Soliton OneGate 管理ガイド
Microsoft 365

Microsoft 365

Microsoft 365のシングルサインオンに必要な環境を確認・設定し、Microsoft 365連携のシングルサインオンを有効にします。

Microsoft Entra IDへの参加／不参加によって、必要な設定が異なります。

Microsoft 365のSSOに必要な環境を確認・設定する

Microsoft 365のSSOを有効にする前に、Microsoft Entra IDへの参加の有無を確認し、64ビット版のWindowsにMicrosoft Graph PowerShell SDKをインストールします。

Microsoft Entra IDへの参加／不参加を確認する

Microsoft 365連携を行う場合、Microsoft Entra IDへの参加／不参加によって、SSO有効化の設定手順が異なります。

以下の操作に従って、事前にMicrosoft Entra IDへの参加／不参加を確認します。

  1. Microsoft Entra管理センター（https://entra.microsoft.com/）に管理者としてサインインする

  2. 「デバイス」 ＞「すべてのデバイス 」を選択する

  3. デバイス一覧の「参加の種類」でMicrosoft Entra ID参加／不参加を確認する

    「Microsoft Entra joined」または「Microsoft Entra hybrid joined」の表示がある場合はMicrosoft Entra ID参加している端末がある「Microsoft Entra ID参加」環境です。

    表示がない場合は「Microsoft Entra ID不参加」環境となります。

Microsoft Graph PowerShell SDKをインストールする

Microsoft 365連携に必要なMicrosoft Graph PowerShell SDK を64ビット版のWindowsにインストールします。

インストールを実行する前にPowerShellおよび.NET Frameworkのバージョンが条件を満たしていることを確認し、バージョンが古い場合はバージョンアップを行ってからインストールを実行します。

ユーザー同期を行う場合はインストール済みのため、本操作は不要です。

参照

PowerShellおよび.NET Frameworkのバージョン確認・バージョンアップ、Microsoft Graph PowerShell SDK のインストール方法

以下をご覧ください。

Microsoft Graph PowerShell SDK のインストール

OneGateでサービス登録を行う

OneGateのMicrosoft 365連携設定を行います。

  1. OneGate管理メニューの［クラウド設定］＞［サービス連携設定］をクリックする

    OneGate管理メニューを表示

  2. クラウドサービス一覧で［Microsoft 365］をクリックする

  3. 「情報資産設定」の「Microsoft365連携」で「ユーザー同期とSSO先として利用する」または「SSO先として利用する」を選択する

  4. 「情報資産設定」の「IdP証明書」で［選択］アイコンをクリックし、有効期間内のIdP証明書を指定する

  5. ユーザー同期を行う場合、「接続設定」で必要な項目を設定する

    　　

    接続先ドメイン名

    Microsoft 365の初期ドメイン(〇〇.onmicrosoft.com)を入力します。

    アプリケーション
    クライアントID

    事前設定で取得したアプリケーションIDを入力します。

    アプリケーションキー

    事前設定で取得したクライアントシークレット値を入力します。

    接続テスト

    設定/入力が終わったら、［接続テスト］をクリックし、上部に「接続テスト に成功しました。」と表示されることを確認します。

    Microsoft Entra 参加(レガシー認証)を許可する

    1. Microsoft Entra IDに参加していない場合

      チェックをはずします。

    1. Microsoft Entra IDに参加している場合

      チェックします。

    Microsoft365連携の事前設定

  6. ユーザー同期を行う場合、「Microsoft 365デフォルトライセンス設定」で［＋］をクリックし、割り当てるライセンスを選択する

  7. 「SSOポータル表示設定」でログインURLを指定する

    　　

    ログインURL

    1. Microsoft Entra IDに参加していない場合

      デフォルトのURLのままにします。

    1. Microsoft Entra IDに参加している場合

      「https://<テナントコード>.ids.soliton-ods.jp/idp/api/wsfed/sp/office365」を指定します。

  8. ［保存］をクリックする

アプリケーションロールの割当・同期項目の登録を行う

アプリケーションロールの割当・同期項目の登録は、ユーザー種別（OneGate登録利用者／AD連携利用者）によって異なります。

OneGate登録利用者の場合

OneGateに直接登録した利用者に、Microsoft 365のアプリケーションロールを割り当て、同期項目を登録します。

  1. OneGate管理メニューの［利用者管理］＞［利用者一覧］をクリックする

  2. 対象の利用者をクリックする

    　　

    「利用者変更」画面が表示されます。

  3. 以下の項目を設定し、Microsoft 365の同期項目の登録、アプリケーションロールの割り当てを行う

    　　

