センサー コンソールのシングル サインオンを設定する

この記事では、Microsoft Entra ID を使用して Defender for IoT センサー コンソールのシングル サインオン (SSO) を設定する方法について説明します。 SSO を使用すると、組織のユーザーはセンサー コンソールにサインインするだけで、異なるセンサーやサイトで複数のログイン資格情報が必要になりません。

Microsoft Entra ID を使用することで、オンボード プロセスとオフボード プロセスが簡素化され、管理オーバーヘッドが軽減され、組織全体で一貫したアクセスの制御が確保されます。

Note

SSO を使用したサインインは現在プレビュー段階です。 Microsoft Azure プレビューの追加使用条件には、ベータ版、プレビュー版、またはその他のまだ一般提供されていない Azure 機能に適用される他の法律条項が含まれています。

前提条件

作業を開始する前に、次のことを行います。

• オンプレミスの Active Directory を Microsoft Entra ID と同期します。
• ファイアウォール、プロキシ サーバーなどへの送信許可ルールを追加します。 [サイトとセンサー] ページから必要なエンドポイントの一覧にアクセスできます。
• SSO 承認に使用する既存の Microsoft Entra ID ユーザー グループがない場合は、組織の ID マネージャーと協力して関連するユーザー グループを作成してください。
• 次のアクセス許可があることを確認します。
  • Microsoft Entra ID のメンバー ユーザー。
  • Defender for IoT サブスクリプションに対する管理者、共同作成者、またはセキュリティ管理者のアクセス許可。
• 各ユーザーが名、姓、およびユーザー プリンシパル名を持っていることを確認します。
• 必要に応じて、多要素認証 (MFA) を設定します。

Microsoft Entra ID でアプリケーション ID を作成する

​

1. Azure portal で、Microsoft Entra ID を開きます。

2. [追加]>[アプリの登録] を選択します。

   

3. [アプリケーションの登録] ページで、次のようにします。

   • [名前] に、アプリケーションの名前を入力します。
   • [サポートされているアカウントの種類] で、[Accounts in this organizational directory only (Microsoft only - Single tenant)]\(この組織のディレクトリ内のアカウントのみ (Microsoft のみ - 単一テナント)\) を選択します。
   • [リダイレクト URI] で、SSO を有効にする最初のセンサーの IP またはホスト名を追加します。 次の手順「センサー URI を追加する」では、他のセンサーの URI を引き続き追加します。

   Note

   SSO を機能させるには、この段階で URI を追加する必要があります。

   

4. 登録 を選択します。 Microsoft Entra ID に、新しく登録されたアプリケーションが表示されます。

センサー URI を追加する

​

1. 新しいアプリケーションで、[認証] を選択します。

2. [リダイレクト URI] で、前の手順で追加した最初のセンサーの URI が [リダイレクト URI] の下に表示されます。 残りの URI を追加するには:

   1. [URI の追加] を選択して別の行を追加し、IP またはホスト名を入力します。

   2. 接続されている他のセンサーに対して、この手順を繰り返します。

      Microsoft Entra ID によって URI が正常に追加されると、"リダイレクト URI は、PKCE での承認コード フローの対象となります" というメッセージが表示されます。

      

3. [保存] を選択します。

アプリケーションへのアクセスを許可する

1. 新しいアプリケーションで、[API のアクセス許可] を選択します。

2. [アクセス許可の追加] の横にある [<ディレクトリ名> に管理者の同意を与えます] を選択します。

   

SSO 構成の作成

1. Azure portal の Defender for IoT で、[サイトとセンサー]>[Sensor settings]\(センサーの設定\) を選びます。

2. [Sensor settings]\(センサーの設定\) ページで、[+ 追加] を選択します。 [基本] タブを次のように設定します。

   1. サブスクリプションを選択します。

   2. [種類] の横にある [シングル サインオン] を選択します。

   3. [名前] の横に、関連するサイトの名前を入力し、[次へ] を選択します。

      

3. [設定] タブで、次のようにします。

   1. [アプリケーション名] の横にある Microsoft Entra ID で作成したアプリケーションの ID を選択します。

   2. [アクセス許可の管理] で、管理者、セキュリティ アナリスト、読み取り専用のアクセス許可を関連するユーザー グループに割り当てます。 複数のユーザー グループを選択できます。

      

   3. [次へ] を選択します。

   Note

   指定したエンドポイントのファイアウォール/プロキシに許可規則が追加されていることを確認します。 [サイトとセンサー] ページから必要なエンドポイントの一覧にアクセスできます。

4. [適用] タブで、関連するサイトを選択します。

   

   必要に応じて、[Add selection by specific zone/sensor]\(特定のゾーン/センサーによる選択の追加\) をオンに切り替えて、特定のゾーンとセンサーに設定を適用できます。

5. [次へ] を選択し、構成を確認して、[作成] を選択します。

SSO を使用してサインインします。

SSO を使用してサインインをテストするには:

1. Azure portal で Defender for IoT を開き、[SSO Sign-in]\(SSO サインイン\) を選択します。

   

2. 最初のサインインでは、[サインイン] ページで、個人の資格情報 (職場のメールとパスワード) を入力します。

   

Defender for IoT の [概要] ページが表示されます。 ​ ​

次のステップ

詳細については、次を参照してください。

• Defender for IoT での OT および Enterprise IoT 監視のための Azure ユーザー ロール
• OT 監視のためのオンプレミス ユーザーの作成と管理
• Defender for IoT を使用した OT 監視のためのオンプレミスのユーザーとロール