ポータルの OpenID Connect プロバイダーを Azure AD で構成する

[アーティクル]
03/15/2023

注意

2022 年 10 月 12 日より、Power Apps ポータルは Power Pages となります。詳細: Microsoft Power Pages の一般提供が開始されました (ブログ)
Power Apps ポータルのドキュメントは、近日中に Power Pages ドキュメントに移行、統合されます。

この記事では、 Azure Active Directory (Azure AD) とマルチテナント Azure AD のポータル用の OpenID Connect プロバイダーの構成について説明します。

注意

OpenID Connect のプロバイダーに使用するポータルは、Azure AD、マルチテナント Azure AD、Azure AD B2C のみに限定されるものではありません。 OpenID Connect の仕様に準拠した他のプロバイダを使用することができます。認証設定の変更がポータルに反映されるまで、数分かかる場合があります。変更をすぐに反映したい場合は、ポータルアクションを使用してポータルを再起動してください。

暗黙的な許可フローを使用して OpenID Connect プロバイダとして Azure AD を設定する

ポータルでプロバイダーを追加するを選択します。
ログインプロバイダーにその他を選択します。
OpenID Connect にプロトコルを選択します。
プロバイダーの名前を入力します。
次へを選択します。
この手順では、アプリケーションを作成し、ID プロバイダーを使用して設定を構成します。
注意
- 返信 URL は、認証に成功した後にユーザーをポータルにリダイレクトする目的で、アプリが使用します。ポータルでカスタムドメイン名を使用している場合は、ここで提供されているものとは異なる URL を使用している可能性があります。
- Azure portal におけるアプリ登録の作成についての詳細は、クイックスタート : Microsoft ID プラットフォームでアプリケーションを登録するを参照してください。
1. Azure portalにサインインします。
2. Azure Active Directory を検索して選択します。
3. 管理配下で アプリの登録 を選択します。
4. 新規登録を選択します。
5. 名前を入力してください。
6. 必要に応じて、別の対応しているアカウントタイプを選択します。詳細情報 : 体操しているアカウントタイプ
7. URI のリダイレクト配下で、ウェブ (まだ選択されていない場合) を選択します。
8. リダイレクト URI テキストボックスにポータルの返信 URL を入力します。
  例: https://contoso-portal.powerappsportals.com/signin-openid_1
  
  注意
  
  既定のポータル URL を使用している場合は、ID プロバイダーを構成する画面の OpenID 接続プロバイダー設定を作成して構成するセクションに示すように応答 URL をコピーして貼り付けます (上記の手順 6)。ポータルにカスタムドメイン名を使用している場合は、カスタム URL を入力します。 OpenID Connect プロバイダーを設定する際に、ポータルの設定で リダイレクト URL を設定する場合は、必ずこの値を使用してください。
  たとえば、Azureポータルで 返信 URL に https://contoso-portal.powerappsportals.com/signin-openid_1 と入力した場合、ポータルの OpenID Connect の構成ではこれをそのまま使用する必要があります。
9. 登録を選択します。
10. 左側のペインの管理配下で、認証を選択します。
11. 暗黙的な許可配下で、ID トークンチェックボックスを選択します。
12. 保存を選択します。
この手順では、ポータルの構成で使用するサイトの設定を入力します。

ヒント

前述の手順でアプリ登録の構成をした後でブラウザのウィンドウを閉じてしまった場合は、再度 Azure portal にサインインして、登録したアプリに移動します。
1. オーソリティ : オーソリティの URL を構成するには、次の形式を使用します :
  
  https://login.microsoftonline.com/<Directory (tenant) ID>/
  
  たとえば、 Azure ポータルのディレクトリ (テナント) ID が 7e6ea6c7-a751-4b0d-bbb0-8cf17fe85dbb の場合、オーソリティの URL は https://login.microsoftonline.com/7e6ea6c7-a751-4b0d-bbb0-8cf17fe85dbb/ となります
2. クライアント ID : Azure ポータルからクライアント ID としてアプリケーション (クライアント) ID をコピーします。
3. リダイレクト URL : リダイレクト URLサイトの設定値が、前述の Azure ポータルで設定したリダイレクト URIと同じであることを確認します。
  
  注意
  
  既定のポータル URL を使用している場合は、OpenID Connect プロバイダー設定の構成と作成の手順に記載のとおり、返信URL をコピーして貼り付けることができます。カスタムドメイン名を使用している場合は、URL を手動で入力してください。ここで入力した値が、前述の Azure ポータルでリダイレクト URI として入力した値と全く同じである必要があります。
4. メタデータアドレス : メタデータアドレスを構成する方法 :
  1. Azure portal で、概要を選択します。
  2. エンドポイントを選択します。
  3. OpenID Connect メタデータドキュメントの URL をコピーします。
  4. コピーしたドキュメントの URL をポータルのメタデータアドレスして貼り付けます。
5. 範囲 : スコープのサイト設定値に次を設定します :
  
  openid email
  
  注意
  
  スコープの openid 値は必須です。 email の値は任意です。この email の値をスコープに指定することで、ポータルユーザー (取引先担当者レコード) のメールアドレスが自動的に入力され、ユーザーがログインした後に プロファイル ページに表示されるようになります。追加のクレームについては、この記事の後半に記載の追加の要求を構成するを参照してください。
6. 応答タイプ に コード id_tokenを選択します。
7. 応答モード に form_post を選択します。
確認を選択します。
閉じるを選択します。

追加の要求の構成

Azure AD におけるオプションの要求を有効にします。
スコープを設定して追加の要求を含めます。
例: openid email profile
追加のサイト設定に登録要求のマッピングを設定します。
例: firstname=given_name,lastname=family_name
追加のサイト設定にログイン要求のマッピングを設定します。
例: firstname=given_name,lastname=family_name

たとえば、追加の要求で提供された名、姓、メールアドレスは、ポータルのプロファイルページの既定の値となります。

マルチテナント Azure AD アプリケーションを使用して認証を有効にする

Azure AD に登録されているマルチテナント型のアプリケーションを利用することで、特定のテナントからだけでなく、Azure 内のどのテナントからでも Azure AD のユーザーを受け入れるようにポータルを設定することができます。マルチテナント機能を有効にするには、Azure AD アプリケーションでアプリケーションの登録を更新します。

マルチテナント型のアプリケーションを使用して Azure AD に対する認証をサポートするには、追加の 発行者フィルター サイト設定を作成または構成する必要があります。

マルチテナント機能向け発行者フィルター。

このサイト設定は、ワイルドカードベースのフィルターで、すべてのテナントを横断するすべての発行者に一致します。例: https://sts.windows.net/*/

次の方法で共有

ポータルの OpenID Connect プロバイダーを Azure AD で構成する

追加の要求の構成

マルチテナント Azure AD アプリケーションを使用して認証を有効にする

関連項目

その他のリソース