ラボ 06:フェデレーション ID プロバイダーを追加する

ラボのシナリオ

あなたの会社は多くの仕入れ先と提携しており、時折、いくつかの仕入れ先のアカウントをゲストとしてディレクトリに追加し、サインインに Google アカウントの使用を許可する必要があります。

推定時間: 25 分

演習 1 - ID プロバイダーを構成する

タスク 1 - ID プロバイダーとして使用するように Google を構成する

重要な注意事項 - この演習には、Google の Gmail アカウントが必要です。 新しい Google アカウントを作成してから、演習の手順に従ってください。必ずメールアドレスとパスワードをメモしてください。これらはラボを完了するために必要です。

https://console.developers.google.com で Google API に移動し、Google アカウントでサインインします。共有のチーム Google アカウントを使用することをお勧めします。
サービスの使用条件への同意を求めるメッセージが表示されたらそのようにします。

新しいプロジェクトを作成する:

ページの上部にあるプロジェクトメニューを選択して、[プロジェクトの選択] ページを開きます。 [新しいプロジェクト] を選択します。残りのフィールドは既定の設定のままにします。
[新しいプロジェクト] ページで、プロジェクトに名前 (MyB2BApp など) を付け、 [作成] を選択します。
[通知] メッセージボックスでリンクを選択するか、ページの上部にあるプロジェクトメニューを使用して、新しいプロジェクトを開きます。
次に、 [API とサービス] で、 [OAuth 同意画面] を選択します。
[ユーザーの種類] で、 [外部] を選択し、 [作成] を選択します。
[OAuth 同意画面] の [アプリ情報] で、アプリケーション名 (Azure AD など) を入力します。
[User support email] (ユーザーサポートのメール) でメールアドレスを選択します。これには、Google へのログインに使用したメールアドレスが含まれている必要があります。
[承認済みドメイン] の [+ ドメインの追加] を選択してから microsoftonline.com ドメインを追加します。

   microsoftonline.com

[開発者の連絡先情報] で、ポータルへのサインインに使用したラボアカウントのメールアドレスを入力します。
[Save and continue] (保存して続行) を選択します。
左側のメニューで、[Credentials] (認証情報) を選択します。
[認証情報の作成] を選択してから、 [OAuth クライアント ID] を選択します。
[アプリケーションの種類] メニューの [Web アプリケーション] を選択します。アプリケーションに適切な名前 (Microsoft Entra B2B など) を付けます。 Authorized redirect URIs に、次の URI を追加します。

      https://login.microsoftonline.com

  https://login.microsoftonline.com/te/**tenant ID**/oauth2/authresp    (ここで、<tenant ID> はご利用のテナント ID です)    ```
  https://login.microsoftonline.com/te/**tenant name**.onmicrosoft.com/oauth2/authresp
   (where <tenant name> is your tenant name)    ```

［作成］ を選択しますご自分のクライアント ID とクライアントシークレットをコピーします。これらは、Azure portal で ID プロバイダーを追加するときに使用します。
テストの発行状態でプロジェクトを終了できます。

タスク 2 - テストユーザーを追加する

[API とサービス] メニューの [OAuth 同意画面] を選択します。
ページの [テストユーザー] セクションで、 [+ ユーザーの追加] を選びます。
このラボ用に作成した (または使用している) gmail アカウントを入力します。
[保存] を選びます。

演習 2 - 外部 ID プロバイダーと連携するように Azure を構成する

ステップ 2: Microsoft Entra ID で Google フェデレーションを構成する

管理者として、 https://entra.microsoft.com にサインインします。
[Microsoft Entra ID] を選択します
[ID] ** で [** 外部 ID] を選択 します。
左側のメニューから [すべての ID プロバイダー] を選びます。

Microsoft では、ID プロバイダーとしての Google 向けに直接フェデレーションを提供しています。これは、 **[External Identities

すべての ID プロバイダー]** ページから [+ Google] を選択して開始できます

[+ Google] を選択すると、別のページが開き、ID プロバイダーとして Google を構成するために必要な追加情報が表示されます。
前に取得した [クライアント ID] と [クライアントシークレット] を入力します。
[保存] を選択します。

これにより、ID プロバイダーとしての Google の構成が完了します。

タスク 2 - テストユーザーアカウントを招待する

既存の Gmail アカウントを使用している場合は、忘れずに、 **[External Identities

すべての ID プロバイダー]** でアカウントを削除してください。 Google 開発者コンソールに戻り、作成したプロジェクトを削除することもできます。

Microsoft Entra ID を開きます。
[ユーザー] に移動し、 [すべてのユーザー] を選択します。
[+ 新しいユーザー] を選択します。
ドロップダウンメニューから [外部ユーザーの招待] を選びます。
演習 1 のタスク 2 で Google アプリのテストユーザーとして設定した gmail アカウントの情報を入力します。
必要に応じて、個人用メッセージを入力します。
[招待] を選択します。

タスク 3 - 招待とログインを承諾する

InPrivate ブラウザーを使用して gmail アカウントにログインします。
受信トレイの [Microsoft 招待 (代理)] を開きます。
メッセージの [招待を承諾] リンクを選択します。
ログインダイアログで要求されたとおり、ユーザー名とパスワードを入力します (要求された場合)。注フェデレーションが正しく機能している場合は、新しい Google 外部 ID プロバイダーの最初の結果が表示されます。ログイン画面に移動し、gmail の資格情報でログインできるようになります。フェデレーションが機能しない場合、または設定されていない場合、ユーザーには、アカウントを確認するために、ログイン後にアカウント確認メールが送信されます。フェデレーションでは、追加の検証は必要ありません。

注アクセスエラー 500 が発生した場合は、約 30 秒待ってからページを更新します。再送信することを選びます。このエラーは、ラボ環境でのみ発生するタイミングの問題です。

表示された新しい [アクセス許可の要求者] メッセージに目を通します。このメッセージは、Azure ラボドメインからのものです。
[承諾] を選びます。
ログインが完了すると、MyApplications が送信されます。

タスク 4 - Google アカウントを使用して Microsoft 365 にログインする

タスク 3 の外部ユーザー招待プロセスが完了したら、Microsoft Online に直接ログインできます。
開いているブラウザーで新しいタブを開きます。注タスク 3 で新しい InPrivate ブラウザーを開かなかった場合は、この手順で行う必要があります。
次の Web アドレスを入力します。

   login.microsoftonline.com

ダイアログで [サインインオプション] を選択します。
[組織にサインインする] を選びます。
ボックスにご利用のラボテナントドメイン名を入力し、 [次へ] を選択します。
作成した Google のメールアドレスとパスワードを入力します。この時点で、確認のために Google にアカウントが渡されていることがわかるはずです。その後、Microsoft Office ポータルに入ります。