Room D
Windows
Intune
Windows
Intune
Azure Active Directory World
Windows Server Active Directory World
業務サービス
運用管理サービス
業務データ
社内 PC
社員
SaaS
Windows Server AD World
業務サービス
運用管理サービス
業務
データ
社内 PC
社員
Azure Active Directory World
ID Store
http://technet.microsoft.com/en-us/library/jj679342.aspx
Security Token
Services
（STS）
CP(IdP)
側
RP(SP)
側
SAML 2.0
WS-Federation
Sign-on end-point
https://login.windows.net/･･･
SAML 2.0
WS-Federation
ECP : Enhanced Client or Proxy
Active
Active
Active
アクセスパネル
• Microsoft Azure AD テナントと関連付けられた SaaS の一覧（ポータル）
• ユーザーは、サービスをクリックすればよい
http://myapps.microsoft.com/
IDとパスワードを自動入
力してくれるアドイン
SAML/WS-Fed
の場合
OAuth2.0/
OpenID Connect
の場合
WS-Federation
SAML 2.0
OpenID Connect
OAuth 2.0
• どのサービスを利用できるかは IdP が決定
• CPがユーザーに対してクレームを発行
• ユーザーがアプリケーションにクレームを渡す
• どのサービスを利用するか（どのサービスを信頼
するか）をユーザーが決めることができる
• ユーザーはアプリケーションに対してクレーム取
得を許可する（クレームを取得するための API 利
用を許可する（API認可））
• クレームは RP が CP（のAPI）に取りに行く
RP
IdP/CP
信頼
利用者①認証
②クレーム
③クレーム
RP
IdP/CP
利用者①認証
④APIにアクセス
②API
アクセス
許可
⑤ユーザー情報
⑥アクセス許可
（例）管理用アプリ
•
アカウント情報
•
アプリケーション
•
パーミッション 等
※VS2013もOAuth Clientの
一種
ID ストア
Graph
RP(SP
)側
Federation
SAML 2.0
Security Token
Services
（STS）
CP(IdP)
側
https://graph.windows.net/contosojp.com/<method>
超お勧め エバンジェリスト 松崎剛さんのBLOG
http://blogs.msdn.com/b/tsmatsuz/archive/2012/09/10/windows-azure-active-directory-aad-graph-api-oauth2.aspx
•
Principal Id
•
Symmetric Key
Protocol
Flow
Category Primary Purpose
ADFS 2 ADFS 3 AAD
ACS
OAuth 2.0
Authorization Code Grant Web API Browser-based authorization / delegation No Yes Yes Yes Client Credentials Grant Web API Server to server authorization / delegation No No Yes YesImplicit Grant Web API JavaScript based authorization / delegation (e.g. SPA) No No No No Resource Owner Password
Credentials Grant Web API Authorization / delegation by sending user credentials through highly trusted app No No No Yes
Refresh Token Web API Refreshing expired tokens without prompting user No Yes Yes Yes
OAuth WRAP
Web Resource AuthorizationProtocol (WRAP) Web API Browser-based authorization / delegation (deprecated by OAuth 2.0 auth code grant) No No No YesWS-Federation
Passive Requestor Profile UserSign In Browser-based federated authentication Yes Yes Yes Yes Active Requestor Profile
(aka WS-Trust) Web API Client (app) authentication Yes Yes Yes Yes
SAML 2.0
Single Sign On (WebSSO) UserSign In Browser-based federated authentication Yes Yes Yes No
Single Sign Out UserSign Out Browser-based federated sign-out Yes Yes Yes No
Kerberos/NTLM
UserSign In Authentication for intranet apps on domain-joined machines Yes Yes No No
