Azure AD と Elastic Desktop Service 間の SSO を設定する方法 - Elastic Desktop Service

このトピックでは、Azure Active Directory (Azure AD) と Elastic Desktop Service 間のシングルサインオン (SSO) を設定する方法について説明します。SSO を設定すると、エンドユーザーは Azure AD の認証情報を使用してクラウドコンピューターにサインインできるようになり、安全で統一されたサインイン管理が実現します。

背景情報

シングルサインオン (SSO) は、一度のサインオンで複数の信頼できるアプリケーションシステムに効率的にアクセスできる、安全な通信技術です。SSO は ID フェデレーションに基づいてログインを実装します。

SSO のシナリオでは、以下の用語がよく使用されます。

ID プロバイダー (IdP)：外部の ID プロバイダーのメタデータを含むエンティティです。IdP はアイデンティティ管理サービスを提供し、ユーザー名やパスワードなどのユーザー ID 情報を収集・保存し、ユーザーのログイン時にユーザー ID を検証します。

一般的な IdP：
- オンプレミス IdP：Microsoft Active Directory Federation Service (AD FS) や Shibboleth などのオンプレミスアーキテクチャを使用します。
- クラウド IdP：Azure AD、Google Workspace、Okta、OneLogin など。

サービスプロバイダ (SP)：IdP との信頼関係に基づき、IdP のアイデンティティ管理機能を利用してユーザーに特定のサービスを提供するアプリケーションです。OpenID Connect (OIDC) のように、Security Assertion Markup Language (SAML) プロトコルに準拠しない特定の ID システムでは、SP は IdP の依拠当事者となります。
SAML 2.0：企業向けのユーザー ID 認証の標準プロトコルです。SP と IdP 間の通信における技術的実装の一つです。SAML は、企業が SSO を実装するために使用するデファクトスタンダードです。

操作手順

Azure AD を使用してユーザーアカウントを管理している場合、Elastic Desktop Service の簡便アカウントと Azure AD ユーザー間で SSO を設定できます。このシナリオでは、Elastic Desktop Service がサービスプロバイダ (SP) として、Azure AD が ID プロバイダー (IdP) として機能します。SAML プロトコルに基づいてメタデータファイルを交換し、SSO を有効にします。SSO の設定後、ユーザーは Azure AD の認証情報を使用して、安全にクラウドコンピューターに接続できます。

ステップ 1：Elastic Desktop Service でのアカウント作成

クラウドコンピューターを使用する Azure AD ユーザーのために、Elastic Desktop Service コンソールで、Azure AD のユーザー名と一致するユーザー名を持つ簡便アカウントを作成します。

簡便アカウントは、Manual Entry タブまたは Batch Entry タブでユーザー情報を入力して作成できます。少数のユーザーの場合は Manual Entry タブを、多数のユーザーの場合は Batch Entry タブを使用します。

重要

ユーザー情報を入力する際、簡便アカウントのユーザー名は対応する Azure AD のユーザー名と一致させる必要があります。この照合では大文字と小文字は区別されません。

Batch Entry タブでユーザーを追加する前に、簡便アカウントのフォーマット要件を満たす CSV ファイルを準備します。

Azure AD からユーザー情報を含む CSV ファイルをダウンロードします。
1. Azure AD コンソールにサインインします。
2. 左側のナビゲーションウィンドウで、[ユーザー] をクリックします。
3. [すべてのユーザー (プレビュー)] ページで、ユーザー情報が要件を満たしていることを確認します。
  Elastic Desktop Service の簡便アカウントのユーザー名は、フォーマット要件を満たす必要があります。準拠していないユーザー名は変更する必要があります。変更しない場合、対応する簡便アカウントを作成できません。
  簡便アカウントのユーザー名のフォーマット要件は次のとおりです。
  - 長さは 3～24 文字である必要があります。
  - 小文字、数字、および次の特殊文字を含めることができます：ハイフン (-)、アンダースコア (_)、ピリオド (.)。
  - 小文字で始まる必要があります。数字や特殊文字で始めることはできません。
4. ページ上部の [一括操作] をクリックし、[ユーザーのダウンロード] を選択します。
5. 画面の指示に従ってダウンロードを完了します。
スプレッドシートアプリケーションを使用して、ダウンロードした CSV ファイルを開きます。簡便アカウントのインポートフォーマット要件に合わせてユーザー情報を調整し、ファイルを CSV 形式で保存します。
説明
ユーザー情報を調整する際は、次の点にご注意ください。
- インポートファイルの必須フォーマットは次のとおりです。
  - ユーザーがアクティベートする簡便アカウントの場合：1 列目はユーザー名 (必須)、2 列目はメールアドレス (必須)、3 列目は電話番号 (任意) です。
  - 管理者がアクティベートする簡便アカウントの場合：1 列目はユーザー名 (必須)、2 列目はメールアドレス (任意)、3 列目は電話番号 (任意)、4 列目はパスワード (必須) です。
- Azure AD からダウンロードした CSV ファイルでは、userPrincipalName 列は username@domain 形式を使用します。プレフィックスを簡便アカウントのユーザー名として抽出できます。userPrincipalName がユーザーの実際のメールアドレスでもある場合は、この列を簡便アカウントのメールアドレスとして使用できます。実際のメールアドレスが異なる場合は、手動で入力する必要があります。

CSV ファイルの準備が完了したら、Elastic Desktop Service コンソールの Batch Entry タブで簡便アカウントを作成します。詳細については、「簡便アカウントの作成」をご参照ください。

