Warehouse Management モバイル アプリのユーザーベースの認証方法
Warehouse Management モバイル アプリは、以下のタイプのユーザー ベース認証をサポートしています:
- デバイス コード フロー認証
- ユーザー名とパスワード認証
重要
サインインに使用されるすべての Microsoft Entra IDアカウントには、倉庫管理タスクを実行するために必要な最小限の権限のみが付与されている必要があります。 アクセス許可は、倉庫のモバイル デバイス ユーザー活動に限定する必要があります。 管理者アカウントを使用してデバイスにログインすることはできません。
デバイス、ID ユーザー、Microsoft Entra およびモバイル デバイス ユーザーを管理するためのシナリオ
セキュリティの目的のため、Warehouse Management モバイルアプリはアプリと Dynamics 365 Supply Chain Management 間の接続を認証するために Microsoft Entra ID を使用します。 さまざまなデバイスおよびユーザー用に Microsoft Entra IDユーザー アカウントを管理するための2つの基本的なシナリオがあります。各 Microsoft Entra IDユーザー アカウントは、固有のデバイスを表し、各 Microsoft Entra IDユーザーが一意の人事管理者を表す1つの基本的なシナリオがあります。 それぞれの場合において、各作業員は、倉庫管理モジュールに設定された 1 つの倉庫作業員記録と、各倉庫作業員レコードのための 1 つ以上のモバイル デバイス ユーザー アカウントを持ちます。 複数のモバイルデバイス ユーザー アカウントを持つ倉庫作業員アカウントでは、そのうちの 1 つを既定のモバイル デバイス ユーザー アカウントにすることが可能です。 次の 2 つのシナリオがあります:
- 各モバイル デバイスに1 Microsoft Entra IDユーザー アカウントを使用します : このシナリオでは、管理者は、Warehouse Managementモバイル アプリケーションを設定して、 アカウント コード フロー認証 ユーザー名/パスワード認証 ユーザー名/パスワード認証 接続から サプライ チェーン Microsoft Entra idのアカウントを介して サプライ チェーンmanagementに使用します。 (このシナリオでは、人間の作業者には Microsoft Entra ID ユーザー アカウントが必要ありません。) 次に、このアプリにサインイン ページが表示されます。人間の作業者はアプリケーションにサインインして、作業や作業の場所で適用されるその他のレコードにアクセスできます。 作業者は、倉庫作業者レコードに割り当てられているモバイル デバイス ユーザー アカウントのユーザー ID とパスワードを使用してサインインします。 人間の作業者は常にユーザー ID を入力する必要があるため、モバイル デバイス ユーザー アカウントのいずれかが倉庫作業者レコードの既定のアカウントとして設定されているかどうかは関係ありません。 人間の作業者がサインアウトすると、アプリでは Supply Chain Management との認証を維持しますが、サインイン ページが再度表示されるので、次の人間の作業員はモバイル デバイスのユーザー アカウントを使ってサインインすることができます。
- 各作業員に1 Microsoft Entra IDユーザー アカウントを使用します : このシナリオでは、各ユーザーに Microsoft Entra IDのユーザー アカウントが サプライ チェーンManagementで倉庫作業員アカウントにリンクされています。 したがって、倉庫作業者アカウントに対して既定のユーザー ID が設定されている場合は、人間の作業者が、Supply Chain Management でアプリを認証し、アプリにサインインする必要がある場合は、Microsoft Entra ID ユーザーのサインインで十分です。 このシナリオはシングル サイン オン (SSO) にも対応しています。これは、同じ Microsoft Entra ID セッションを、作業者が Microsoft Entra IDユーザー アカウントからサインアウトするまで、デバイス上の他のアプリ (Microsoft Teams や Outlook など) で共有できるためです。
デバイス コード フロー認証
