ローカル端末、Entra ID テナント跨ぎ、組織アカウント・マイクロソフトアカウントが入り混じったら RBAC 制御で帰ってくるのが大変だった話 - normalian blog
今回のポストは「適切に運用された Entra ID テナント上で、適切に運用された組織アカウントで開発をしている方」や Entra ID テナントの闇（テナント複数あったりマイクロソフトアカウントが入り混じったり）に触れたことのない人には縁のない話です。この文章だけで痛みが分かる方には有益な情報を追記したつもりなので、引き続き通読してください。「タイトルみたいな複雑な運用するのが間違っている」という方へのアドバイスはこちらになります。 君はマトモな職場に居るか、マトモに仕事した事が無いんだね こっちに来てはいけないよ、森にお帰り。— ロリ＝デカパイスキー3世 (@sumatora) June 27, 2022 今回私がハマった元ネタは以下の記事に記載のある「Cosmos DB へのデータアクセスを RBAC で制御しようとした」です。本来はハマりどころは大してないのですが、掲題の件が絡むと
すべてのアプリにサインインしたままにする
こんにちは。 Azure Identity サポートです。 Windows 10 以降のデバイスで Office のライセンス認証時やサインインが求められる際に表示される下記 “すべてのアプリにサインインしたままにする” 画面について、お問い合わせを多くいただいています。 この画面の動作および制御方法について、本記事ではお纏めいたしました。 なぜ表示されるのか？Windows 10 の 1703 (Build 15063.138) 以後のバージョンにて Office のバージョン 16.0.7967 以後のバージョンを利用する場合、Office は Web Account Manager (WAM) と呼ばれる認証フレームワークを利用します。 「すべてのアプリにサインインしたままにする」のダイアログ メッセージは、認証に WAM が使用された際、資格情報 (ID/Password) を入力
Microsoft Entra Connect によって同期される属性 - Microsoft Entra ID
このトピックでは、Microsoft Entra Connect 同期によって同期される属性の一覧を示します。 これらの属性は、関連する Microsoft Entra アプリによってグループ化されます。 同期する属性 "同期のために最低限の属性のリストは何ですか" という質問がよく寄せられます。 既定の推奨されるアプローチは、クラウドに完全な GAL (グローバル アドレス一覧) を構築できるように既定の属性を保持し、さらに、Microsoft 365 ワークロードにすべての機能を取得することです。 場合によっては、次の例のように、属性に機密性の高い個人データが含まれるために、組織がクラウドとの属性の同期を望まないことがあります。 この場合、最初にこのトピックの属性の一覧を確認し、個人データが含まれるために同期できない属性を特定します。 次に、インストール時に、Microsoft Ent
Azure AD Connectの同期を解除する
オンプレシステムをクラウドに移行する段階では、AADCサーバーを利用してADとAzure ADを同期する必要があります。 クラウドへの移行完了後、オンプレADを廃止することが出来ますが、その場合はAzure ADの同期IDをクラウドIDに変更する必要があります。 クラウドIDに変更するにはAADCの同期を解除する必要があります。 今回はAADCの同期を解除する手順について紹介します。 1.Azure ADへの接続 Azure ADのPowerShellには、Graph用とWindows PowerShell用モジュールがありますが、今回はWindows PowerShell用を利用します。 接続手順については下記をご覧ください。 Office 365 への PowerShell 接続について 2.同期設定と同期状態の確認(解除前) 同期を解除する前に現在の同期設定と同期状態を確認します。
WindowsでOfficeにサインインすると「すべてのアプリにサインインしたままにする」か聞かれる - Microsoft Office - ソフトウェア - FAQ - ECCS Tutor's page
質問 ライセンス認証のため Windows で Office にサインインすると「すべてのアプリにサインインしたままにする」か聞かれましたが、何を選べばよいですか？ 回答 「組織がデバイスを管理できるようにする」のチェックを外したうえで 「いいえ、このアプリのみにサインインします」をクリックすることを推奨します。 過去に「いいえ」ではなく「OK」をクリックしてサインインしていた場合、「設定」→「アカウント」→「職場または学校にアクセスする」→UTokyo Account を選択して「切断」ボタンを押すとこの推奨設定に戻すことができます。 説明 Windows では Office のライセンス認証に WAM (Web Account Manager) というフレームワークを用います。 この WAM によるダイアログボックスは Windows の持ち込み端末だけでなく、 ECCS 端末の Wi
Exchange Server 2019 ハイブリッド環境で受信者を管理する
