コンテンツにスキップ
AegisMesh ドキュメント

Microsoft Entra ID (Azure AD) 連携手順書

本手順書は、Microsoft Entra ID (旧 Azure Active Directory) をご利用の企業において、AegisMesh とのシングルサインオン（SSO）および組織グループ同期を有効化するための標準設定手順です。

AegisMesh の管理ダッシュボード（TenantAdmin 権限）に新設された 「Integrations」 画面から、わずか数ステップで安全に設定を完了できます。

1. 概要と導入メリット

  • 全社アカウントの一元管理: Microsoft 365 / Entra ID の社員アカウントで AegisMesh へログイン可能。
  • 部署・セキュリティグループの自動同期: Entra ID 上のセキュリティグループが AegisMesh のアクセス制御グループに自動反映。
  • 条件付きアクセス (Conditional Access) の適用: Intune 準拠PCのみの接続許可、フィッシング耐性 MFA（Microsoft Authenticator）の強制。
  • 即時退職者・異動遮断: Entra ID 側でアカウント無効化やグループ除外を行うと、メッシュネットワークへの通信権限も即座に無効化。

2. 事前準備・前提条件チェックリスト

設定を開始する前に、以下の準備が整っていることを確認してください。

チェック項目必要条件・推奨値備考
[ ]Entra ID 管理者権限「グローバル管理者」または「特権ロール管理者」アプリ登録と管理者同意に必要です
[ ]AegisMesh 管理者権限TenantAdmin または SuperAdminhttps://app.aegismesh.kusa-cloud.com/integrations にアクセス可能なこと
[ ]Entra ID ライセンスMicrosoft Entra ID Free / P1 / P2条件付きアクセス連携を行う場合は P1/P2 が必要です
[ ]作業時間の目安約 10 〜 15 分反映待ち時間は含みません

3. 【STEP 1】Microsoft Entra 管理センターでのアプリ登録

Microsoft Entra ID 側で、AegisMesh 連携用のアプリケーションを新規登録し、API アクセス許可とクライアントシークレットを発行します。

1-1. アプリケーションの新規登録

  1. Microsoft Entra 管理センター（または Azure Portal）に管理者アカウントでサインインします。
  2. 左メニューから 「ID」>「アプリケーション」>「アプリの登録」 を開き、「+ 新規登録」 をクリックします。
  3. 以下の内容を入力して 「登録」 をクリックします：
    • 名前: AegisMesh Zero Trust Network（社内で識別しやすい名前）
    • サポートされているアカウントの種類: この組織ディレクトリのみに含まれるアカウント（シングル テナント）
    • リダイレクト URI (省略可能):
      • プラットフォーム: Web
      • URI: 
        https://app.aegismesh.kusa-cloud.com/api/auth/callback

1-2. アプリケーション情報（ID）の確認・控え

登録完了後に表示される 「概要」 画面から、以下の 2 つの値をメモ帳等に控えます：

  • アプリケーション (クライアント) ID: （例: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx）
  • ディレクトリ (テナント) ID: （例: yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy）

1-3. クライアントシークレットの発行

  1. 左メニューの 「証明書とシークレット」 を選択し、「+ 新しいクライアント シークレット」 をクリックします。
  2. 説明（例: AegisMesh Sync Secret）と 有効期限（推奨: 180日〜730日）を選択し、「追加」 をクリックします。
  3. 一覧に生成された 「値 (Value)」 を即座にコピーして控えます。

    [!WARNING] シークレットの「値」は画面を再読み込み・離脱すると二度と表示されません。必ずこの時点でコピーしてください。「シークレット ID」とお間違えのないようご注意ください。

1-4. Microsoft Graph API アクセス許可と管理者同意の付与

ユーザーおよびグループ情報を安全に自動同期するため、Graph API のアクセス許可を付与します。

  1. 左メニューの 「API のアクセス許可」 を選択し、「+ アクセス許可の追加」 をクリックします。
  2. 「Microsoft Graph」 > 「アプリケーションの許可 (Application permissions)」 を選択します。
  3. 検索ボックスから以下の 2 つの権限にチェックを入れ、「アクセス許可の追加」 をクリックします：
    • User.Read.All （全ユーザープロファイルの読み取り）
    • Group.Read.All （セキュリティグループ・メンバーシップの読み取り）
  4. 一覧の上部にある 「<組織名> に管理者の同意を与えます」 をクリックし、状態が 「許可済み（緑のチェックマーク）」 になったことを確認します。