デバイス コード認証を使用する場合、Warehouse Management モバイル アプリは一意のデバイス コードを生成して表示します。 次に、デバイスを設定する管理者は、デバイス自体を表す Microsoft Entra ID ユーザー アカウントまたはログインするユーザー (システムのシステムの実装方法に応じて) の資格情報 (名前とパスワード) と共に、このデバイス コードをオンライン フォームに入力する必要があります。 場合によっては、ユーザー Microsoft Entra ID アカウントの構成方法に応じて、管理者がサインインを承認する必要があります。 モバイル アプリには、固有のデバイス コードに加えて、管理者がコードを入力する必要がある URL と Microsoft Entra IDユーザーアカウントの認証情報が表示されます。
デバイス コード認証はユーザーが証明書やクライアント シークレットを管理する必要がないので、認証プロセスが簡略化します。 ただし、追加の要件と制限がいくつか追加されています。
- デバイスまたは作業者ごとに固有の Microsoft Entra ID ユーザー アカウントを作成する必要があります。 さらに、これらのアカウント は、倉庫のモバイル デバイス ユーザー活動のみを実行できるよう、厳密に制限する必要があります。
- ワーカーが倉庫管理モバイル アプリケーションを使用してログインすると、生成されたデバイス コードが表示されます。 このコードの期限は15分後に期限切れになった後、アプリケーションによって非表示になります。 コードの有効期限が切れると、サインインが完了する前に、作業者はアプリケーションで新しい 接続 を選択することで新しいコードを生成する必要があります。
- デバイスが 90 日間アイドル状態のままである場合 は、自動的にサイン アウトされます。
- デバイス コード フロー認証をモバイル 大量配置 (GOなど) システム (Intuneなど) と組み合わせて使用してWarehouse Managementモバイル アプリケーションを配布する場合、シングル サインイン (複数) はサポートされていません。 それでも、複数のアプリケーションを各モバイル デバイスに配信し、デバイス コードを使用して接続を設定するa
connections.jsonファイルを配信する場合でも、複数のシステムを使用することができます。 唯一の違いは、作業者がアプリケーションの使用を開始するときに手動でログインする必要がある点です。 このチェック 手順必要となるのは1回のみです)。
ユーザー名とパスワード認証
ユーザー名/パスワード認証を使用する場合、各人間の作業者は、デバイスまたは自分自身 (使用する認証シナリオによる) に関連付けられた Microsoft Entra ID のユーザー名とパスワードを入力する必要があります。 また、倉庫作業者レコードの設定によっては、モバイル デバイスのユーザーア カウント ID とパスワードを入力する必要があります。 この認証方法では、 オン (何も含む) をサポートしています。これにより、モバイル大量配置 (どちらの場合でも、
アプリケーションのインストールID Microsoft Entra 登録 (オプション)
Warehouse Managementモバイル アプリケーションは、 Microsoft Entra IDアプリケーションを使用して認証を行接続管理サプライ チェーン認証環境。 Microsoftによって提供および管理されるグローバル アプリケーションを使用するか、このセクションの手順に従って独自の Microsoft Entra IDで登録することができます。
重要
ほとんどの場合は、設定、使用、および管理が容易なので、グローバル Microsoft Entra IDアプリケーションを使用することをお勧めします。 (詳細については、「」を参照してください 倉庫管理モバイル アプリケーションをインストールします)。この場合、このセクションは省略できます。 ただし、グローバル アプリケーションが満たしない特定の要件 (いくつかのオンサイト環境の要件など) がある場合は、ここで説明するように独自のアプリケーションを登録できます。
次の手順では、アプリケーションをIDに登録する1 Microsoft Entra します。 詳細および代替方法については、手順の後のリンクを使用します。
Web ブラウザーで、https://portal.azure.com に移動します。
Azure のサブスクリプションにアクセス可能なユーザー名とパスワードを入力します。
Azure ポータル左側のナビゲーション ウィンドウで、Microsoft Entra ID を選択します。
Supply Chain Management が使用する Microsoft Entra ID のインスタンスで作業をしていることを確認してください。