    Microsoft 365 User

    Microsoft 365側のユーザー名(UPN)を入力します。

    アプリケーションロール

    「Microsoft 365」を選択します。

    (Microsoft 365) Sign-in status

    「1」固定です。

    (Microsoft 365) Display name

    Microsoft 365側の表示名を入力します。

    (Microsoft 365) Immutable id

    OneGateとMicrosoft 365のユーザーを紐づける任意の値を入力します。

    （例） UPNと同じ値など

    (Microsoft 365) Mail nickname

    UPNのローカルパートを入力します。

    (Microsoft 365) Password

    Microsoft 365側ユーザーにセットするパスワードを入力します。

    ※SSOの有効化後は使用されない情報です。Microsoft 365へのユーザー同期時にのみ利用するパスワードとなります。

    (Microsoft 365) Location

    「JP」固定です。

  4. ［保存］をクリックする

  5. 利用者の同期設定を行う

    OneGateの同期設定

AD連携利用者の場合

AD連携／Entra ID連携の利用者の場合は、アプリケーションロールの割り当ておよび同期項目の登録は
Active DirectoryまたはEntra IDで行い、結果をOneGateで確認します。

  1. Active DirectoryまたはEntra ID上の任意のOUにセキュリティグループ「Microsoft365G」を作成し、AD連携利用者をメンバー登録する

    　　

    参照

    Active DirectoryまたはEntra ID上でセキュリティグループを作成し、ユーザーを追加する方法については以下を参照してください。

    1. Active Directory上でセキュリティグループを作成／ユーザーを追加

    1. Microsoft Entra ID側でセキュリティグループを作成／ユーザーを追加

    　　

    Microsoft 365のアプリケーションロールが割り当てられ、同期項目が登録されます。

    アプリケーションロールの割り当ておよび同期項目の登録結果を確認します。

  2. OneGate管理メニューの［AD設定］＞［AD連携設定］をクリックする

  3. 対象のAD連携設定名をクリックする

    　　

    「AD連携設定変更」画面または「Microsoft Entra ID連携設定変更」画面が表示されます。

  4. ［標準クラウドサービス］の［Microsoft 365］に「Microsoft365G」のグループ名が表示されていることを確認する

    　　

    ポイント

    セキュリティグループ名「Microsoft365G」を変更するときは

    「AD連携設定変更」画面または「Microsoft Entra ID連携設定変更」画面の［標準クラウドサービス］の［Microsoft 365］に変更後のグループ名を入力します。

  5. 「AD連携設定」画面に戻り、対象のAD連携設定の［属性設定］をクリックする

    　　

    「AD連携属性設定」画面または「Microsoft Entra ID連携属性設定」画面が表示されます。

  6. Microsoft 365の同期項目の登録結果を確認する

    AD連携利用者とMicrosoft 365ユーザーの属性マッピングはデフォルトで設定されています。

    　　

    ポイント

    属性のマッピングを変更するときは

    AD連携設定またはMicrosoft Entra ID連携属性設定の属性設定で変更します。

    AD連携／Microsoft Entra ID連携の属性設定

Microsoft Graphへ接続する

PowerShellにコマンドを入力し、Microsoft Graphに接続します。

  1. PowerShellを再起動し、以下のコマンドを実行する

    Connect-MgGraph -Scopes "Domain.ReadWrite.All","Directory.AccessAsUser.All"

  2. 全体管理者のアカウントでログインする

    　　

    初回のみ「要求されているアクセス許可」が表示されます。

  3. 「要求されているアクセス許可」をチェックし、［承諾］をクリックする

    Microsoft Graphに接続されます。

    続けて、変数の代入を行います。

Microsoft Graphで変数を代入する

OneGateのクラウド設定「共通設定」で以下の情報をメモ帳にコピーするなどして控え、Microsoft Graphを利用して、SAML設定に使用する項目の変数を代入します。

共通設定

  1. IdP証明書

  1. メタデータ（Entity ID、SSO認証URL、ログアウトURL）

  1. OneGateの管理メニューの［クラウド設定］＞［共通設定］をクリックする

  2. ［Current Certificate］をクリックし、「Idp証明書設定変更」画面でコピーアイコンをクリックし、IdP証明書データをメモ帳にコピーするなどして控える 

  3. Microsoft Graphで以下のコマンドを入力し、変数をそれぞれ代入して、［Enter］キーを押す

    $domain = "soliton.example.com"
    $cert = "MIICzjCAbCagAwIBAgIGWA50O82~"

    　　