重要

簡便アカウントを作成した後、クラウドコンピューターを割り当てる必要があります。詳細については、「簡便アカウントの管理」をご参照ください。

ステップ 2：アプリケーションの作成とユーザーの割り当て

Azure AD で Elastic Desktop Service 用のアプリケーションを作成し、Elastic Desktop Service を使用する Azure AD ユーザーをそのアプリケーションに割り当てます。手順は次のとおりです。

Azure AD コンソールの左側のナビゲーションウィンドウで、[エンタープライズアプリケーション] をクリックします。
[すべてのアプリケーション] ページで、[新しいアプリケーション] をクリックします。
上部のメニューバーで、[独自のアプリケーションの作成] をクリックします。
表示されるパネルで、アプリケーションの名前を入力し、[ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)] を選択して、[作成] をクリックします。
ページを更新し、新しく作成したアプリケーションの名前をクリックします。
アプリケーション詳細ページの左側のナビゲーションウィンドウで、[ユーザーとグループ] をクリックし、[ユーザー/グループの追加] をクリックします。
表示される [割り当ての追加] ページでユーザーを選択し、[割り当て] をクリックします。

ステップ 3：信頼できる SP としての Elastic Desktop Service の設定

Elastic Desktop Service が提供するメタデータファイルを Azure AD にアップロードして、Elastic Desktop Service を信頼できる SAML サービスプロバイダ (SP) として設定できます。手順は次のとおりです。

Elastic Desktop Service コンソールから SP メタデータファイルを取得します。
1. Elastic Desktop Service エンタープライズコンソールにログインします。
2. 左側のナビゲーションウィンドウで、ネットワークとストレージ > オフィスネットワークを選択します。
3. 上部のナビゲーションバーで、リージョンを選択します。
4. オフィスネットワークページで、SSO を有効にするオフィスネットワークを見つけ、オフィスネットワーク ID をクリックします。
5. ページ下部の詳細セクションで、Application Metadata を見つけ、Download Application Metadata File をクリックします。
  メタデータファイルが自動的にコンピューターにダウンロードされます。
Azure AD で Elastic Desktop Service アプリケーションのシングルサインオンを設定します。
1. Azure AD コンソールで、ステップ 2 で作成したアプリケーションを開きます。
2. アプリケーション詳細ページの左側のナビゲーションウィンドウで、[シングルサインオン] をクリックし、[SAML] を選択します。
3. [メタデータファイルのアップロード] をクリックします。
4. Elastic Desktop Service コンソールからダウンロードした SP メタデータファイルを選択し、[追加] をクリックします。
5. [基本的な SAML 構成] パネルで、識別子と応答 URL が正しいことを確認し、[保存] をクリックします。
  説明
  ローカルに保存した SP メタデータファイルを開いて、識別子と応答 URL を確認します。
  - [識別子 (エンティティ ID)]：<md:EntityDescriptor> タグの entityID の値に対応します。
  - [応答 URL (アサーションコンシューマーサービス URL)]：<md:AssertionConsumerService> タグの Location の値に対応します。
  重要
  SP メタデータファイルをアップロードした後に識別子と応答 URL が自動的に入力されない場合は、手動で入力してください。

ステップ 4：Elastic Desktop Service での信頼できる IdP の設定

Azure AD のメタデータファイルを Elastic Desktop Service コンソールにアップロードして、Elastic Desktop Service コンソールで Azure AD を信頼できる SAML IdP として設定できます。手順は次のとおりです。

Azure AD から IdP メタデータファイルを取得します。
1. Azure AD コンソールで、ステップ 2 で作成したアプリケーションを開きます。
2. アプリケーション詳細ページの左側のナビゲーションウィンドウで、[シングルサインオン] をクリックします。
3. [SAML 署名証明書] セクションで、[フェデレーションメタデータ XML] の横にある [ダウンロード] をクリックします。
Azure AD の IdP メタデータファイルを Elastic Desktop Service コンソールにアップロードします。
1. Elastic Desktop Service エンタープライズコンソールにログインします。
2. 左側のナビゲーションウィンドウで、ネットワークとストレージ > オフィスネットワークを選択します。
3. 上部のナビゲーションバーで、リージョンを選択します。
4. オフィスネットワークページで、SSO を有効にするオフィスネットワークを見つけ、オフィスネットワーク ID をクリックします。
5. ページ下部の詳細セクションで、SSO を有効にし、IdP メタデータファイルをアップロードします。
  - SSO：このスイッチをオンにして SSO を有効にします。
    この機能はデフォルトで無効になっています。このスイッチがオフの間、SSO 設定は無効です。
  - IdP Metadata: アップロード をクリックして IdP メタデータファイルをアップロードします。
    IdP Metadata のステータスが「完了」になると、エンタープライズ IdP が信頼できる SAML IdP として設定されたことを示します。

次のステップ

シングルサインオン (SSO) の設定後、エンドユーザーは ID プロバイダー (IdP) で認証することでクラウドコンピューターにアクセスできます。このトピックでは、Windows クライアントを例に、SSO を使用してクラウドコンピューターに接続する方法を説明します。

Windows クライアントを開きます。
[プロ版] ページで、オフィスネットワーク ID を入力します。
Azure AD のサインインページで、ご利用の Azure AD ユーザー情報を入力します。
クライアントへのサインインに成功すると、クラウドコンピューターの表示ページで対象のクラウドコンピューターカードを見つけ、[接続] をクリックします。

よくある質問

クライアントに 「認証に失敗しました。管理者に連絡して SSO 設定を確認してください」というメッセージが表示された場合は、SSO 設定が正しいか確認してください。
クライアントに 「内部エラーが発生しました。管理者に連絡してください」というメッセージが表示された場合は、Elastic Desktop Service に Azure AD ユーザーと一致するユーザー名を持つ簡便アカウントが存在することを確認してください。