タブアプリの SSO を有効にする

[アーティクル]
11/14/2023

Teams でシングルサインオン (SSO) を使用すると、アプリユーザーは Teams を使用してタブアプリにアクセスできるという利点があります。 Microsoft または Microsoft 365 アカウントを使用して Teams にログインすると、アプリユーザーは再びサインインしなくてもアプリを使用できます。アプリは、Microsoft Entra ID を介して付与されたアクセス権を持つ任意のデバイス上のアプリユーザーが利用できます。

このセクションで学習する内容は次のとおりです。

SSO ユーザーエクスペリエンス: Teams は、アプリユーザーに真の SSO エクスペリエンスを提供します。アプリユーザーは、もう一度サインインせずにアプリを使用できます。
実行時の Teams での SSO: タブアプリは、アプリユーザーの 1 回限りの認証と承認のために、実行時に Microsoft Entra ID と対話します。
タブアプリの SSO を有効にする: タブアプリで SSO を有効にするために関連するタスクを実装します。

Teams での SSO ユーザーエクスペリエンス

アプリユーザーは、個人用 Microsoft アカウントまたは Microsoft 365 アカウントを使用して Teams にサインインします。このアカウントを利用し、SSO を使用してアプリユーザーの認証と承認を行うことができます。

チームタブアプリの SSO ユーザーエクスペリエンスを示すスクリーンショット。

Teams は、アプリユーザーの ID を認証して保存します。
タブアプリは、Teams によって既に検証されているアプリユーザーの保存済み ID を使用します。
アプリユーザーは、ID を使用してタブアプリにアクセスするために Teams に同意する必要があります。
アプリユーザーは、Web、デスクトップ、またはモバイルクライアントでアプリにアクセスできます。

タブアプリで SSO を使用したユーザーエクスペリエンスの例を次に示します。

グラフィカルな表現は、タブアプリでの SSO のユーザーエクスペリエンスを示しています。

SSO を使用してユーザーエクスペリエンスを強化する

アプリユーザーが SSO エクスペリエンスで得られる内容を次に示します。

Teams は、Microsoft Entra ID から現在のアプリユーザーのアクセストークンを取得します。 Microsoft Entra ID とのこの操作は、アプリユーザーには表示されません。これは、Teams 環境を離れることなくアプリへのアクセス権を取得するために変換されます。
アプリユーザーは、マルチテナント環境でのみ同意する必要があります。アプリユーザーとアプリが同じテナントに存在する場合、アプリユーザーはアプリの使用に同意する必要はありません。
Teams に初めて同意した後、アプリユーザーは、他のデバイスでも、それ以上の同意の必要なくアプリを使用できます。このため、ユーザーエクスペリエンスが向上します。
- または、テナント管理者は、アプリユーザーに代わって同意を付与できます。このシナリオでは、テナント管理者がテナント内のアプリユーザーに同意する場合、アプリユーザーに同意を求めるメッセージをまったく表示する必要はありません。これは、アプリユーザーが同意ダイアログを表示せず、アプリにシームレスにアクセスできることを意味します。
アクセストークンは Teams によってプリフェッチされ、Teams 環境でのアプリのパフォーマンスと読み込み時間が向上します。
アプリユーザーは、Teams 環境でアプリにアクセスして使用するために、複数のパスワードを記憶または記録する必要はありません。

ここでは、Teams 内で SSO エクスペリエンスを実現するために、実行時にバックエンドで発生することに目を向けてみましょう。

Teams 実行時の SSO

ログインしている Teams アプリユーザーのアクセストークンを取得して、タブアプリで SSO を実現します。このプロセスには、タブアプリのクライアントとサーバー、Teams クライアント、Microsoft Entra ID が含まれます。この操作中、アプリユーザーは Teams ID を使用してマルチテナント環境でアクセストークンを取得することに同意する必要があります。

