Apple Business ManagerでMicrosoft Entra IDとのFederated Authenticationを使用する

Apple Business Managerで、Federated Authenticationを使用してMicrosoft Entra IDをリンクすると、ユーザはMicrosoft Entra IDのユーザ名（通常はメールアドレス）とパスワードでAppleデバイスにサインインできるようになります。

これによりユーザは、Microsoft Entra IDの認証情報を管理対象Apple Accountとして利用できます。ユーザはその後、それらの認証情報を使用して、割り当て済みのiPhone、iPad、Mac、さらにWeb上のiCloudにサインインすることができます。

Microsoft Entra IDはIDプロバイダ（IdP）であり、Apple Business Managerのユーザを認証し、認証トークンを発行するために使用します。この認証は、証明書認証と2ファクタ認証（2FA）をサポートしています。

開始する前に

Microsoft Entra IDにリンクする前に、以下を検討してください。

連携する前に、ドメインをロックして、ドメインキャプチャをオンにする必要があります。「ドメインをロックする」を参照してください。
Federated Authenticationを使用するには、ユーザのuserPrincipalName（UPN）がメールアドレスと一致する必要があります。userPrincipalNameのエイリアスと代替IDはサポートされていません。
連携されたドメインにメールアドレスがある既存のユーザの場合、そのメールアドレスと一致するように管理対象Apple Accountが自動的に変更されます。
管理者またはユーザマネージャの役割を持つユーザアカウントは、Federated Authenticationを使用してサインインできません。これらの役割では、連携プロセスの管理のみが可能です。
Microsoft Entra IDの接続が期限切れになると、ユーザアカウントとMicrosoft Entra IDの連携と同期が停止します。連携と同期を引き続き使用するには、Microsoft Entra IDに再接続する必要があります。

Federated Authenticationプロセス

このプロセスは、主に次の3つの手順で構成されます。

Federated Authenticationを設定する。
1つのMicrosoft Entra IDユーザアカウントでFederated Authenticationをテストする。
Federated Authenticationを有効にする。

手順1：Federated Authenticationを設定する

最初に、Microsoft Entra IDとApple Business Managerの信頼関係を築きます。

注記: この手順を完了すると、ユーザは、構成したドメイン上で個人用Apple Accountを新たに作成することができなくなります。これは、ユーザがアクセスしているAppleのその他のサービスに影響を与える可能性があります。「連携時にAppleのサービスを移行する」を参照してください。

Apple Business Managerで、管理者またはユーザマネージャの役割を持つユーザでサインインします。
サイドバーの下部にある自分の名前を選択し、「環境設定」を選択し、「管理対象Apple Account」を選択して、「ユーザサインインとディレクトリ同期」の下の「今すぐ始める」を選択します。
「Microsoft Entra ID」を選択し、「続ける」を選択します。
「Microsoftでサインイン」を選択し、Microsoft Entra IDのグローバル管理者のユーザ名を入力して、「次へ」を選択します。
アカウントのパスワードを入力して、「サインイン」を選択します。
アプリケーションの利用規約を注意深く読み、「Consent on behalf of your organization（組織に代わって同意）」を選択し、「同意する」を選択します。
これにより、Microsoft Entra IDにある情報へのアクセスを、MicrosoftがAppleに与えることに同意します。
必要に応じて、確認済みのドメインと競合するドメインを確認します。
「完了」を選択します。

場合によっては、ドメインにサインインできないことがあります。一般的な理由は、以下のとおりです。

手順4のアカウントのユーザ名またはパスワードが間違っている。

手順2：1つのMicrosoft Entra IDユーザアカウントでFederated Authenticationをテストする

重要: Federated Authenticationテストでは、デフォルトの管理対象Apple Accountフォーマットも変更されます。

以下のタスクを完了したら、Federated Authenticationの接続をテストできます。

ユーザ名の競合チェック
管理対象Apple Accountのデフォルトフォーマットのアップデート

ユーザアカウントの役割の変更は、Apple Business ManagerをMicrosoft Entra IDにリンクした後に行うことができます。たとえば、ユーザアカウントの役割を職員の役割に変更したい場合があります。

注記: 管理者またはユーザマネージャの役割を持つユーザアカウントは、Federated Authenticationを使用してサインインできません。これらの役割では、連携プロセスの管理のみが可能です。

連携するドメインの横にある「連携する」を選択します。
「Sign in to Microsoft Entra ID Portal（Microsoft Entra IDポータルにサインイン）」を選択し、ドメインに存在するアカウントのMicrosoft Entra IDのユーザ名を入力し、「次へ」を選択します。
アカウントのパスワードを入力し、「サインイン」＞「完了」＞「完了」の順に選択します。