管理の一覧で、アプリの登録を選択します。
ツールバーの 新規登録を選択して、アプリケーションの登録ウィザードを開きます。
アプリケーションの名前を入力し、この組織ディレクトリ内のアカウントのみ オプションを選択し、続いて登録を選択します。
新しいアプリの登録が開きます。 後の手順で必要となるため、アプリケーション (クライアント) ID の値をメモしておきます。 この ID はこの記事の後半で、クライアント ID として参照されます。
管理 リストで、認証 を選択します。
新しいアプリの認証ページで、モバイルおよびデスクトップ フローを有効にする オプションを はい に設定して、アプリケーション用のデバイス コード フローを有効にします。 その後、保存を選択します。
プラットフォームの追加を選択します。
プラットフォームの構成 ダイアログ ボックスで、モバイル アプリケーションとデスクトップ アプリケーション を選択します。
デスクトップ + デバイスの構成 ダイアログ ボックスで、カスタム リダイレクト URI フィールドを次の値に設定します:
ms-appx-web://microsoft.aad.brokerplugin/S-1-15-2-3857744515-191373067-2574334635-916324744-1634607484-364543842-2321633333構成 を選択して設定を保存し、ダイアログ ボックスを閉じます。
認証 ページに戻ります。新しいプラットフォーム コンフィギュレーションが表示されます。 プラットフォームの追加を再度選択します。
プラットフォームの構成 ダイアログ ボックスで、Android を選択します。
Android アプリの構成 ダイアログ ボックスで、次のフィールドを設定します。
[梱包名 : 次の値を入力します。
com.microsoft.warehousemanagement署名のハッシュ : 次の値を入力します。
hpavxC1xAIAr5u39m1waWrUbsO8=
構成 を選択して設定を保存し、ダイアログ ボックスを閉じます。 次に完了を選択して認証 ページに戻ります。新しいプラットフォーム コンフィギュレーションが表示されます。
プラットフォームの追加を再度選択します。
プラットフォームの構成 ダイアログ ボックスで、iOS / macOS を選択します。
iOS または macOS アプリの構成 ダイアログ ボックスで、バンドル ID フィールドをcom.microsoft.WarehouseManagement に設定します。
構成 を選択して設定を保存し、ダイアログ ボックスを閉じます。 次に完了を選択して認証 ページに戻ります。新しいプラットフォーム コンフィギュレーションが表示されます。
詳細設定 セクションで、パブリック クライアント フローを許可 を はい に設定します。
管理 リストで、API アクセス許可 を選択します。
アクセス許可の追加 を選択します。
API アクセス許可の要求 ダイアログ ボックスの Microsoft API タブで、Dynamics ERP のボタンを クリックし、委任されたアクセス許可 タイルを選択 します。 CustomService で、CustomService.FullAccess のチェック ボックスをオンにします。 最後に、アクセス許可の追加 を選択して変更を保存します。
左のナビゲーション ウィンドウで、Microsoft Entra ID を選択します。
管理 リストにて、エンタープライズ アプリケーション を選択します。 次に、新しい管理リストですべてのアプリケーション タブを選択します。
検索フォームで、この手順で先にアプリケーションに対して入力した名前を入力します。 見つかったアプリの アプリケーション ID の値が、先にコピーしたクライアント ID と一致していた場合に確認します。 その後 名前 列のリンクで、アプリのプロパティを開きます。
管理 リストで、プロパティ を選択します。
割り当てを必須 にしますか? オプションを はい にし、ユーザーに 表示? オプションを いいえ に設定します。 その後、ツール バーの 保存 を選択します。
管理 リストで、ユーザーとグループ を選択します。
ツール バーで、ユーザー/グループの追加 を選択します。
割り当ての追加 ページで、ユーザー ヘッダーの下のリンクを選択します。
ユーザー ダイアログ ボックスで、Supply Chain Management デバイスを認証するために使用する各ユーザーを選択します。
選択を選択して設定を適用し、ダイアログ ボックスを閉じます。 次に、割り当てるを選択して設定を適用し、割り当ての追加ページを閉じます。
