Office 365体験記 - 社内AD⇔Office 365シングルサインオンの実現

AD FS/AD FS Proxyのインストール

AD FSおよびAD FS Proxyをインストールするには、マイクロソフトのサイトからインストーラーをダウンロードする必要がある。インストールの手順はこちらも参考にしていただきたい。

執筆時点では最新の修正プログラムとしてロールアップ1が提供されている。これによって Office 365 との連携性が高まるため、適用しておこう。

インストーラーを実行するとサーバーの役割として「フェデレーション サーバー」か「フェデレーションサーバープロキシ」を選択することができる。インストール自体は非常に簡単なので、特に解説するまでもないだろう。

インストールが終了したら初期構成ウィザードを実行してAD FS、AD FS Proxyの構成を行う。

このほかに、DNSやHOSTSファイルの設定が必要となるので、環境構築の一連の流れについてOffice 365環境用IDフェデレーション実装ガイドで確認していただきたい。

シングルサインオンでOutlookを使用する場合、技術情報に記載されているようにAD FS、AD FS Proxyには、Active Directory証明書サービスから発行された証明書や自己署名証明書ではなく、Exchange Onlineデータセンターにより信頼されている証明書機関より発行されている証明書を導入する必要があるので注意をしておきたい。なお、アプリケーションとIDの種類による認証方法に関してはエンタープライズ向けのIDの説明に詳細が記載されている(Office 365 Identity Service Description.docx というファイル名で公開)。

Office 365 でシングルサインオンをするための準備

AD FS、AD FS Proxyのインストールと環境設定が終わったら、Office 365とシングルサインオンをするための設定を行う必要がある。この設定には、Windows PowerShell のコマンドレットが必要であり、そのためのコマンドレットを事前にインストールしておく必要がある。詳しくは、シングル サインオンのためのWindows PowerShell 用 Microsoft Online Servicesモジュールをインストールを参照し、記載されているリンクからモジュールをダウンロードしてインストールしていただきたい。

Microsoft Online Serviceモジュールのインストールが終了したら、「Convert-MsolDomainToFederated」コマンドレットを実行して、企業独自のドメインをシングルサインオンが可能なフェデレーションドメインとしてOffice 365に設定する。この操作によって、社内ADのユーザーIDとパスワードを使用したフェデレーションIDによるシングルサインオンが可能となる。