ID プロバイダとして Microsoft Entra ID を構成する

Omnissa Connect のエンタープライズフェデレーションワークフローで ID プロバイダ (IdP) を構成するには、プロバイダと Omnissa Connect コンソールの両方で作業する必要があります。この手順では、JIT (Just-in-Time) プロビジョニングを使用した、SAML (Security Assertion Markup Language) プロトコルでの Microsoft Entra ID の使用について概説します。

この手順を支援するために、Omnissa Access テナントが自動的にプロビジョニングされます。Omnissa Access はサービスプロバイダとして機能します。セルフサービスフェデレーションは、ID プロバイダとサービスプロバイダの接続を簡素化するのに役立つ、プレゼンテーションレイヤーを提供します。

一般的なワークフロー

通常、Microsoft Entra ID、Okta、または別の ID プロバイダのいずれを構成する場合でも、以下に列挙された手順を実行します。

ID プロバイダとサービスプロバイダ間の信頼を確立します。
認証用にユーザーとグループを識別する方法を構成します。
シングルサインオン (SSO) を構成します。

Microsoft のドキュメント

このトピックでは、Microsoft Entra ID を ID プロバイダとして使用する方法について説明しますが、最新の Microsoft Entra ID ドキュメントが必要な場合は、Microsoft Entra ID のドキュメントサイトを参照してください。
Microsoft Entra ID でグループ属性を使用する場合は、Microsoft Entra ID を使用してアプリケーションのグループ要求を構成するトピックを参照し、現在の構成手順を確認してください。
Microsoft Entra テナント ID を見つけるためのサポートが必要な場合Microsoft Entra テナント ID の確認方法を参照してください。
式ビルダーで使用する属性の完全なリストについては、Microsoft Entra ID で属性マッピングの式を記述するためのリファレンスを参照してください。

要件

[ドメインの検証] 手順を完了しなければ、Omnissa Connect の [エンタープライズフェデレーションの設定] ウィジェットの [ID プロバイダの構成] 領域にはアクセスできません。

Microsoft Entra ID を使用した SAML SSO の構成

Omnissa Connect コンソールと Microsoft Entra 管理センターの両方で作業します。2 つのコンソール間で値を容易にコピーして貼り付けられるように、2 つのブラウザインスタンスを使用することをおすすめします。

