旧 O365 ATP）は含まれるか？ → M365 Business Premium には、P1 の機能は含まれます。 Microsoft Defender for Office…

こんにちは。コンテナソリューショングループの髙井です。 今日はAzure DevOpsの記事です。 Azure DevOpsは、何も知らなくてもサッと使い始められるようになっています。 一方で、同じ環境で使う人が増えてくると、イイ感じに分けて使いたくなったりして、そんなときにどうすれば〈イイ感じ〉にできるのか悩んだりすることもあるかと思います。 今回は、よくある分けたいニーズとしてボードを複数使いたいケースを取り上げます。 結論 いきなりですが、タイトルについての結論です。 Azure DevOpsでは1つの〈プロジェクト〉内に複数の〈チーム〉を作成することができる チームごとに〈ボード〉が生…

Microsoft Learnに 「Azure Active Directory に Azure のユーザーとグループを作成する」というチュートリアルでやったこと、途中で調べたことなどを書いておく。 docs.microsoft.com このチュートリアルでできるようになること Azure ADにユーザを追加する Azure ADグループを使用して、アプリとリソースへのアクセスを管理する Azure AD B2Bでゲストユーザーアクセスを許可するという章もあったが、別記事とする。 Azure ADのユーザーアカウント すべてのユーザーアカウントに既定のアクセス許可セットが付与されている ユーザ…

OutlookやSharePointのAPI、バックグラウンドのアプリケーションで使おうとするとすぐ管理者の同意が必要なPermissionを求めてくる。 たとえばバックグラウンドアプリから自分のOneDriveへファイルをアップロードしたい場合、Azure Active DirectoryでFiles.ReadWrite.Allのアクセス許可を与える必要がある。 https://docs.microsoft.com/en-us/onedrive/developer/rest-api/api/driveitem_put_content?view=odsp-graph-online しかし、この…

こんにちは。CData Software Japan リードエンジニアの杉本です。 最近ちょこっとDynamics 365 の「ClientCredential」による認証を試す必要があって、「まーたあの面倒くさい手順を踏まないといけないのかー」と思っていたんですよ。 この面倒くささは以前の私の記事を参照してみてください。 www.cdatablog.jp そして、Power Platform 管理センターを見ていたら、なんか画面に「アプリユーザーの一覧に移動します」みたいな文言があるではないですか！ これ、試してみたらすごく簡単になっていて、感動したので、紹介したいと思います！ （たぶん、そ…

新年 1 つ目のポストは、昨年末すごくはまった内容をまとめてみようと思います。 やりたいこと .NET ベースの Blazor WebAssembly アプリケーションを ASP.NET Core のアプリケーションでホストして、 Azure App Service に発行します。 こいつに対して Azure AD ( B2C ではない方) で認証をかけていきます。 Blazor WebAssembly のアプリケーションは、 Azure Static Web Apps を使うケースが多いかもしれません。 しかし、規模の大きなシステムだと「複雑な業務要件」という名の低性能機能が紛れ込んだりして…

Azure AD Connect クラウド同期の説明で少し出てきたのですが、クラウド同期では Azure AD Domain Services のサポートが行われていません。その Azure AD DS とはどういったものなのか確認してみましょう。 Azure AD DS とは、マネージドサービスとなった AD DS 機能です。 Azure AD から同期をかけ、 Azure 上に 2 台のドメインコントローラーを構築してくれるサービスとなっています。もちろんマネージドなので、自身でサーバーの管理を行う必要はありません。 概要は以下 docs にあるのですが、覚えておきたいのは以下の図でしょう…

久々の投稿です。 もう1年以上も更新してなかったんだなと思いつつ、今年ももう年の瀬。 少し時間がとれそうなので少しずつ最近得た知見を書いていけたらと思います。 最近はMicrosoft 365やAzure Active Directory、Intuneといったクラウドの知見を得る機会が増えてきました。 それだけ世の中でもクラウド化が進んできているのかなと感じています。 どのようにクラウドと付き合っていくか、全部をというと敷居が高くとも適切な部分のみクラウドを活用するというのが今のトレンドなのかもしれませんが、 ゼロトラストといった考え方もあるように単純適材適所とはいかない構成もよく見かけます。…