Exchange ハイブリッド環境で受信者管理のためだけにオンプレミスの Exchange サーバーを維持している場合、すべての受信者をExchange Onlineに移動した後でも、最後の Exchange サーバーをシャットダウンし、Windows PowerShellを使用して受信者を管理できる場合があります。 以前は、すべてのメールボックスをExchange Onlineに移動した後でも、それらのクラウド受信者属性を管理するためにオンプレミスの Exchange サーバーが必要でした。 オンプレミスの Active Directoryで Exchange サーバー上の受信者を編集し、その属性がディレクトリ同期を使用して Microsoft Entra ID にコピーされました。 この方法を使用して、受信者がすべてクラウドに存在する場合でも、受信者を管理できます。 Exchange
ハイブリッド展開でオンプレミスの Exchange サーバーを使用停止にする方法とそのタイミング
注: 現在、受信者管理のためだけに Exchange サーバーを実行したままにしている場合は、最後の Exchange サーバーをシャットダウンし、Windows PowerShellを使用して受信者を管理できる場合があります。 詳細については、「 管理ツールを使用して Exchange ハイブリッド環境で受信者を管理する」を参照してください。 Exchange ハイブリッド展開から完全なクラウド実装に移行する準備ができている場合は、この記事をお読みください。 Exchange Serverハイブリッド展開では、会社をExchange Onlineするための最も魅力的なオプションの 1 つについて説明します。 この方法は、オンボードメールボックスとオフボードメールボックスを簡単に使用できる唯一のオプションです(他のすべてのネイティブオプションはオンボードのみです)。 オフボードにする機能に
Windowsボタンが押せなくなる不具合に対応した話（完結編｜いとぅ
本記事は前回のWindowsボタンが押せなくなる不具合の原因がやっと判明し根本対応含め対処方法ができたというものになります。 前回の記事は下記をご覧ください。 はじめに：結局21H2でも解決せず前回の記事で21H2へのアップデートを行いWindowsOS上の重要なプロセスを修復する事で暫くは平穏な状況でしたが、夏期休暇に入り21H2でも同様の症状を発現する端末がついに出現…。 結局は根本原因を叩かない事にはこの問題は解決できないと認識、この1ヶ月ほど色々と対処した内容をまとめて行こうと思います。 そもそも何が起きていたのか？そもそも今回起きていた現象をもう一度振り返ると 大まかには３つの現象が発生しておりました。 １．Outlook（Windowsアプリ版）が全く起動しなくなる ２．Teams（Widnowsアプリ版）にログインできなくなる ３．Windowsボタンを押しても反応しなくなる
Microsoft 365 Apps をアクティブ化しようとしたときに、組織がこのデバイスを無効にしました - Microsoft 365
現象 Microsoft 365 App にサインインまたはアクティブ化しようとすると、次のエラー メッセージが表示されます。 問題が発生しました 組織がこのデバイスを無効にしました。 これを修正するには、システム管理者に連絡し、エラーコード 135011 を伝えてください。 詳しくは、以下の資料を参照してください。 https://wmv.microsoft.com/wamerrors 原因 この問題は、デバイスがMicrosoft Entra IDで削除または無効になっており、デバイス自体に対してアクションが開始されなかった場合に発生する可能性があります。 解決方法 この問題を解決するには、次の手順を実行します。 Microsoft Entra IDでデバイスが無効になっている場合、十分な特権を持つ管理者は、次のようにMicrosoft Entra 管理センターから再度有効にすることが
ハイブリッド Azure AD 参加時の二重登録と所有者について
前回、ハイブリッド Azure AD 参加について書きましたが、デバイスの二重登録が自動的に解消されませんでした。 ※2020/10/02追記 デバイスがIntuneに登録されている場合、二重登録は自動的に解除されないようです。 また、Azure AD Connect ではなく ADFS の構成ですが、下記の公開情報にデバイスの所有者について記載されています。 ハイブリッド Azure Active Directory 参加済みデバイスの構成について https://jpazureid.github.io/blog/azure-active-directory/hybrid-azuread-joined-devices-setup/ 実を言うと、私が検証した時もオンプレADの Administrator でドメイン参加していたため、この所有者が「該当なし」になっていました。 また、Azur
エラーコード 700003 の対処策について
