クレームベース認証に AD FS サーバーを構成する

[アーティクル]
05/15/2017

公開日: 2017年1月

対象: Dynamics 365 (on-premises)、Dynamics CRM 2016

クレームベース認証を有効にした後、次のステップは、要求プロバイダーおよび証明書利用者信頼を AD FS に追加および構成することです。

要求プロバイダー信頼を構成する

要求規則を追加して、ユーザープリンシパル名 (UPN) 属性を、Active Directory から取得して、UPN として Microsoft Dynamics 365 に送信する必要があります。

UPN LDAP 属性を要求として証明書利用者に送信するように AD FS を構成する

AD FS を実行しているサーバーで、AD FS 管理を開始します。
ナビゲーションウィンドウで、信頼関係を展開し、要求プロバイダー信頼をクリックします。
要求プロバイダー信頼で、Active Directory を右クリックし、要求規則の編集をクリックします。
ルールエディターで、ルールの追加をクリックします。
[要求規則テンプレート] の一覧で、[要求として LDAP 属性を送信する] テンプレートを選択し、[次へ] をクリックします。
次の規則を作成します。
- 要求規則名: UPN 要求規則 (または、わかりやすい名前)
- 次のマッピングを追加します。
  1. 属性ストア: Active Directory
  2. LDAP 属性: ユーザープリンシパル名
  3. 出力方向の要求の種類: UPN
[完了] をクリックし、[OK] をクリックして、ルールエディターを閉じます。

証明書利用者信頼を構成する

クレームベース認証を有効にした後、内部クレームアクセスの認証に AD FS からのクレームを使用するには、証明書利用者として Microsoft Dynamics 365 Server を構成する必要があります。

AD FS を実行しているサーバーで、AD FS 管理を開始します。
ナビゲーションウィンドウで、信頼関係を展開し、証明書利用者信頼をクリックします。
右の列のアクション メニューで、証明書利用者信頼の追加をクリックします。
証明書利用者信頼の追加ウィザードで、開始をクリックします。
データソースの選択 ページで、オンラインまたはローカルネットワークで公開されている証明書利用者についてのデータをインポートするをクリックし、URL を入力して federationmetadata.xml ファイルを見つけます。

フェデレーションメタデータがクレームセットアップ時に作成されます。クレームベース認証の構成ウィザードの最後のページ (完了をクリックする前) に一覧表示されている URL (たとえば、https://internalcrm.contoso.com/FederationMetadata/2007-06/FederationMetadata.xml) を使用します。証明書関連の警告が表示されないことを確認します。
[次へ] をクリックします。
[表示名の指定] ページで、表示名 (Dynamics 365 クレーム証明書利用者など) を入力し、[次へ] をクリックします。
複数要素認証を構成するページで、希望のものを選択し、次へをクリックします。
発行認証ルールを選択する ページで、すべてのユーザーに対してこの証明書利用者へのアクセスを許可するをクリックし、次へをクリックします。
信頼を追加する準備ページの IDタブで、証明書利用者の ID に次のようなの一意の ID があるかを確認してください。
- https://internalcrm.contoso.com
ID が上の例と異なっている場合は、証明書利用者信頼の追加ウィザードで前へをクリックし、フェデレーションメタデータのアドレスを確認します。
[次へ] をクリックし、[閉じる] をクリックします。
ルールエディターが表示されたら、ルールの追加をクリックします。それ以外の場合は、証明書利用者信頼 一覧で、作成した証明書利用者オブジェクトを右クリックし、要求規則の編集をクリックし、ルールの追加をクリックします。

重要

発行変換ルールタブが選択されていることを確認します。
要求規則テンプレート 一覧で、入力方向の要求をパススルーまたはフィルター処理テンプレートを選択し、次へをクリックします。
次の規則を作成します。
- 要求規則名: UPN をパススルーする (または、わかりやすい名前)
- 次のマッピングを追加します。
  1. 入力方向の要求の種類: UPN
  2. すべての要求値をパススルーする
[完了] をクリックします。
ルールエディターで、ルールの追加をクリックし、要求規則テンプレート一覧で、入力方向の要求をパススルーまたはフィルター処理テンプレートを選択し、次へをクリックします。
次の規則を作成します。
- 要求規則名: プライマリ SID をパススルーする (または、わかりやすい名前)
- 次のマッピングを追加します。
  1. 入力方向の要求の種類: プライマリ SID
  2. すべての要求値をパススルーする
[完了] をクリックします。
ルールエディターで、ルールの追加をクリックします。
要求規則テンプレート 一覧で、入力方向の要求を変換テンプレートを選択し、次へをクリックします。
次の規則を作成します。
- 要求規則名: Windows アカウント名を名前に変換する (または、わかりやすい名前)
- 次のマッピングを追加します。
  1. 入力方向の要求の種類: Windows アカウント名
  2. 出力方向の要求の種類: 名前
  3. すべての要求値をパススルーする
完了をクリックし、3 つすべての規則を作成したら、OK をクリックしてルールエディターを閉じます。

この図は、作成する 3 つの証明書利用者信頼のルールを示します。

作成した証明書利用者信頼は、AD FS フェデレーションサービスが Microsoft Dynamics 365 証明書利用者を認識し要求を発行する方法を定義します。

フォーム認証の有効化

Windows Server 2012 R2 のAD FS で、フォーム認証が既定では有効になっていません。

AD FS Server に管理者としてログオンします。
AD FS 管理コンソールを開き、認証ポリシーをクリックします。
[プライマリ認証]、[グローバル設定]、[認証方法] で、[編集] をクリックします。
イントラネットで、フォーム認証を有効 (ボックスをオン) にし、OK をクリックします。

Enable forms authentication

Windows Server 2016 の場合は、コマンドレットを実行します。

AD FS サーバーが Windows Server 2016 を実行している場合は、次の Windows PowerShell コマンドレットを実行します。

Grant-AdfsApplicationPermission -ClientRoleIdentifier "<ClientRoleIdentifier>" -ServerRoleIdentifier <ServerroleIdentified>

ClientRoleIdentifier : Adfsclient の ClientId です。例: e8ab36af-d4be-4833-a38b-4d6cf1cfd525
ServerroleIdentified: 証明書利用者の識別子です。例: https://adventureworkscycle3.crm.crmifd.com/

詳細については、「Grant-AdfsApplicationPermission」を参照してください。

次の方法で共有