Entra IDの外部認証プロバイダの設定を試す（１）

こんにちは、富士榮です。

先日当Blogにも書いたとおり、最近Previewが公開されたEntra IDの外部認証を少しずつ試していきます。

設定はこの辺りのドキュメントを見ればできそうです。

https://learn.microsoft.com/ja-jp/entra/identity/authentication/how-to-authentication-external-method-manage

ざっとやり方と条件を見ていくと、こんな感じっぽいです。

• Entra ID上にマルチテナントアプリとして外部認証システムをクライアント登録する
• 外部認証システムがEntra IDが発行したid_token_hintを検証できるようにEntra IDのDiscoveryエンドポイントを解釈できるように構成する
• 外部認証システムへEntra IDをクライアント登録する
• 外部認証システムの認証強度の要求はclaimsパラメータを利用し、amr/acrの値が要求される。そのため外部認証システムは指定された値のamr/acrを返却できるように構成する必要がある
• 外部認証システムの認可エンドポイントへのアクセスはPOSTで行われる
• 外部認証システムからEntra IDへのid_tokenの引渡しはform_postを使う必要がある

まだ細かいところは色々とありますが、やりながら潰していきましょう。

しかしまぁ、結構条件厳しめですね。やはり自作IdPをカスタマイズしつつ対応させていくのが良さそうです。

と言うことで徐々に試します。今回は外部認証システムへ認証要求が飛ぶところまでを見ていきます。

マルチテナントアプリの登録

まずはEntra IDに外部認証システムを登録してあげる必要があります。ログイン前に参照することが必要になる、かつ他のマルチテナントアプリに対して認証する可能性があることから、外部認証システム自体の登録もマルチテナントアプリとしてクライアント登録を行います。

この際、redirect_uriには外部認証システムの認可エンドポイントのURLを指定する必要があります。

次に、APIアクセス許可を行います。

Microsoft Graphへのアクセス許可をする（委任されたアクセス許可）必要があります。

対象の権限にはopenidとprofileを指定します。

管理者の同意を付与しておきます。

外部認証の設定を行う

いよいよ外部認証システムの登録を行います。

• 名前は適当でも良いのですが後から変えられないので注意が必要です。
• クライアントIDは外部認証システム側にEntra IDを登録する際に発行されるクライアントIDを指定します。（次回以降で外部認証システム側への登録の話をします）
• 検出エンドポイントには外部認証システムのdiscoveryエンドポイントを指定します。
• アプリIDは先ほどEntra ID上に登録したマルチテナントアプリのクライアントIDを指定します。

また、この認証方式を使うことができるユーザが所属するグループを指定し、設定を有効にして保存します。

動作を確認する

この状態でユーザでログインをする際に多要素認証が求められるように設定しておくと、認証方式として先ほど指定した方式が出てきます。（出てこない場合はMicrosoft Authenticatorが現在使えない、というリンクをクリックすると出てきます）

こちらを選択すると、外部認証システムへリダイレクトされるのですが、トレーサーでリクエストを見ると以下のように認可エンドポイントへPOSTでid_tokenやclaimsを含んだリクエストが飛んでいることがわかります。

id_token_hintを紐解くとこんな感じです。

おすすめは外部認証システム側にoid（オブジェクトID）とtid（テナントID）を紐づけた形でユーザを作成しておき、当該のユーザで認証することです。（preferred_usernameだと変わってしまう可能性があるので）

また、認証方式・強度などに関する要求はclaimsパラメータで指定がされていますので、外部認証システムはこの条件を満たす形で認証を行い、id_tokenのacr/amrに値を含めてEntra IDへ送出してあげる必要があります。 

{

"claims": {

"id_token": {

"amr": {

"essential": true,

"values": [

"face",

"fido",

"fpt",

"hwk",

"iris",

"otp",

"tel",

"pop",

"retina",

"sc",

"sms",

"swk",

"vbm"

]

},

"acr": {

"essential": true,

"values": [

"possessionorinherence"

]

}

}

}

}

次回以降は外部認証システム側の設定を調整していきたいと思います。