次の図は、Teams アプリユーザーがタブアプリにアクセスしようとした場合の SSO の機能を示しています。

#	操作	何が起こっているのでしょうか
1	タブアプリ → Teams クライアント	タブアプリは、アクセストークンを取得するように Teams に指示する `getAuthToken()` への JavaScript 呼び出しを行います。
2	Teams クライアント → Microsoft Entra ID	Teams は、Teams ID に基づいて、現在のアプリユーザーのアクセストークンに対して Microsoft Entra エンドポイントを要求します。
3	Microsoft Entra ID →同意フォーム	現在のアプリユーザーが初めてタブアプリを使用している場合、アプリが保護されたデータにアクセスする必要がある場合、Teams は同意を求める要求を表示します。アプリユーザー (または管理者) は、アプリユーザーの Teams ID を使用して Microsoft Entra ID からアクセストークンを取得するために Teams に同意する必要があります。または、2 要素認証などのステップアップ認証を要求する要求プロンプトが表示されます。
4	Teams クライアント→ Microsoft Entra ID	Microsoft Entra ID は、アクセストークンを Teams クライアントに送信します。トークンは JSON Web トークン (JWT) であり、その検証は、ほとんどの標準 OAuth フローでのトークン検証と同様に機能します。 Teams はユーザーの代わりにトークンをキャッシュし、`getAuthToken()` への今後の呼び出しが、キャッシュされたトークンを返すようにします。
5	Teams クライアント → タブアプリクライアント	`getAuthToken()` の呼び出しによって返される結果オブジェクトの一部として、Teams ではタブアプリにアクセストークンを送信します。
6	タブアプリ (クライアントとサーバーの間)	タブアプリは JavaScript を使用してアクセストークンで解析され、アプリユーザーのメールアドレスなどの必要な情報を抽出します。タブアプリに返されるトークンは、アクセストークンと ID トークンの両方です。

詳細については、「タブアプリで SSO を有効にするコードを追加する」と「ボットアプリで SSO を有効にするコードを追加する」を参照してください。

重要

getAuthToken() は、メール、プロファイル、offline_access、OpenId など、ユーザーレベルの API の限定された組み合わせに同意する場合にのみ有効です。 User.Read や Mail.Read など、その他の Graph スコープには使用されません。推奨される回避策については、「Microsoft Graph のアクセス許可を使用してアプリを拡張する」を参照してください。
getAuthTokenは、Microsoft Entra アカウントではなく、匿名ユーザーに対して失敗します。

タブは Teams 対応 Web ページです。タブアプリ内でホストされている Web ページで SSO を有効にするには、 Teams JavaScript クライアントライブラリを追加し、 microsoftTeams.initialize()を呼び出します。初期化したら、アプリのアクセストークンを取得するために microsoftTeams.getAuthToken() を呼び出します。

SSO を有効にするためのユースケース

Microsoft Entra ID を ID プロバイダーとしてサポートするすべてのアプリに対して、Teams で SSO を有効にすることができます。タブアプリでアプリユーザーを認証するために SSO を使用するだけでなく、それを使用して Teams 間でシームレスなアクセスを有効にすることもできます。

SSO API を使用してアプリユーザーを認証できるシナリオは次のとおりです。

Teams タブアプリ内でアプリユーザーを認証する場合、SSO API を使用すると、アプリユーザーは追加の認証の必要なく Teams でアプリを使用できます。アプリユーザーの Teams ID に基づいて、Microsoft Entra ID からアクセストークンを取得できます。
アプリがボット、タブ、メッセージ拡張機能、またはアダプティブカード内からダイアログ (TeamsJS v1.x のタスクモジュールと呼ばれます) を使用している場合は、SSO API を使用してアプリユーザーを認証できます。
また、SSO API を使用して、Stageview にアクセスするアプリユーザーを認証することもできます。もう一度検証する必要はありません。

ヒント

また、SSO API を使用して、Web コンテンツを埋め込むダイアログでアプリユーザーを認証することもできます。

実行時に SSO を実現するには、アプリユーザーを認証して承認するための SSO を有効にするようにアプリを構成します。

Teams タブアプリの SSO を有効にする

このセクションでは、Teams アプリの SSO の実装に関連するタスクについて説明します。これらのタスクは、言語とフレームワークに依存していません。

Teams タブアプリの SSO を有効にするには:

