Apple Business ManagerでMicrosoft Entra IDとのFederated Authenticationを使用する

Apple Business Managerで、Federated Authenticationを使用してMicrosoft Entra IDをリンクすると、ユーザはMicrosoft Entra IDのユーザ名（通常はメールアドレス）とパスワードでAppleデバイスにサインインできるようになります。

これによりユーザは、Microsoft Entra IDの認証情報を管理対象Apple IDとして利用できます。ユーザはその後、それらの認証情報を使用して、割り当て済みのiPhone、iPad、Mac、さらにWeb上のiCloudにサインインすることができます。

Microsoft Entra IDはIDプロバイダ（IdP）であり、Apple Business Managerのユーザを認証し、認証トークンを発行するために使用します。この認証は、証明書認証と2ファクタ認証（2FA）をサポートしています。

開始する前に

Microsoft Entra IDにリンクする前に、以下を検討してください。

Federated Authenticationを使用するには、ユーザのuserPrincipalName（UPN）がメールアドレスと一致する必要があります。userPrincipalNameのエイリアスと代替IDはサポートされていません。
連携されたドメインにメールアドレスがある既存のユーザの場合、そのメールアドレスと一致するように管理対象Apple IDが自動的に変更されます。
必要に応じて、使用するドメインを構成し、確認します。「新しいドメインにリンクする」を参照してください。Microsoft Entra IDと連携するドメインをすでに確認済みの場合は、このプロセスを省略できます。
管理者またはユーザマネージャの役割を持つユーザアカウントは、Federated Authenticationを使用してサインインできません。これらの役割では、連携プロセスの管理のみが可能です。
Microsoft Entra IDの接続が期限切れになると、ユーザアカウントとMicrosoft Entra IDの連携と同期が停止します。連携と同期を引き続き使用するには、Microsoft Entra IDに再接続する必要があります。

Federated Authenticationプロセス

このプロセスは、主に次の3つの手順で構成されます。

Federated Authenticationを設定する。
1つのMicrosoft Entra IDユーザアカウントでFederated Authenticationをテストする。
Federated Authenticationを有効にする。

手順1：Federated Authenticationを設定する

このタスクを実行することで、Microsoft Entra IDはApple Business Managerを信頼できるようになります。

注記: この手順を完了すると、ユーザは、構成したドメイン上で個人用Apple IDを新たに作成することができなくなります。これは、使用中のAppleのその他のサービスに影響を与える可能性があります。「連携時にAppleのサービスを移行する」を参照してください。

Apple Business Managerで、管理者またはユーザマネージャの役割を持つユーザでサインインします。
サイドバーの下部にある自分の名前を選択し、「環境設定」を選択し、「管理対象Apple ID」を選択して、「ユーザサインインとディレクトリ同期」の下の「今すぐ始める」を選択します。
「Microsoft Entra ID」を選択し、「続ける」を選択します。
「Microsoftでサインイン」を選択し、Microsoft Entra IDのグローバル管理者のユーザ名を入力して、「次へ」を選択します。
アカウントのパスワードを入力して、「サインイン」を選択します。
アプリケーションの利用規約を注意深く読み、「Consent on behalf of your organization（組織に代わって同意）」を選択し、「同意する」を選択します。
これにより、Microsoft Entra IDにある情報へのアクセスを、MicrosoftがAppleに与えることに同意します。
必要に応じて、確認済みのドメインと競合するドメインを確認します。
「完了」を選択します。

場合によっては、ドメインにサインインできないことがあります。一般的な理由は、以下のとおりです。

手順4のアカウントのユーザ名またはパスワードが間違っている。

手順2：1つのMicrosoft Entra IDユーザアカウントでFederated Authenticationをテストする

以下のタスクを完了したら、Federated Authenticationの接続をテストできます。

ユーザ名の競合チェック
管理対象Apple IDのデフォルトフォーマットのアップデート

ユーザアカウントの役割の変更は、Apple Business ManagerをMicrosoft Entra IDにリンクした後に行うことができます。たとえば、ユーザアカウントの役割を職員の役割に変更したい場合があります。

注記: 管理者またはユーザマネージャの役割を持つユーザアカウントは、Federated Authenticationを使用してサインインできません。これらの役割では、連携プロセスの管理のみが可能です。

連携するドメインの横にある「連携する」を選択します。
「Sign in to Microsoft Entra ID Portal（Microsoft Entra IDポータルにサインイン）」を選択し、ドメインに存在するアカウントのMicrosoft Entra IDのユーザ名を入力し、「次へ」を選択します。
アカウントのパスワードを入力し、「サインイン」＞「完了」＞「完了」の順に選択します。