こんにちは、 Azure Identity の平形です。 今回は最近多くお問い合わせ頂いております 700003 エラーについてのご説明と一般的な対応手順をお伝えします。 エラーコード 700003 とは何か最近こんなエラーを見たことはありますか？ 上記で表示されているエラー コード 700003 とは、「クライアントが提示したデバイス情報が Azure AD 上に存在しない」場合に発生するエラーです。 このエラーが多く起きるのは Windows 10 デバイスをご利用されており、かつ Edge や Internet Explorer をご利用されている、もしくは Office アプリケーションご利用のタイミングです。 本ブログでは、このエラーの対処策と、簡単に「デバイス情報」とは何かをご説明します。 デバイス情報とは何かWindows 10 を Azure AD に参加させた場合、あるい
Azure のすべてのサブスクリプションと管理グループを管理する目的でアクセス権限を昇格させる
Microsoft Entra ID の全体管理者には、自分のディレクトリ内にすべてのサブスクリプションと管理グループにアクセスする権限が与えられていない場合があります。 この記事では、すべてのサブスクリプションと管理グループにアクセスできるよう、権限を昇格させる方法について説明します。 アクセス権を昇格が必要な理由 全体管理者であれば、次のような操作を行う場合が考えられます。 ユーザーが Azure のサブスクリプションか管理グループにアクセスできなくなったとき、アクセス権を回復する Azure サブスクリプションまたは管理グループへのアクセス権を別のユーザーまたは自分自身に付与する 組織内にある Azure のすべてのサブスクリプションと管理グループを表示する オートメーション アプリ (請求書作成アプリや監査アプリなど) から Azure のすべてのサブスクリプションと管理グループへ
孤立したグループに新しい所有者を割り当てる - Microsoft サポート
グループの所有者が会社を退職した場合、気が付くと所有者が不在であるという状況になっている可能性があります。 グループ内のコンテンツが、この影響を受けることはありません (コンテンツはグループに属し、所有者のアカウントには関連付けられていません)。 しかし、グループの所有者がいないということは、グループを管理する権限を持つ人がいないということを意味します。 幸いなことに、この問題は組織内の任意の管理者によって容易に解決されます。 Web ポータルを使用して新しい所有者を割り当てる 管理者権限を持つアカウントで Microsoft 365 ポータルにサインインします。 左側にあるナビゲーション ウィンドウから [グループ] を選択し、表示されるフライアウトから [グループ] を選択します。 新しい所有者を割り当てる必要があるグループを特定し、クリックします。 [所有者] セクションで、[編集]
Microsoft365セルフサービスサインアップの闇 » Engineer Base
はじめに セルフサービスサインアップという言葉を聞いたことはあるでしょうか？Microsoftさんのサービスには、メールアドレスの登録のみで利用が可能になるサービスがいくつかあります。Microsoft365やOffice365を利用する際にこのセルフサービスサインアップで作成されたテナントが邪魔になることがあります。また、構築中の環境であってもセルフサービスサインアップしたアカウントが突然クラウド上のアカウントとして生まれてしまう挙動をする場合があります。数年前にMicrosoftさんが仕様変更した影響なんですが、いろいろと問題が発生することがあるためご紹介します。 セルフサービスサインアップとは？ 組織が所有するメールアドレスを使ってMicrosftが提供する無料サービスなどにサインアップを行います。サービスの利用にはメールアドレスの確認のみで利用開始が可能となります。セルフサービスサ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Azure AD」名称変更 「Microsoft Entra ID」に 機能は変わらず
Azure AD のメンバー ユーザーとゲスト ユーザー
ソフトマッチについて試してみた
Yurika on Twitter: "AzureADのセキュリティ オペレーションガイドが、大幅に刷新された模様 Azure Active Directory security operations guide https://t.co/fsAQ3Hf3DA"
2022年6月のWindowsパッチにまた問題、「Azure Active Directory」サインインが不能に／TeamsやOneDrive、Outlookなどに影響
https://cptechweb.teldevice.co.jp/hc/ja/articles/360035462054-Azure%E3%83%9D%E3%83%BC%E3%82%BF%E3%83%AB%E3%81%AB%E3%83%AD%E3%82%B0%E3%82%A4%E3%83%B3%E3%81%A7%E3%81%8D%E3%81%AA%E3%81%8F-%E3%82%A8%E3%83%A9%E3%83%BC%E3%82%B3%E3%83%BC%E3%83%89-700003-%E3%81%8C%E7%99%BA%E7%94%9F%E3%81%97%E3%81%9F%E9%9A%9B%E3%81%AE%E5%AF%BE%E5%87%A6%E6%96%B9%E6%B3%95