ブラウザインスタンスを開き、Omnissa Connect コンソールに移動します。
1. [エンタープライズフェデレーションの設定] > [ID プロバイダの構成] に移動して、[開始] を選択します。
2. [ID プロバイダの選択] タブで、一覧表示された設定を選択して、[次へ] を選択します。
  - ID プロバイダ：Microsoft Entra ID
  - プロビジョニングタイプ：Jit ベース
  - 認証プロトコルタイプ：SAML
別のブラウザインスタンスを開き、管理者権限で Microsoft Entra 管理センターにログインします。
1. Microsoft Entra ID で、[ID] > [アプリケーション] > [エンタープライズアプリケーション] の順に移動し、新しいアプリケーションの追加を選択します。
2. 独自のアプリケーションを作成するオプションを選択します。
3. [アプリの名前] テキストフィールドに名前を入力し、[ギャラリーに見つからない他のアプリケーションを統合する (ギャラリー以外)] を選択して、 [作成] を選択します。
4. [すべてのアプリケーション] リストで、先ほど作成したアプリケーションを選択し、[ユーザーおよびグループの割り当て] を選択します。指示に沿って、SSO を介して Omnissa Connect にアクセスするユーザーとグループを割り当てます。
5. アプリケーションの [概要] ページで、[シングルサインオンの設定] タイルを選択し、方法として [SAML] を選択します。
Microsoft Entra ID で、**[基本 SAML 構成]**を編集します。この手順では、値を Omnissa Connect から Microsoft Entra ID にコピーする必要があります。
1. Omnissa Connect ブラウザインスタンスに移動し、[ID プロバイダ内の SAML の設定] 手順を選択します。
2. [識別子] および [返信 URL] 文字列をコピーします。
3. Microsoft Entra ID ブラウザインスタンスに戻り、Omnissa Connect からコピーした [識別子] と [返信 URL] の値を Microsoft Entra ID に貼り付けます。
4. オプションの手順を無視して設定を保存し、[基本 SAML 構成] ウィジェットを閉じます。ただし、Microsoft Entra ID ブラウザインスタンスは閉じないでください。次に [属性と要求] を編集するため、Microsoft Entra 管理センターのブラウザセッションを開いたままにします。
Omnissa Connect で [ユーザー属性] セクションに移動します。これは、先ほど [ID プロバイダ内の SAML の設定] 手順で値をコピーした、Omnissa Connect の手順の後に表示されます。ユーザー属性情報は、Microsoft Entra ID の属性と要求を編集するときにアクセスするために役立ちます。
Microsoft Entra ID インスタンスに移動し、[属性と要求] を編集します。
1. 必須の要求
  - 一意のユーザー ID（名前 ID）については、Omnissa Connect で UPN（ユーザープリンシパル名）を選択している限り、値 user.userprincipalname が機能します。
  - Omnissa Connect で E メールを選択する場合は、一意のユーザー ID の値を user.mail に変更する必要があります。
2. 追加の要求
  - Entra ID によって割り当てられた属性名前空間の値を削除します。
  - 事前入力された追加の要求を追加または編集して、システムで認識されるようにします。
  - これらの文字列では大文字と小文字が区別されます。
    - 名前：email、ソース属性：user.mail
    - 名前：firstName、ソース属性：user.givenname
    - 名前：lastName、ソース属性：user.surname
    - 名前：userName、ソース属性：user.userprincipalname
    - 名前：userPrincipalName、ソース属性：user.userprincipalname
  - オプションで、名前 domain を追加して、該当するドメインにマッピングできます。
Omnissa Connect コンソールに戻り、[ユーザー属性] の手順で [次へ] を選択して、 [グループ属性] の手順に進みます。
1. （オプション）グループメンバーシップをプロビジョニングする場合は、[グループ属性] セクションを設定します。
  - Omnissa Connect と Microsoft Entra ID のグループ属性が一致していることを確認します。
  - Microsoft Entra ID のメニューオプションには、次のようなものがあります。
    - 管理者の数が多い場合は、管理者 1 人ずつにロールを割り当てるのではなく、グループを使用してロールを割り当てることができます。たとえば、1 つのセキュリティグループに多数の管理者が含まれている場合、これらのすべての管理者に同じロールを割り当てることができます。
    - [ユーザーに関連付けられているグループのうち、どれを要求で返すか] オプションで、該当するグループを選択します。たとえば、[セキュリティグループ] を選択します。
    - [ソース属性] オプションで、[グループ ID] を選択します。
    - [詳細オプション] > [グループ要求の名前をカスタマイズ] で、このチェックボックスを有効にできます。
    - [名前] オプションには、Omnissa Connect で入力した内容と一致する名前を入力できます。標準名はシステムで認識されないため、入力しないでください。
Omnissa Connect で [ID プロバイダの構成] 手順を構成します。
1. [IdP 表示名] テキストフィールドに名前を入力します。
2. **[メタデータ]**の共有方法では、Entra ID でサポートされている [URL] を選択します。
Microsoft Entra ID インスタンスに移動し、追加した Omnissa アプリケーションに移動し、[管理] > [シングルサインオン] を選択して、[SAML 証明書] > [アプリケーションフェデレーションメタデータ URL] 領域に URL をコピーします。
Omnissa Connect インスタンスに戻り、[ID プロバイダの構成] の手順を完了します。
1. コピーしたアプリケーションフェデレーションメタデータ URL を [メタデータ] フィールドに貼り付けます。
  - メタデータの検証が自動的に開始します。
  - 検証が完了したときに、チェックボックスアイコンが緑になっている場合は、ファイルの読み取りおよび解析が正常に行われたことを示します。
  - 検証でエラーが返された場合は、入力した URL が正しいことを確認してください。
2. [名前 ID 形式] を選択します。
  - [名前 ID の形式] は、認証されたユーザーを識別する SAML 応答内の値です。
  - [名前 ID の形式] は nameID 形式と一致する必要があり、これは SAML アプリケーションの Entra ID の [必須の要求] で選択しました。
3. [名前 ID 値] を選択します。
Omnissa Connect の [ユーザー ID の設定] の手順で、エンタープライズのユーザーが、Omnissa Connect の検出画面から Omnissa Connect にアクセスするときに、本人確認を行う方法を選択します。
- ユーザー ID は、ユーザーがエンタープライズ ID プロバイダに対して認証する方法とは異なります。
- 画面に表示される例に従って、正しいものを選択します。
- すべてのオプションで、選択した値は @<DomainName.com> で終わる必要があり、ここで、domainName は検証手順で登録した値です。
Omnissa Connect で、[構成] を選択してセルフサービスフェデレーションプロセスを完了します。