モバイル ユーザーを Omnissa Access へリダイレクトして認証する

構成が正常に完了すると、AD FS フェデレーション アプリケーションの Web ポータルにアクセスするユーザーは認証方法を選択できます。この選択を自動化するには、デスクトップ ユーザーを認証し、モバイル ユーザーを Omnissa Access にルーティングして認証を行うように AD FS を構成します。

モバイル デバイス信頼 (MainUseCases.md) を実装するには、次の手順に従います。このユースケースでは、Omnissa Access が Workspace ONE UEM で提供する独自のモバイル デバイス管理機能を利用できます。デスクトップ ユーザーは、使い慣れた既存の AD FS 認証ワークフローを引き続き使用できます。

このユースケースは、アプリケーション ポータル（たとえば、Office 365 の portal.office.com）を介して AD FS フェデレーション アプリケーションに直接ログインするユーザーに適用されます。ユーザーが SP によって開始されたフローをこの方法で開始すると、AD FS は認証要求をユーザーのデバイス タイプに基づいて適切な ID プロバイダにルーティングします。

• ユーザーがデスクトップ コンピュータからログインすると、AD FS は ID プロバイダとして認証要求を処理します。デスクトップ ユーザーは、使い慣れた AD FS 認証情報を使用してアプリケーションにログインするため、ログイン エクスペリエンスは変わりません。
• ユーザーがモバイル デバイスからログインすると、AD FS は認証要求を信頼できる ID プロバイダ（または要求プロバイダ）として Omnissa Access に転送します。Omnissa Access はユーザーの認証情報を検証し、Workspace ONE UEM は有効なデバイス ポスチャ ポリシーに基づいてアプリケーションへのユーザーのアクセスを管理します。

**注：**次の手順では、AD FS Web テーマを使用して、モバイル リダイレクト コードを含む HRD ページを実行します。証明書利用者に 1 つの要求プロバイダのみが含まれている場合、HRD ページ（したがってコード）は実行されません。

SP によって開始された認証フローの詳細については、「IdP によって開始された認証フローと SP によって開始された認証フロー」を参照してください。

前提条件

「AD FS フェデレーション アプリケーションと Workspace ONE Intelligent Hub の統合」で説明されている手順を実行します。

手順

1. AD FS サーバに完全な管理者権限でログインします。

2. 管理者として PowerShell を実行します。

3. 次のコマンドレットを入力して、作業フォルダを作成します。

   mkdir c:\myscripts
   

4. デフォルトの AD FS Web テーマをエクスポートします。

   Export-AdfsWebTheme –Name "Default" –DirectoryPath c:\myscripts
   

   

   Export コマンドレットは、c:\myscripts\script フォルダに onload.js ファイルを作成します。ユーザー デバイスのタイプに基づいて認証オプションを指定するには、この JavaScript ファイルを変更します。

5. Notepad++ などのテキスト エディタで C:\myscripts\script\onload.js を開き、次の JavaScript コードをファイルの先頭に追加します。

   コードのプレースホルダ値を次のように置き換えます。

   プレースホルダ値	AD FS 4.0 の置き換える値	AD FS 3.0 の置き換える値
   {AccessTenant}	Omnissa Access サービスの完全修飾ドメイン名 (FQDN)	Omnissa Access サービスの FQDN
   {AD FS claims provider}	'AD Authority'	'http://{ADFSdomain}/adfs/services/trust' （ここで {ADFSdomain} は AD FS サーバの FQDN です）

   var myCheckHRD = document.getElementById('hrdArea');
   if (myCheckHRD) 
   {    
      // redirect mobile traffic to Workspace ONE
      if (navigator.userAgent.match(/iPad|iPhone|Android|Windows Phone/i) != null)
      {
          HRD.selection('https://{AccessTenant}/SAAS/API/1.0/GET/metadata/idp.xml');
      }
      // ADDITIONAL LOGIC FOR iPadOS AND iOS 13 iPad DEVICES
      else if (navigator.userAgent.match(/Macintosh/i) != null)
      {
          if(navigator.maxTouchPoints > 2)
              {
                  HRD.selection('https://{AccessTenant}/SAAS/API/1.0/GET/metadata/idp.xml');
              }
          else
              {
                  HRD.selection('{AD FS claims provider}');
              }
      }
   
      // else authenticate with local AD claims provider        
      else 
      {
          HRD.selection('{AD FS claims provider}');
      }
   
      // hide HRD selector from user
      var hrdui = document.getElementById("bySelection");
      hrdui.style.display = "none";
   }    
   

このコードは、モバイル デバイスからログインするユーザーの認証オプションとして Omnissa Access サービスを指定します。他のすべてのデバイスからログインするユーザーの認証オプションとして AD FS を指定します。また、ユーザーにアクションを求めずに認証要求を自動的にルーティングするように AD FS に指示します。

**注：**Apple iPad デバイスの iOS 13 以降では、デフォルトのユーザー エージェントは iPad ではなく macOS です。ユーザー エージェント情報に基づいてデバイスのタイプを決定するすべてのサービスを更新する必要があります。この JavaScript コードには、iPadOS を含む Apple の現在の iOS 製品に対応するための追加ロジックが含まれています。Apple は、今後のリリースで「ADDITIONAL LOGIC for iPadOS and iOS 13 iPad DEVICES」の動作を変更する場合があります。動作が変更された場合は、変更を反映するためにこのコード スクリプトの変更が必要になる場合があります。

6. 更新された onload.js ファイルを c:\myscripts\script フォルダに置き、古いファイルを上書きします。

   次に、更新された onload.js ファイルを参照する AD FS Web テーマを作成して、AD FS ログイン ページをカスタマイズします。

7. PowerShell で、AD FS Web テーマを作成します。

   New-AdfsWebTheme –Name "WS1ACCESS" –SourceName "Default"
   

8. 更新された onload.js ファイルをインポートします。

   Set-AdfsWebTheme -TargetName WS1ACCESS -AdditionalFileResource
                  @{Uri='/adfs/portal/script/onload.js';path="c:\myscripts\script\onload.js"}
   

9. 新しい Web テーマを有効にします。

   個々の AD FS アプリケーションからモバイルにモバイル トラフィックをリダイレクトするには：

   Set-AdfsRelyingPartyWebTheme
   -TargetRelyingPartyName "Microsoft Office 365 Identity Platform"
   -SourceWebThemeName "WS1ACCESS"
   

   すべての AD FS アプリケーションからモバイルにモバイル トラフィックをリダイレクトするには：

   Set-AdfsWebConfig -ActiveThemeName "WS1ACCESS"
   

10. 変更を保存するには、AD FS サービスを再起動します。

    Restart-Service adfssrv
    

    **注：**デフォルトの AD FS Web テーマに戻す場合は、次のコマンドレットを入力します。

    Set-AdfsWebConfig -ActiveThemeName "Default"
    

    iOS の AD FS 認証手順

    

    Android の AD FS 認証手順