セキュリティ リストで、アクセス許可 を選択します。
<ご利用のテナント>に対して管理者の同意を付与するを選択し、ユーザーに代わって管理者の同意を付与します。 必要な権限がない場合は、管理リストに戻り、プロパティを開き、割り当てが必要ですかオプションを False に設定します。 その後、各ユーザーは個別に同意できます。
アプリケーションを Microsoft Entra IDに登録する方法の詳細については、次のリソースを参照してください。
Windows PowerShellを使用してアプリケーションをin Microsoft Entra IDに登録する方法については、「方法 方法 : Azure PowerShellを使用して証明書を持つサービス 主校を作成する方法」を参照してください。
アプリケーションを手動で登録する方法の詳細については Microsoft Entra ID、次の記事を参照してください。
Supply Chain Management で従業員、ユーザー、および倉庫作業者のレコードを設定する
作業者がモバイル アプリを使用してサインインを開始するには、Azure でエンタープライズ アプリケーションに割り当てた各 Microsoft Entra ID アカウントに、Supply Chain Management の対応する従業員レコード、ユーザー レコード、および倉庫作業者レコードが必要です。 これらのレコードの設定方法の詳細については、モバイル デバイスのユーザー アカウントを参照してください。
シングル サインオン
シングル サインイン (SSO) を使用するには、Warehouse Management モバイル アプリのバージョン (2.1.23.0 以降) を実行している必要があります。
SSO を使用すると、ユーザーはパスワードを入力せずにログインできます。 これは、Intune会社ポータル (Android それ以外)、Microsoft認証 (Android および iOS)、またはデバイス上の他のアプリケーションの資格情報を再利用することで動作します。
メモ
SSO では、username/password 認証を使用する必要があります。
次のいずれかの手順を追従する、接続の構成方法に応じて、次のいずれかの手順を実行します。
- Warehouse Management モバイル アプリで接続を手動で構成する場合、モバイル アプリの接続の編集ページでブローカー認証オプションを有効にする必要があります。
- JavaScript Object Notation (JSON) ファイルまたは QR コードを使用して接続を構成する場合、JSON ファイルまたは QR コードに
"UseBroker": trueを含める必要があります。
重要
- モバイル一括展開 (MDM) を使用するには、SSO を有効にする必要があります。
- Warehouse Management モバイル アプリは、共有デバイス モードをサポートしていません。
ユーザーベースの認証を使用するデバイスのアクセスの削除
デバイスが紛失したりセキュリティが侵害された場合、デバイスの Supply Chain Management へのアクセスする能力を削除する必要があります。 デバイス コード フローを Microsoft Entra ID を使用してデバイスが認証された場合、失われたりセキュリティが失われたり危険にさらされた場合、そのデバイスのアクセスを失効するために、関連するユーザー アカウントを無効化する必要があります。 Microsoft Entra ID でユーザー アカウントを無効にすることで、 そのユーザー アカウントに関連付けられているデバイス コードを使用するデバイスのすべてのアクセスが実質的に失効します。 このため、デバイスごとに 1 人の Microsoft Entra ID ユーザー アカウントを使用することをお勧めします。
次の手順に従い、Microsoft Entra ID のユーザー アカウントを無効化します。
- Azure ポータルにサインインします。
- 左側のナビゲーション ウィンドウで、Microsoft Entra ID を選択し、正しいディレクトリにいることを確認してください。
- 管理 リストで、ユーザー を選択します。
- デバイス コードに関連付けられているユーザー アカウントを検索し、名前を選択してユーザーのプロファイルを開きます。
- ツール バーで、セッションの失効 を選択 してユーザー アカウントのセッションを失効します。
注記
認証システムの設定方法によっては、ユーザー アカウントのパスワードを変更したり、ユーザー アカウントを完全に無効にすることもできます。