メインコンテンツへスキップ

Salesforce SSO時のMFA必須化に対するOneLoginの修正対応（7月3日更新）

Microsoft 365 - WS-Fed × Windows PowerShell

ペンティオ サポート担当者
  • 作成日
  • 更新日

事前に、Microsoft 365のWS-Federation連携を始める前に をご参照ください。

本記事では、OneLogin から Microsoft 365（旧Office 365）へのWS-Federation（WS-Fed）シングルサインオン（SSO）の設定手順と、そのセットアップに必要なImmutableIDをWindows PowerShellを用いて手動で設定する方法をご案内します。また、Microsoft Entra ID（旧：Azure AD）のみのご利用を希望されるお客様も、SSO連携の設定はMicrosoft 365として設定を行う必要があるため、本記事をご参照ください。

 

目次

前提条件

注意事項

WS-Fed フェデレーションの設定

1. Microsoft 365側の設定

2. OneLogin側の設定（前半）

3. Windows PowerShellを用いたImmutableIDの設定

4. OneLoginの設定（後半）

WS-Fed SSOの動作確認

WS-Fed フェデレーションの設定後のユーザー追加

WS-Fed フェデレーションの解除

 

前提条件

  • OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
  • OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
  • Microsoft 365における グローバル管理者権限 をお持ちであること
  • Microsoft 365に関して、WS-Federation連携したいドメイン以外の他のドメインにもグローバル管理者権限を持つアカウントが存在すること
  • 下記OSの64bit版のWindows PowerShellを用意できること
    • Windows 11/10
    • Windows Server 2022 / 2019 / 2016 / 2012 R2

注意事項

  • OneLoginの不具合など何らかの原因で、Microsoft 365にSSOできなくなった場合にMicrosoft 365を使用できなくなることを防ぐために、WS-Federation連携したいドメイン以外の他のドメインにもグローバル管理者アカウントを作成しておく必要があります（参考: 1. Microsoft 365側の設定 手順4）
  • Microsoft Office 365, Microsoft 365, Microsoft Entra IDにシングルサインオンを行う方は「Office 365 V2」コネクタを使用する必要があります
  • この記事で行うWS-Federation連携は、あらかじめOneLogin側とMicrosoft 365側の両方にユーザーが存在している必要があります

 

WS-Fed フェデレーションの設定

1. Microsoft 365側の設定

  1. Microsoft 365 管理センターにグローバル管理者でログインし、［すべて表示］をクリックします


     
  2. ［設定］をクリックします


     
  3. ［ドメイン］をクリックします


     
  4. WS-Federation連携をするドメイン（フェデレーションドメイン）が、以下の3点をクリアしていることを確認してください
    ①独自ドメインであること
    ②既定ドメインではないこと
    ③状態が「✅ 正常」であること


     
  5. ユーザー > アクティブなユーザー で、WS-Federation連携したいユーザーが存在すること、そしてそのユーザー名のドメインが、フェデレーションドメインであることを確認してください。フェデレーションドメインでなかった場合は、フェデレーションドメインに変更してください


     
  6. フェデレーションドメイン以外のグローバル管理者権限を持つユーザーを少なくとも1つ用意してください
    例）admin@onelogin.onmicrosoft.com
 

Microsoft 365側の設定は以上です。

 

2. OneLogin側の設定（前半）

  1. OneLoginに管理者でログインし、［管理］をクリックします
    OneLoginに管理者でログインし、管理をクリックします

     
  2. Applications メニューから［Applications］を選択します
    ApplicationsメニューからApplicationsを選択します

     
  3. ［Add App］をクリックします
    Add Appボタンをクリックします

     
  4. Office 365 V2 と検索し、該当コネクタを選択します
    _______.png

     
  5. ［Save］をクリックします
    _______.png

     
  6. 古いMicrosoft系列のソフトウェア（2013以前のOutlookやWord）やAzure AD Joinをご利用の方は、Configuration > Enable WS-Trust にチェックを入れてください
    WS-Trust.png

     
  7. Configuration タブに移動し、API Connection にMicrosoft 365のフェデレーションドメインを入力し、［Verify］をクリックします


     
  8. Office 365 V2(Azure Graph) OAuth の［Authenticate］をクリックします


     
  9. Office 365 V2 をクリックします
    Office365v2____1.png

     
  10. OneLoginによるAPI利用を許可するため、Microsoft 365にグローバル管理者でログインします


     
  11. OneLoginによるAPI利用範囲が表示されるので、内容を確認して［承諾］をクリックします


     
  12. ［Clear Token］に変化したことを確認します


     
  13. Office 365 V2(Microsoft Graph) OAuth の［Authenticate］をクリックします


     
  14. Office 365 V2 をクリックします
    Office365v2____2.png

     
  15. OneLoginによるAPI利用範囲が表示されるので、内容を確認して［承諾］をクリックします


     
  16. ［Clear Token］に変化したことを確認します


     
  17. Parameters タブに移動し、ImmutableID フィールドを選択します
    ImmutableId____.png

     
  18. Value を Email に変更し、［Save］をクリックします
    Email___.png

     
  19. Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
    _____.png

     
  20. （オプション）上記作業によりロールが付与されたエンドユーザーのOneLoginポータル画面には Microsoft 365 アイコンが表示されます。まだログインできない状態で表示させたくない場合には、一旦下記のように Info タブ > Visible in portal のトグルをクリックして緑色から赤色に変更して再度［Save］して保存することをお勧めいたします
    2023-08-31_11h56_13.png