    “”（ダブルクォーテーション）の中の変数を書き換えてください。

    $domain ="soliton.example.com"

    SSOを有効にしたいMicrosoft 365のドメイン名を指定します。

    $cert ="MIICzjCAbCagAwIBAgIGWA50O82~"

    「共通設定」のIdP証明書からコピーしたデータに書き換えます。

  4. 「メタデータ」で「Entity ID」、「SSO認証URL」および「ログアウトURL」の情報をメモ帳にコピーするなどして控える

  5. 続けて、以下のコマンドを入力し、「メタデータ」の変数をそれぞれ代入して［Enter］キーを押す

    $IssuerUri = "https://xxxxxx.ids.soliton-ods.jp/idp/sso"
    $LogOnUri = "https://xxxxxx.ids.soliton-ods.jp/idp/sso"
    $LogOffUri = "https://xxxxxx.ids.soliton-ods.jp/idp/logout"

    xxxxxxの部分はOneGateのテナントコードの値となります。

    　　

    “”（ダブルクォーテーション）の中の変数を書き換えてください。

    $IssuerUri = "https://xxxxxx.ids.soliton-ods.jp/idp/sso"

    「Entity ID」の情報に書き換えます。

    $LogOnUri = "https://xxxxxx.ids.soliton-ods.jp/idp/sso"

    「SSO認証URL」の情報に書き換えます。

    $LogOffUri = "https://xxxxxx.ids.soliton-ods.jp/idp/logout"

    「ログアウトURL」の情報に書き換えます。

  6. Microsoft Entra IDに参加している場合のみ、以下のコマンドを入力し、xxxxxxの部分をOneGateのテナントコードに書き換え、［Enter］キーを押す

    $PassiveLogOnUri = "https://xxxxxx.ids.soliton-ods.jp/idp/api/wsfed/passive"
    $ActiveLogonUri = "https://xxxxxx.ids.soliton-ods.jp/idp/api/wsfed/passive"
    $MetadataExchangeUri = "https://xxxxxx.ids.soliton-ods.jp/idp/api/wsfed/mex"

    　　

    変数の代入はこれで完了です。

    続けて、フェデレーション設定を行います。

Microsoft Graphでフェデレーションを設定する

Microsoft Graphでフェデレーションを有効します。

フェデレーションを有効にした後は、フェデレーションが正しく設定されたことを確認し、Microsoft Graphの接続を終了します。

  1. Microsoft Graphで以下のコマンドを実行し、フェデレーションを設定する

    Microsoft Entra IDに参加していない場合

    New-MgDomainFederationConfiguration -DomainId $domain `
    -DisplayName "Soliton OneGate" `
    -SigningCertificate $cert `
    -IssuerUri $IssuerUri `
    -PassiveSignInUri $LogOnUri `
    -SignOutUri $LogOffUri `
    -PreferredAuthenticationProtocol "saml" `
    -FederatedIdpMfaBehavior "acceptIfMfaDoneByFederatedIdp"

    　　

    Microsoft Entra IDに参加している場合

    New-MgDomainFederationConfiguration -DomainId $domain `
    -DisplayName "Soliton OneGate" `
    -SigningCertificate $cert `
    -IssuerUri $IssuerUri `
    -SignOutUri $LogOffUri `
    -PassiveSignInUri $PassiveLogOnUri `
    -ActiveSignInUri $ActiveLogonUri `
    -MetadataExchangeUri $MetadataExchangeUri `
    -PreferredAuthenticationProtocol "wsFed" `
    -FederatedIdpMfaBehavior "acceptIfMfaDoneByFederatedIdp"

    　　

    注意

    上記のコマンドは1行です。改行が入らないようご注意ください。

    　　

    続けて、フェデレーションの設定結果を確認します。

  2. 以下のコマンドを実行し、ドメイン一覧を表示する

    Get-MgDomain

    　　

    目的のドメインのAuthenticationTypeが「Federated」となっていれば設定は完了です。

    ポイント

    フェデレーション設定内容を確認するときは

    以下のコマンドを入力します。

    Get-MgDomainFederationConfiguration -DomainId $domain -All | Format-List

    　　

    代入値の修正など、再設定を行うときは

    以下のコマンドでフェデレーションを無効化し、再度フェデレーションを有効にしてください。

    Update-MgDomain -DomainId $domain -AuthenticationType "Managed"

  3. 以下のコマンドを実行し、Microsoft Graphとの接続を終了する

    Disconnect-MgGraph

    Microsoft 365連携のSSOの有効化は完了です。

Copyright © Soliton Systems K.K., All rights reserved.