Microsoft Entra IDで透過的認証を構成するための推奨プラクティス

利用可能な透過認証方法

• Primary Refresh Token (PRT): Microsoft Entra ID参加済み、ハイブリッド参加済み、または登録済みデバイス用。
• Seamless single sign-on (SSO): オンプレミスのActive Directoryドメインにのみ参加しているデバイス用。
• NTLM or Kerberos single sign-on: オンプレミスActive Directoryユーザ用。この方法は別途設定されます。詳細については、Active Directoryを使用したNTLMまたはKerberos Single Sign-On (オンプレミス) を構成するを参照してください。

注意 単一の環境には、さまざまなデバイス状態が含まれる可能性があります。エンドポイントに適用される各方法のMicrosoft Entra ID前提条件を設定してください。

サポートされているシナリオ

• Secure Access Moduleがインストールされたエンドポイント
• Secure Access Moduleがインストールされていないエンドポイントがオンプレミスゲートウェイに接続する
• Secure Access Moduleがインストールされていないエンドポイントが、事前設定されたパブリックIPアドレスで識別された企業ネットワーク上の場所からクラウドゲートウェイに接続します

PRTベースの透過的認証のためにMicrosoft Entra IDを準備する

1. エンドポイントでdsregcmd /statusを実行し、デバイスの状態がMicrosoft Entra ID参加済み、ハイブリッド参加済み、または登録済みであることを確認してください。

   注意 Microsoft Entra ID登録済みデバイスの場合、ユーザはまず[設定] → [アカウント] → [Access work or school] → [接続]に移動して職場アカウントを追加するか、[Allow my organization to manage my device]プロンプトを受け入れる必要があります。この一度限りの手順を行わないと、トークンが発行されず、ユーザはインタラクティブなサインインに戻ります。

2. 同じdsregcmd /statusの出力で、トークンが発行されたことを確認します。[SSO State]の下でAzureAdPrt : YESを確認してください。
3. ブラウザーがブローカーからトークンを取得できることを確認してください。
   • Microsoft Edge: ネイティブでサポートされています。
   • Google Chrome: Windows 10アカウント拡張機能が必要です。
   • Mozilla Firefox 91以降: Windows SSO設定を有効にする必要があります。
4. トークンベースのサインインがインターネットアクセスやAI Secure Accessなしで機能することを確認します。ブラウザでhttps://myaccount.microsoft.comのようなMicrosoftのファーストパーティページにサインインし、ユーザ名やパスワードのプロンプトが表示されないことを確認してください。

   重要 このテストが失敗した場合、Internet AccessまたはAI Secure Accessを構成する前に問題を解決してください。詳細については、Windowsデバイスでのプライマリリフレッシュトークンの問題のトラブルシューティングを参照してください。

Microsoft Entra IDとActive Directoryを準備してSSOベースの透過的認証を行う

1. エンドポイントでdsregcmd /statusを実行し、エンドポイントがシームレスSSOの対象であることを確認してください: DomainJoined : YES、AzureAdJoined : NO、および[User State]の下でWorkplaceJoined : NO。

   注意 AzureAdJoined : YESの場合、デバイスはMicrosoft Entra IDハイブリッド参加しており、代わりにPRTを使用します。サインインしているユーザに対してWorkplaceJoined : YESの場合、そのユーザは手動で追加された職場アカウントを通じてトークンを取得することもできます。

2. オンプレミスのActive DirectoryからMicrosoft Entra IDにIDを同期するには、次のいずれかのツールを使用します。
   • Microsoft Entra Connect: Microsoft Entra ConnectのExpressインストールを参照してください。

     ヒント Microsoft Entra Connectは、次の手順でシームレスSSOを有効にするためにも使用できるため、最も簡単なオプションです。

   • Microsoft Entraクラウド同期: Microsoft EntraプロビジョニングエージェントのインストールとMicrosoft Entraクラウド同期の新しい構成の作成を参照してください。
3. 前の手順で選択したツールを使用してシームレスSSOを有効にします。
   • Microsoft Entra Connect: Microsoft Entra Connectウィザードで[Additional tasks] → [Change user sign-in] → [シングルサインオンを有効化]に移動し、パススルー認証またはパスワードハッシュ同期を有効にします。詳細については、Microsoft EntraシームレスSingle Sign-Onを有効にするを参照してください。
   • Microsoft Entraクラウド同期: クラウド同期でSingle Sign-Onを使用する方法をご覧ください。
4. エンドポイントのローカルイントラネットゾーンにhttps://autologon.microsoftazuread-sso.comを追加してください。
5. シームレスSSOがインターネットアクセスやAI Secure Accessなしで動作することを確認します。ブラウザでhttps://myaccount.microsoft.comのようなMicrosoftのファーストパーティページにサインインし、ユーザ名やパスワードのプロンプトが表示されないことを確認してください。