4. 【STEP 2】AegisMesh 管理コンソールでの登録

取得した Entra ID の認証情報を、AegisMesh の管理コンソールに登録します。

  1. ブラウザで AegisMesh 管理コンソール (app.aegismesh.kusa-cloud.com) に TenantAdmin 権限でログインします。
  2. 左メニューから 「Integrations」（外部連携）画面を開きます。
  3. 「Microsoft Entra ID (Azure AD)」 カードの 「設定」（または Connect）ボタンをクリックします。
  4. 設定モーダルが表示されますので、STEP 1 で控えた値を入力します。

設定項目 対比マトリクス表

AegisMesh 入力項目Entra ID 側の対応項目設定値の形式・入力例注意点
Tenant IDディレクトリ (テナント) ID00000000-0000-0000-0000-000000000000GUID 形式（概要画面で確認）
クライアント IDアプリケーション (クライアント) ID00000000-0000-0000-0000-000000000000GUID 形式（概要画面で確認）
クライアントシークレットクライアント シークレットの「値 (Value)」abc12~xxxxxxxxxxxxxxxxxxxxxx「シークレット ID」ではなく「値」を貼り付けてください
  1. 入力内容を確認し、「保存」 ボタンをクリックします。

5. 【STEP 3】疎通確認とグループ自動同期の検証

  1. 連携ステータスの確認:
    • 「Integrations」画面で、Microsoft Entra ID のステータスが 「Active（接続中・緑色）」 になっていることを確認します。
  2. ユーザー一覧の確認:
    • 左メニューの 「Users」 を開き、Entra ID 上のアカウントが自動的に一覧へ同期されていることを確認します。
  3. グループ一覧の確認:
    • 左メニューの 「Groups」 を開き、Entra ID のセキュリティグループが同期されていることを確認します。

6. 【STEP 4】エンドユーザー端末での SSO 動作確認

PC またはモバイル端末の AegisMesh クライアントから、Entra ID を利用したログインをテストします。

  1. 社員端末の AegisMesh クライアントアプリを起動します。
  2. 「Change Server」 に社内 AegisMesh サーバーURL（例: app.aegismesh.kusa-cloud.com）が設定されていることを確認し、「Connect」 をクリックします。
  3. ブラウザが起動し、Microsoft のログイン画面が表示されます。
  4. 社用アカウント（例: [email protected]）を入力し、パスワードおよび Microsoft Authenticator の多要素認証を通過します。
  5. 認証完了後、端末上で 「Connected（接続済み・緑色アイコン）」 となり、仮想 IP が正常に割り当てられたことを確認します。

[!TIP] Windows のサイレントログイン（PRT連携） Microsoft Entra ハイブリッド参加（または Entra 参加）済みの社用 Windows PC であれば、ログイン時の Primary Refresh Token (PRT) により、ID・パスワード入力を省略したシームレスな自動ログインが可能です。

7. トラブルシューティング（FAQ）

Q1. 「AADSTS700016: Application with identifier … was not found」と表示される

  • 原因: AegisMesh 画面に入力した「Tenant ID」または「クライアント ID」に誤り（空白や typo）があります。
  • 対応: Entra 管理センターの「アプリの登録」概要画面の「ディレクトリ (テナント) ID」および「アプリケーション (クライアント) ID」を再度コピーし、貼り直してください。

Q2. 「Insufficient privileges to complete the operation」と表示され同期に失敗する

  • 原因: Microsoft Graph API のアクセス許可に User.Read.All / Group.Read.All が付与されていないか、「管理者の同意」が完了していません。
  • 対応: Entra 管理センターの 「API のアクセス許可」 を開き、状態欄が緑色のチェックマーク（「<組織名> に付与されました」）になっていることを確認してください。

Q3. 「Invalid client secret provided」という認証エラーが発生する

  • 原因: クライアントシークレットの「シークレット ID」を誤って入力したか、シークレット文字列の末尾にスペースが含まれています。
  • 対応: 「証明書とシークレット」画面で新しいシークレットを再発行し、「値」を正確にコピーして登録し直してください。