 

3. Windows PowerShellを用いたImmutableIDの設定

割り当てたロールに含まれるユーザーと、フェデレーションドメインに所属するMicrosoft 365側のユーザーが全員一致していることを再度確認してください。

  • Microsoft Graphモジュールのインストールと接続

    1. Windows PowerShellを管理者として実行します


       
    2. Install-Module Microsoft.Graph -Scope CurrentUser -Repository PSGallery -Forceを実行し、Microsoft 365用のモジュールを読み込みます。インストールのスタートには、数分かかる場合がございますのでお待ちください


       
    3. インストールがスタートすると、下記のような表示となります


       
    4. インストールが完了したのち、Get-InstalledModule Microsoft.Graph を実行し、Microsoft Graphの最新版がインストールされていることを確認します


       
    5. Connect-MgGraph -Scopes "Directory.Read.All", "Domain.ReadWrite.All", "Directory.AccessAsUser.All" を実行し、Microsoft 365に接続します


       
    6. Microsoft 365のグローバル管理者の資格情報を求められますので、グローバル管理者のIDとパスワードを入力し、ログインします


       
    7. 正常にMicrosoft Graphに接続ができましたら、下記のメッセージが表示されます

 

  • WS-Federation連携をするユーザー数が少ない場合

    1. Immutable IDを設定するため、Update-MgUser -UserID {UPN} -OnPremisesImmutableId {ImmutableID} を実行します

      例）yamauchi@demo.pentio-dev.com というメールアドレスを持つ人物に、 yamauchi@demo.pentio-dev.com というImmutable IDを登録する場合: Update-MgUser -UserID yamauchi@demo.pentio-dev.com -OnPremisesImmutableId yamauchi@demo.pentio-dev.com

       

    2. Immutable IDが反映されていることを確認するため、Get-MgUser -UserID {UPN} -property OnPremisesImmutableId | select OnPremisesImmutableId を実行します
      *{UPN}は原則メールアドレスと同一です。
      例）Get-MgUser -UserID yamauchi@demo.pentio-dev.com -property OnPremisesImmutableId | select OnPremisesImmutableId

      コマンドの実行後、Immutable ID の値が表示されることを確認します
      OnPremisesImmutableId
      ---------------------
      yamauchi@demo.pentio-dev.com


       

    3. ここまでで、yamauchi@demo.pentio-dev.com というメールアドレスの人物のImmutable IDの登録は完了です。WS-Federation連携したいユーザーごとに、手順1から2までを繰り返します

 

  • WS-Federation連携をするユーザー数が多い場合（CSVファイルを使う）

    ここでは、検証検太, 検証検二, 検証検三 の3ユーザーのImmutable IDをCSVファイルを用いて一括登録します


     

    1. Microsoft 365側のWS-Federation連携したいユーザーの情報をまとめて取得するために、 $Datas = Get-MgUser -All | Where-Object {$_.UserPrincipalName.ToString() -Like "*{独自ドメイン}*"} を実行します

      *{独自ドメイン}には、フェデレーションドメインを入力してください。このコマンドは、Microsoft 365に登録されているユーザーの中で、ユーザー名にフェデレーションドメインを含むユーザーの情報を、まとめて $Datas いう変数に入れるという意味です。


       

    2. $Datas = $Datas | Select-Object UserPrincipalName を実行し、ユーザーのUserPrincipalNameの値だけを取得します


       
    3. $Datas | Export-Csv -path '{csvファイルを置きたいフォルダの絶対path}¥sample.csv' を実行し、UserPrincipalNameの値をCSVファイルに書き出します
      *sample の部分は、任意のファイル名で構いません。


       
    4. CSVファイルからImmutable IDを一括登録しないユーザーのUPNを削除し、保存します
      *同じドメインをもつ全てのユーザーのUPNがCSVファイルに書き出されます。
      例）検証検太, 検証検二, 検証検三, 山内太郎の4ユーザーのUPNが書き出されるので、CSVファイルからImmutable IDを一括登録しない山内太郎のUPNは削除します


       
    5. $Datas = Import-Csv -path '{csvファイルが置いてあるフォルダの絶対path}¥sample.csv' を実行し、CSVファイルを再度読み込みます


       
    6. foreach($Data in $Datas) {
         Update-MgUser -UserID $Data.UserPrincipalName -OnPremisesImmutableId $Data.UserPrincipalName
      } を実行し、Immutable IDを登録します


       

    7. foreach($Data in $Datas) {
         Get-MgUser -UserID $Data.UserPrincipalName -property OnPremisesImmutableId | select OnPremisesImmutableId
      } を実行し、Immutable IDが反映されていることを確認します