   重要 このテストが失敗した場合、Internet AccessまたはAI Secure Accessを構成する前に問題を解決してください。詳細については、Microsoft Entra seamless SSO FAQを参照してください。

TrendAI Vision One™ を構成する

1. TrendAI Vision One™をサービスプロバイダ、Microsoft Entra IDをアイデンティティプロバイダとしてSAMLフェデレーションを構成します。詳細については、Microsoft Entra ID を構成するを参照してください。
2. autologon.microsoftazuread-sso.comをプロキシのバイパスリストに追加してください。PACファイルを使用している場合は、PACファイルのバイパスリストにドメインを追加してください。システムのプロキシの設定を直接構成する場合は、そこにドメインを追加してください。

   注意 このドメインはシームレスSSOにのみ必要です。PRTベースの透過的認証では使用されませんが、バイパスリストに保持しても、エンドポイントが両方の方法を混在して使用している場合には問題はありません。

3. ローカルユーザアカウントが有効になっていないことを確認してください。Zero Trust Secure Access → Secure Access Configuration → Identity and Access Managementに移動し、[ローカルユーザアカウントの管理]をクリックして、[ユーザ]タブを確認してください。詳細については、ローカルユーザアカウントの管理を参照してください。
4. 1つのアイデンティティプロバイダのみが有効になっていることを確認してください。[管理] → Identity Providersに移動します。

注意 ローカルユーザアカウントまたは第2のアイデンティティプロバイダが有効になっている場合、ユーザは追加の[認証方法を選択]画面が表示され、サインインを続行する前に[IDプロバイダによる認証]と使用するプロバイダを手動で選択する必要があります。ユーザがMicrosoft Entra IDを選択した後、認証は自動的に完了しますが、フローはもはや完全にサイレントではありません。

Secure Access Moduleを設定

1. エンドポイントがPrivate Accessも使用している場合は、Zero Trust Secure Access → Secure Access Configuration → Secure Access Moduleに移動し、[グローバル設定]をクリックし、[Private Access authentication]の下で[Require an additional authentication for users to connect to Private Access while both Private Access and Internet Access and AI Secure Access solutions are enabled]を選択します。
2. [グローバル設定] → [認証方法]の[Windows]タブで認証方法を選択します。詳細については、Secure Access Moduleを参照してください。
   • ブラウザベースの認証: PRTベースおよびシームレスSSOベースの透過的認証の両方をサポートしています。Secure Access Moduleはデフォルトのブラウザを開いてサインインし、ブラウザがWAMまたはCloudAPブローカーからトークンを取得するか、通常のブラウザセッションと同様にKerberosベースのシームレスSSOを完了します。
   • モジュールベースの認証: シームレスSSOベースの透過的認証のみサポートされています。モジュールベースの認証ではPRTを取得できません。PRTベースの透過的認証に依存するエンドポイントは、ブラウザベースの認証を使用する必要があります。そうでない場合は、インタラクティブな認証情報プロンプトに戻ります。

   ヒント 環境にPRTに依存するエンドポイントとシームレスSSOに依存するエンドポイントが混在している場合、両方に互換性のある唯一の方法である[ブラウザベースの認証]を選択してください。

透過的認証を検証する

1. ブラウザのCookieとキャッシュをクリアします。
2. 任意のウェブサイトにアクセスしてください。例えば、https://www.example.com。
3. ユーザ名やパスワードのプロンプトが表示されずにリクエストが完了することを確認してください。

1. Secure Access Moduleで[ユーザを切り替える]を使用した後、エンドポイントを再起動していないことを確認してください。そうしないと、設定に関係なく手動でサインインする必要があります。
2. 設定された認証方法を使用してサインインしてください。
   • ブラウザベースの認証: Secure Access Moduleを開き、[サインイン]をクリックします。デフォルトのブラウザが開きます。
   • モジュールベースの認証: Secure Access Moduleを開いてください。
3. ユーザ名やパスワードのプロンプトなしでサインインが完了することを確認してください。

制限事項

• インターネットアクセスとAI Secure AccessのみがMicrosoft Entra IDによる透過的認証をサポートしています。
• Windowsのエンドポイントのみサポートされています。
• ユーザがSecure Access Moduleで[ユーザを切り替える]を選択すると、モジュールはユーザをMicrosoft Entra IDサインイン画面に戻し、新しいセッションに対して透過的な認証を試みません。この制限を回避するには、ユーザを切り替えた後にエンドポイントを再起動してください。
• 組織内でデバイスの状態が混在しており、一部がPRTに依存し、他がSeamless SSOを使用している場合、TrendAI™はSecure Access Module Windows認証方法を[ブラウザベースの認証]に設定することを推奨します。これは両方に対応する唯一の方法です。