Azure MFA Server と Active Directory 間のディレクトリ統合

Azure MFA Server を Active Directory や別の LDAP ディレクトリと統合するには、Azure MFA Server の [ディレクトリの統合] セクションを使用します。 そのディレクトリ スキーマに合わせて属性を構成したり、自動ユーザー同期を設定したりすることができます。

設定

既定では、Azure Multi-Factor Authentication (MFA) Server は、Active Directory からユーザーをインポートするか同期するように構成されます。 [ディレクトリの統合] タブでは、この既定の動作をオーバーライドしたり、別の LDAP ディレクトリ、ADAM ディレクトリ、または特定の Active Directory ドメイン コントローラーにバインドしたりできます。 LDAP を委任するため、RADIUS ターゲットとしての LDAP バインドのため、IIS 認証のための事前認証、またはユーザー ポータルのためのプライマリ認証としての LDAP 認証の使用も提供します。 次の表で、個々の設定について説明します。

次の表で、LDAP 構成設定について説明します。

フィルター

フィルターを使用して、ディレクトリ検索の実行時にレコードを制限する条件を設定できます。 フィルターを設定することで、同期するオブジェクトの範囲を指定できます。

Azure Multi-Factor Authentication には、次の 3 つのフィルター オプションがあります。

• コンテナー フィルター - ディレクトリ検索の実行時にコンテナー レコードを制限するために使用するフィルター条件を指定します。 Active Directory と ADAM の場合、通常は (|(objectClass=organizationalUnit)(objectClass=container)) が使用されます。 その他の LDAP ディレクトリでは、ディレクトリ スキーマに応じて、各コンテナー オブジェクトの種類を制限するフィルター条件を使用してください。
  注: 空白のままにした場合は、((objectClass=organizationalUnit)(objectClass=container)) が既定で使用されます。
• セキュリティ グループ フィルター - ディレクトリ検索の実行時にセキュリティ グループ レコードを制限するために使用するフィルター条件を指定します。 Active Directory と ADAM の場合、通常は (&(objectCategory=group)(groupType:1.2.840.113556.1.4.804:=-2147483648)) が使用されます。 その他の LDAP ディレクトリでは、ディレクトリ スキーマに応じて、セキュリティ グループ オブジェクトを種類ごとに制限するフィルター条件を使用してください。
  注: 空白の場合は (&(objectCategory=group)(groupType:1.2.840.113556.1.4.804:=-2147483648)) が既定で使用されます。
• ユーザー フィルター - ディレクトリ検索の実行時にユーザー レコードを制限するために使用するフィルター条件を指定します。 Active Directory と ADAM の場合、通常は (&(objectClass=user)(objectCategory=person)) が使用されます。 その他の LDAP ディレクトリでは、ディレクトリ スキーマに応じて、(objectClass=inetOrgPerson) またはそれに類似する条件を使用する必要があります。
  注: 空白の場合は (&(objectCategory=person)(objectClass=user)) が既定で使用されます。

属性

特定のディレクトリの属性を必要に応じてカスタマイズできます。 カスタム属性を追加し、必要な属性のみを対象とするように同期を微調整できます。 各属性フィールドの値には、ディレクトリ スキーマで定義されている属性の名前を使用します。 それぞれの機能については、以下の表で詳しく説明します。

属性は手動で入力でき、属性の一覧内の属性と一致させる必要はありません。

属性を編集するには、[属性] タブの [編集] をクリックします。属性を編集するためのウィンドウが表示されます。 表示する属性を選択できるウィンドウを開くには、各属性の横の [...] を選択します。

Synchronization

Azure MFA ユーザー データベースは、Active Directory や他のライトウェイト ディレクトリ アクセス プロトコル (LDAP) ディレクトリとの間でユーザーの同期状態を維持することができます。 このプロセスは Active Directory からユーザーを手動でインポートすることと似ていますが、Active Directory に対してユーザーとセキュリティ グループの変更を定期的にポーリングします。 また、コンテナー、セキュリティ グループ、または Active Directory から削除されたユーザーは無効になるか、削除されます。

Multi-Factor Auth ADSync サービスは、Active Directory の定期的なポーリングを実行する Windows サービスです。 これを Azure AD Sync または Microsoft Entra Connect と混同しないでください。 Multi-Factor Auth ADSync は類似するコード ベースに基づいて構築されていますが、それは Azure Multi-Factor Authentication Server に固有のサービスです。 このサービスは停止状態でインストールされ、実行するように構成されたときに Multi-Factor Auth Server サービスによって開始されます。 複数のサーバーを対象とする Multi-Factor Auth Server 構成がある場合でも、Multi-Factor Auth ADSync は単一のサーバーでのみ実行できます。

Multi-Factor Auth ADSync サービスは、変更を効率的にポーリングするために Microsoft によって提供された DirSync LDAP サーバー拡張機能を使用します。 この DirSync コントロールの呼び出し元は、"ディレクトリの変更を取得する" 権限と、DS-Replication-Get-Changes 拡張コントロール アクセス権を持っている必要があります。 既定では、これらの権限は、ドメイン コントローラーの管理者と LocalSystem アカウントに割り当てられます。 Multi-Factor Auth AdSync サービスは、既定で LocalSystem として実行するように構成されます。 したがって、最も簡単な方法は、サービスをドメイン コントローラーで実行することです。 サービスを常に完全同期を実行するように構成した場合は、より低いアクセス許可を持つアカウントで実行できます。 効率は落ちますが、要求されるアカウント権限が低くなります。

LDAP ディレクトリが DirSync に対応していて、かつ DirSync を使用するように構成されている場合、ユーザーとセキュリティ グループの変更に関するポーリングは、Active Directory の場合と同じように動作します。 LDAP ディレクトリが DirSync コントロールをサポートしていない場合、完全同期は各サイクル中に実行されます。

[同期] タブの各設定については、以下の表でさらに詳しく説明します。

[今すぐ同期] ボタンを使用して、指定した同期項目の完全同期を実行できます。 完全同期は、同期項目の追加、変更、削除、または順序変更を行った場合に、常に実行する必要があります。 また、Multi-Factor Auth AdSync サービスは、増分変更用のポーリングを開始する時点を設定するため、そのサービスを運用する前にも実行する必要があります。 同期項目に対する変更が行われたにもかかわらず完全同期が実行されていない場合は、今すぐ同期するように求められます。

管理者は、 [削除] ボタンを使用して、1 つ以上の同期項目を Multi-Factor Auth Server の同期項目の一覧から削除できます。

同期項目は、Multi-Factor Auth Server から削除されています。 Multi-Factor Auth Server サービスは、それらの同期項目を処理しません。

管理者は、[上へ移動] ボタンと [下へ移動] ボタンを使用して、同期項目の順序を変更できます。 同じユーザーが 1 つ以上の同期項目 (コンテナーとセキュリティ グループなど) のメンバーである場合があるため、順序は重要です。 同期中にユーザーに適用される設定は、ユーザーが関連付けられている一覧の最初の同期項目から使用されます。 このため、同期項目は優先順位に従って配置する必要があります。

Multi-Factor Authentication サーバー

追加の Multi-Factor Authentication サーバーを、バックアップ RADIUS プロキシ、LDAP プロキシ、または IIS 認証として機能するように設定できます。 同期構成は、すべてのエージェント間で共有されます。 ただし、Multi-Factor Authentication サーバー サービスは、これらのエージェントのいずれかのみで実行できます。 このタブで、同期するために有効にする必要がある Multi-Factor Authentication サーバーを選択できます。