Microsoft Entra ID を使用してアプリを構成する: アプリ ID とアプリケーション ID URI を生成する Microsoft Entra アプリを作成します。アクセストークンを生成するには、スコープを構成し、信頼されたクライアントアプリケーションを承認します。
コードの追加: アクセストークンを処理するコードを追加し、承認ヘッダーでアプリのサーバーコードにこのトークンを送信し、アクセストークンが受信されたときに検証します。
Teams アプリマニフェストを更新する: Teams クライアントアプリマニフェストを、Microsoft Entra ID で生成されたアプリ ID とアプリケーション ID URI で更新し、Teams がアプリの代わりにアクセストークンを要求できるようにします。

iOS のサードパーティ Cookie

iOS 14 を更新すると、Apple は既定ですべてのアプリのサードパーティ Cookie のアクセスをブロックしました。そのため、チャネルタブまたはチャットタブと個人用アプリで認証にサードパーティの Cookie を使用するアプリは、Teams iOS クライアントで認証ワークフローを完了できません。プライバシーとセキュリティの要件に準拠するには、トークンベースのシステムに移行するか、ユーザー認証ワークフローにファーストパーティ Cookie を使用する必要があります。

Teams モバイルクライアントのサポート

Teams モバイルの場合、SSO をサポートするクライアントバージョンは次のとおりです。

Teams for Android (1416/1.0.0.2020073101 以降)
Teams for iOS (バージョン: 2.0.18 以降)
会議側パネルで SSO を機能させる Teams JavaScript ライブラリ (バージョン: 1.11 以降)

Teams を最適なパフォーマンスでご利用いただくために、最新バージョンの iOS および Android を使用してください。

ステップバイステップのガイド

Teams アプリの SSO を有効にするには、次のステップバイステップガイドを使用します。

ベストプラクティス

以下がベストプラクティスの一覧です。

必要な場合にのみアクセストークンを呼び出す: アクセストークンが必要な場合にのみ getAuthToken() を呼び出します。アプリユーザーがタブアプリにアクセスするとき、またはアプリユーザーの検証が必要な特定の関数を使用するときに呼び出すことができます。
クライアント側のコードにアクセストークンを格納しない: アプリのクライアント側のコードにアクセストークンをキャッシュしたり格納したりしないでください。 Teams クライアントはアクセストークンをキャッシュします (または、有効期限が切れた場合は新しいトークンを要求します)。これにより、Web アプリからトークンが偶発的に漏えいすることはありません。
Microsoft Graph 呼び出しにサーバー側コードを使用する: 常にサーバー側のコードを使用して、Microsoft Graph 呼び出し、またはアクセストークンを渡す必要があるその他の呼び出しを行います。クライアントから Microsoft Graph への直接呼び出しを有効にするために、クライアントに OBO トークンを返しません。これにより、トークンが傍受またはリークされないように保護できます。詳細については、「Microsoft Graph のアクセス許可とスコープを使用してタブアプリを拡張する」を参照してください。

既知の制限

Teams の SSO では、OAuth 2.0 トークンのみがサポートされます。 SAML トークンはサポートされていません。
アプリごとに複数のドメインはサポートされていません。詳細については、「組織用に構築されたカスタムアプリ (LOB アプリ)」を参照してください。
リダイレクトは、iframe またはブローカーアプリではサポートされていません。リダイレクト API を使用する場合、またはポップアップ API (window.parent!==window) => trueを使用する場合は、ウィンドウの上部フレームで MSAL.js を使用していることを確認します。

次の手順

Microsoft Entra ID でタブアプリケーションを登録する

次の方法で共有

タブアプリの SSO を有効にする

Teams での SSO ユーザーエクスペリエンス

SSO を使用してユーザーエクスペリエンスを強化する

Teams 実行時の SSO

SSO を有効にするためのユースケース

Teams タブアプリの SSO を有効にする

iOS のサードパーティ Cookie

Teams モバイルクライアントのサポート

ステップバイステップのガイド

ベストプラクティス

既知の制限

次の手順

関連項目

その他のリソース

次の方法で共有

タブ アプリの SSO を有効にする

Teams での SSO ユーザー エクスペリエンス

SSO を使用してユーザー エクスペリエンスを強化する

Teams 実行時の SSO

SSO を有効にするためのユース ケース

Teams タブ アプリの SSO を有効にする

iOS のサードパーティ Cookie

Teams モバイル クライアントのサポート

ステップ バイ ステップのガイド

ベスト プラクティス

既知の制限

次の手順

関連項目

その他のリソース

タブアプリの SSO を有効にする

Teams での SSO ユーザーエクスペリエンス

SSO を使用してユーザーエクスペリエンスを強化する

SSO を有効にするためのユースケース

Teams タブアプリの SSO を有効にする

Teams モバイルクライアントのサポート

ステップバイステップのガイド

ベストプラクティス