      コマンドの実行後、設定した Immutable ID の値が以下のように表示されることを確認します。
      OnPremisesImmutableId
      ---------------------
      kensho-kenji@demo.pentio-dev.com
      kensho-kenta@demo.pentio-dev.com
      kensho-kenzo@demo.pentio-dev.com

 

複数人のImmutable IDをまとめて登録する手順は以上です。

 

4. OneLogin側の設定（後半）

  1. SSO > Enable automatic SAML configuration: という赤いスイッチをクリックします
    ____on.png

     
  2. ［Got It. Continue］をクリックします
    continue.png

     
  3. 連携が完了したら［Next］をクリックします
    Next.png

     
  4. ［Got it. Thanks.］をクリックします


     
  5. 10~20秒後、スイッチが緑色になったのを確認したら、右上の［Save］をクリックします
    _____.png

     
  6. （オプション）さきほど 2. OneLogin側の設定（前半） 手順21 でポータル画面上アイコンを非表示（Visible in portalを赤色に変更）した場合は、シングルサインオン設定が完了しましたので、ここで Visible in portal を緑色に戻して再度［Save］します
    2023-08-31_11h55_59.png

 

WS-Fed フェデレーションの設定は以上です。

 

WS-Fed SSOの動作確認

  1. OneLoginに対象ユーザーでログインし、設定した Office 365 V2 を選択します


     
  2. ユーザー認証が完了し、Microsoft 365にSSOされることを確認します

 

WS-Fed SSOの動作確認は以上です。

 

WS-Fed フェデレーションの設定後のユーザー追加

続いてWS-Federation連携後のドメインにユーザーを追加したい場合の手順をご紹介します。ここでは例として、松本太郎さんというユーザーを追加します。

前提条件として松本太郎さんがOneLogin上でmatsumoto@demo.pentio-dev.comのアカウントを所持しているものとします。まず、登録したいユーザーがOneLoginに追加され、Office 365 V2コネクタが割り当てられていることを確認してください。

  • OneLogin Office 365 V2 コネクターのユーザー一覧

 

以下では、Microsoft 365のユーザー追加登録とImmutable IDの設定の手順をご紹介します。

  1. Windows PowerShellを管理者として実行します


     
  2. Connect-MgGraph -Scopes "Directory.Read.All", "Domain.ReadWrite.All", "Directory.AccessAsUser.All", "User.ReadWrite.All" を実行し、Microsoft 365に接続します


     
  3. $PasswordProfile = @{ Password = "{パスワード}"} を実行し、ユーザーを作成するために初期パスワードを設定します
    *新規作成するユーザーは、WS-Federation認証によるSSOでログインするため、パスワードを認知する必要はありません。


     

  4. New-MgUser -AccountEnabled -DisplayName "{表示名}" -MailNickname "{メールニックネーム}" -UserPrincipalName {UPN} -PasswordProfile $PasswordProfile -OnPremisesImmutableId {Oneloginに登録したメールアドレス} を実行し、ユーザーの追加登録とImmutable IDの設定を実行します

    例）松本太郎さんがOneLoginで matsumoto@demo.pentio-dev.com のアカウントを所持している場合: New-MgUser -AccountEnabled -DisplayName "松本 太郎" -MailNickname "matsumoto" -UserPrincipalName matsumoto@demo.pentio-dev.com -PasswordProfile $PasswordProfile -OnPremisesImmutableId matsumoto@demo.pentio-dev.com

     

  5. DisplayName と UserPrincipalName に設定が反映されていることを確認します


     

  6. Immutable IDが反映されていることを確認するため、Get-MgUser -UserID {Oneloginに登録したメールアドレス} -property OnPremisesImmutableId | select OnPremisesImmutableId を実行します

     例）新規作成した松本太郎さんのImmurtable  IDを確認する場合: Get-MgUser -UserID matsumoto@demo.pentio-dev.com -property OnPremisesImmutableId | select OnPremisesImmutableId


  7. Microsoft365 管理センターのユーザー一覧で、ユーザーが新規作成されていることを確認します


     
  8. OneLoginに追加したユーザーでログインし、設定した Office 365 V2 を選択します


     
  9. 正常にログインできたら、追加したユーザーのMicrosoft 365のWS-Federation連携は完了です

 

WS-Fed フェデレーションの解除

  1. OneLoginに管理者でログインし、［管理］をクリックします
    OneLoginに管理者でログインし、管理をクリックします

     
  2. Applications メニューから［Applications］を選択します
    ApplicationsメニューからApplicationsを選択します

     
  3. Office 365 V2 と検索し、設定したコネクタを選択します
    ______.png

     
  4. SSO > Enable automatic SAML configuration: を無効にします
    ______.png

     
  5. 確認画面が表示されるので、［Ok］をクリックします
    ok____.png

     
  6. スイッチが赤色になったのを確認し、［Save］をクリックします
    save.png

 

WS-Fed フェデレーションの解除は以上です。

関連記事

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません