enjoy struggling

Microsoft Ignite 2019 が今年も開催されてましたね。

今年もセキュリティキーに関してアップデートがあったけど、ポケモン剣盾で時間とられて、余裕ないので雑にメモ。

孵化あまり、だれか交換しましょう。

去年はセキュリティキーでのサインイン含む、WebAuthn, パスワードレス系のセッションを聞いてテンション上げてましたねー。もう一年か、早いもんだ。

BRK2130 Azure Active Directory: New features and roadmap

https://myignite.techcommunity.microsoft.com/sessions/81713?source=sessions

Azure AD の新機能のお話。

  • SaaS アプリとの SCIM によるプロビジョニング
    • Salesforce, Facebook 等へは SCIM で接続済み
    • なんか見てると、3rd Party の ID 管理システムから Azure AD への同期もできそうな雰囲気
    • SaaS => AAD も SCIM なのかな…？
  • オンプレとの同期ツール、Azure AD Cloud Provisioning
    • (ググラビリティ低くない？)
    • 軽量エージェントインストールするだけで設定はクラウド
    • 三井住友? の 200 フォレストあるテナントで試してた？ (英語聞き取れず)
    • MIM とか知らないっす。
  • First Worker 向け機能
    • 製造・小売り等の従業員向けっぽい
    • プロビジョニングと 電話番号でのサインイン!
  • B2B ダイレクト フェデレーション (プレビュー))
    • Google, Okta, Ping Fed や、他社の AD FS から直接ゲストユーザーがサインインできる
    • ドキュメントはこのへん
  • アクセスパネルのワークスペースによるグルーピング機能
    • なんで今までなかったんや…
  • Entitlement Management と外部ツールによる? 権限申請・承認フローのデモ
  • Azure AD の Availability のはなし
  • ハイブリッド環境への FIDO2 Security Key によるサインイン
    • Hybrid Azure AD Joined 環境でセキュリティキーでのサインインできる
    • FY20Q1 Public Preview の予定…らしい
  • 条件付きアクセスのレポート オンリーモード
    • 条件付きアクセスの設定テストのために、サインインログに出すだけでブロックしないモード

盛りだくさんだけど、気になったのは First Worker 向けの電話番号でのサインインと、Hybrid Azure AD 環境での FIDO2 セキュリティキー。

あと SCIM 触ったことないので、どっかで触っておきたい。

https://myignite.techcommunity.microsoft.com/sessions/81716?source=sessions

Hybrid 環境での FIDO2 セキュリティキーのデプロイ。2020年の始めにパブリック プレビューの予定。

Azure AD Connect の最新版 + Win10 の Insider Build + ドメコンへのパッチが必要らしい。

フローはこんな感じ

  • (0) Azure AD Connect で Kerberos Server keys をクラウドにもっていく
  • WebAuthn で認証
  • AAD がユーザーネームだけ入った一時的な TGT チケットを同期した秘密鍵で生成して取得
  • PRT と一緒に Windows 10 が受け取る
  • オンプレの AD に 一時的な TGT チケットを提示
  • オンプレ AD が完全な TGT チケットを返却

これ、AD につながらないときはどんな動きするんだろう。普通に PRT 落ちてきてるから、Azure AD に対しては認証できそう。

あとは Kerberos Server keys を組織の外に同期するって、どの程度のインパクトなのかよくわからん。

そして動かんくなったときのデバッグつらそうｗ

あとは、Windows と CTAP2 の統合。

指紋や PIN の設定を Windows の設定から行えるようになったとのこと。デモでは失敗してたけど。

Biometrics 系の API って標準化されてるんかな。この辺最近追ってないのでわからん。

まとめ

パスワードレスへ移行するための道筋的なのはこっち

デバイスのアップデートサイクルに合わせて TPM 使えるマシンにしろとか、MSAL 使った OIDC の認証に切り替えろ見たいな話しをしていたと思う。(ちゃんと聞いてない)

BRK2261 Empower firstline worker productivity from day one

https://myignite.techcommunity.microsoft.com/sessions/81630?source=sessions

AAD 新機能のセッションみてちょっと気になったので。

FirstLine Worker って言葉を知らなかったんだけど、小売店や製造業の、店舗従業員や作業員といった意味らしい。

そういった人たちにも、Teams やら Shift (Staff Hub の後継) を使ってもらって、仕事効率高めようという話。

MS シフト管理ツールまで持ってるんか…。Staff Hub とか聞いたことなかったわ。

は、置いといて、プロビジョニングして使い始めてもらうっていう文脈で、管理者が設定した電話番号にワンタイム パスコード送ってサインインができるという機能。
Y!っぽいあれですね。

HR システムからユーザーをプロビジョニングして、Teams のチャネルに自動招待。あと電話番号も登録。

ユーザーは自分の電話番号でサインインするだけ。

複数の組織に所属してたらどうなるんだろうとか、気になるところはあるけど、パスワード リセットのヘルプセンターの管理するよりずっといいんじゃないでしょうか。

今日はヒバニーの孵化作業があるので、ここまで。

TAGS