Azure AD の接続タイプを選択する

Auth0 で利用できる Microsoft Azure AD の接続タイプを比較し、テナントモデルとユーザー属性に合うものを選択します。

Auth0 インスタンスは、3 つの方法で Microsoft Azure Active Directory に接続できます。ご利用の状況に最適な方法を判断するために、各オプションを確認してください。

Auth0 では、まずネイティブの Microsoft Azure AD 接続から始めることを推奨しています。さらにカスタマイズが必要な場合は、SAML 接続の設定を確認してください。また、組織で OAuth のコードフローに追加の制限がある場合は、Enterprise OIDC の設定を確認してください。

以下の表は、これらの接続タイプの主な違いを示しています。ご自身の組織に最適な接続タイプを判断するために、これらの機能を確認してください。

接続タイプ	「ネイティブ」Azure AD	Enterprise OIDC	SAML
プロトコル	OAuth 認可コードフロー	OAuth インプリシットフロー または OAuth 認可コードフロー	SAML
Azure AD からオプションのクレームを受け取れますか？	いいえ	はい	はい
フェデレーテッドログアウトのサポート (「シングルログアウト」または SLO)	はい	いいえ	はい
AD グループを受け取れるか	はい、表示名	はい、オブジェクト ID	はい、オブジェクト ID
拡張プロファイルを受け取れるか	はい	いいえ	いいえ

​

Microsoft Azure AD

最初の接続タイプは、Auth0 Dashboard > Authentication > Enterprise にある Microsoft Azure AD 接続です。

この接続タイプでは、OAuth 認可コードフローを使用します。Microsoft Azure AD 接続は id_token からクレームを受け取り、Microsoft Graph API を直接クエリします。設定されている場合、このクエリではグループと追加のプロファイル情報を検索します。Microsoft Azure AD は、id_token に含まれるカスタムクレームをすべて無視します。

​

接続の機能と考慮事項

この接続タイプは標準のワークフローであるため、拡張 AD 機能との互換性が明示されています。Azure AD 接続では、Microsoft Graph API のプロファイル属性が Auth0 のユーザープロファイルに直接マッピングされます。

以下の表は、接続タイプごとの Azure AD Graph 属性を比較したものです。

Graph 属性	Auth0 プロファイル属性	データ型	OIDC または SAML における対応するオプションのクレーム
businessPhones	phone	array	N/A
givenName	given_name	string	given_name
jobTitle	job_title	string	N/A
mobilePhone	mobile	string	N/A
preferredLanguage	preferred_language	string	xms_pl
surname	family_name	string	family_name
userPrincipalName	upn	string	upn

次の拡張プロファイル属性を受け取るには、Microsoft Graph API にクエリする権限を有効にする必要があります。

• businessPhones
• jobTitle
• mobilePhone

​

グループ設定

Microsoft Graph API をクエリする権限を有効にすると、Auth0 はユーザーのグループを自動的に取得し、それらを Auth0 の groups 属性にマッピングします。Auth0 はこれらのグループの「表示名」をマッピングするため、Microsoft Graph API から直接マッピングされるこれらのグループについては、カスタム claim を設定する必要はありません。

​

SAML

SAML 接続タイプでは SAML プロトコルを使用し、属性マッピングと標準的な SAML 機能をすべてサポートしています。

​

接続の機能と考慮事項

SAML 接続タイプは、オプションのクレームとフェデレーテッドログアウトをサポートしているため、利用可能な接続タイプの中で最も柔軟です。これら両方の機能が必要な場合、SAML はその両方を同時にサポートできる唯一の接続タイプです。

​

グループ設定

Auth0 が SAML 接続タイプでグループ情報を受け取れるようにするには、SAML レスポンスにオプション属性が含まれるよう Azure AD を構成する必要があります。すると、Auth0 はそのグループをユーザーの Auth0 プロファイル内の group_ids 属性にマッピングします。

SAML 接続タイプと OIDC 接続タイプでは、グループ名には表示名ではなく、オブジェクト識別子が使用されます。オンプレミスの AD からグループをインポートしている場合は、表示名を SAML レスポンスに含められることがあります。グループ クレームの詳細については、Microsoft のドキュメントを参照してください。

​

Enterprise OIDC

Enterprise Open ID Connect タイプでは、OAuth Implicit または認可コードワークフローを使用できます。この接続では、id_token 内のカスタムクレームが Auth0 のユーザープロファイルにマッピングされます。認証フローの詳細については、認証と認可のフローに関するドキュメントを参照してください。

​

接続の機能と考慮事項

規制やプライバシーに関する取り決めにより、ログインフローでクライアントシークレットを提供できない場合は、OIDC 接続が提供する Implicit Flow が適した方法となることがあります。カスタムクレームが必要でも、追加の SAML 機能を設定したくない場合は、OIDC 接続によって複雑さを軽減できます。

​

グループ設定

Auth0 が OIDC 接続タイプでグループ情報を受け取れるようにするには、リクエストの id_token に groups を追加するオプションのクレームを Azure AD で設定する必要があります。Auth0 はその後、これらのグループをユーザーの Auth0 プロファイル内の group_ids 属性にマッピングします。

SAML と OIDC の接続タイプでは、グループの表示名ではなくオブジェクト識別子が使用されます。オンプレミスの AD からグループをインポートしている場合は、SAML レスポンスに表示名を含められることがあります。グループ クレームの詳細については、Microsoft のドキュメントを参照してください。

​

詳細はこちら

• アプリを Microsoft Azure Active Directory に接続する