AU について

# はじめに
* Microsoft 社の IDaaS「Azure Active Directory」の機能のうち、「管理単位(AU)」について記載します。

## IDaaS（Identity as a Service）とは
### 概要
* Identity 管理（ユーザアカウントといったIdentityの管理）を担うクラウドサービスを指します。

### 例
* 一例として以下があります。

|名前|提供元企業|
|---|---|
|Azure Active Directory|Microsoft社|
|Okta|Okta社|
|OneLogin|OneLogin社|

## Azure Active Directory (Azure AD) とは
* 前述のとおり、Microsoft 社が提供する IDaaS です。

### 機能
* 私見ですが、以下の機能があります。

|種類|説明|
|---|---|
|ディレクトリサービス|ユーザ、グループ、アプリケーション、デバイス、リソース操作のためのアカウント(マネージドID) を管理します。
|認証|各サービスを利用するための認証基盤を担います。「SAML」や「Open ID Connect」といったフェデレーションプロトコルにより、Salesforceといったクラウドサービスへのシングルサインオン（1度の認証で複数サービスを利用可能とすること）を実現します。|
|ID連携(プロビジョニング)|「SCIM」といったプロビジョニングプロトコルにより外部サービスにIDを連携します。|
|認可|「Microsoft Graph」等の API について、許可された権限内でディレクトリのリソースを扱えるよう制御します。その際、「OAuth」, 「Open ID Connect」といったプロトコルが利用されます。|
|IDの保護|「Azure AD identity protection」といった機能で匿名 IP アドレスからのログイン等、リスクの高いユーザに対するアラート、また自動でサインインのブロックを行います。|
|Active Directory とのディレクトリ同期|「Azure AD Connect」、または 「Azure AD Connect Cloud Provisioning」 といったツールで、後述の 「Active Directory」とディレクトリを同期します。|

### Active Directory (AD) との違い
* Microsoft 社は、Windows Server 上で Azure AD と似た名称の「Active Directory」というディレクトリサービスの機能を提供してきました。
  * 近年は、PaaS 版 AD として「Azure Active Directory Domain Services」もあります。

* 私見ですが、以下は AD と Azure AD の違いです。

|観点|Active Directory|Azure Active Directory|備考|
|---|---|---|---|
|プロトコル|LDAP, Kerberos, NTLM|SCIM, OAuth, SAML, Open ID Connect など||
|ドメイン|ドメインを親子関係で階層化し、複数のドメインツリーから成る「フォレスト」を形成する。|ドメインは階層化しない。別ドメインのユーザは Azure AD B2B で自ドメインに招待する。||
|アクセス対象|プロトコル「Kerberos」でドメインに参加したサーバーにアクセスする。|プロトコル「SAML」,「Open ID Connect」でドメイン外のクラウドサービスにアクセスするケースが多い。|「Active Directory Federation Service」を利用すれば、ADでもドメイン外のクラウドサービスにアクセスはできる。|
|オブジェクト|プロトコル「LDAP」により木構造で管理する。例えば、ユーザオブジェクトの場合、「cn=user,ou=accounts,dc=example,dc=com」といった DN (Distinguish Name) で表す。|木構造で管理しない。|
|グループポリシー|ou (Organizational Unit) にオブジェクト (ユーザ, グループ, コンピュータ等) を格納しグループポリシーを適用する。|グループポリシーはない。代わりに、Microsoft Intune と組み合わせてデバイスのアクセスを管理する。|

## 管理単位(AU)とは
* [公式ドキュメント](https://docs.microsoft.com/ja-jp/azure/active-directory/users-groups-roles/directory-administrative-units) より、「AU」は、Azure AD のユーザやグループ等を格納するコンテナを担います。
* また、AU の管理対象に対して、特定のロールを持つ AU の管理者をもうけることができます。

### AD の ou との違い
* AD では ou というユーザやグループ等のオブジェクトを格納し、グループポリシーを適用する機能があります。
* Azure AD の AU はユーザやグループ等を格納できる点は類似しています。ただ、Azure AD ではグループポリシーの機能はないため、AD のようにグループポリシーを適用する利用方法はありません。AU に対して特定の管理者を割り当てることはできます。

### AU の操作方法
* [公式ドキュメント](https://docs.microsoft.com/ja-jp/azure/active-directory/roles/admin-units-manage) より、以下が挙げられています。
    * Azure Portal
    * PowerShell
    * Microsoft Graph

### Azure Portal 上での AU の操作
以下では、AU にユーザを格納し、AU に対するライセンス管理者を設定する例を記載しています。

1. [公式ドキュメント](https://learn.microsoft.com/ja-jp/azure/active-directory/roles/admin-units-manage) より、AU の管理者には Azure AD Premium P1 ライセンス、または、P2 ライセンスが必要です。事前に、AU の管理者とするユーザに本ライセンスを割り当てます。今回は、auadmin というユーザが該当します。
2. 全体管理者で Azure Portal にログインし、[Azure Active Directory] - [管理単位] - [追加]を開き、AU を作成します。
    i. AU の名前を設定します。 
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/672573/0bfb175c-7f4d-cca0-7e60-bcfebc420d36.png)

    ii. AU に対する管理者を設定します。今回は、手順1 の auadmin をライセンス管理者として設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/672573/adea3b0f-6d40-cd5f-1e71-12672546a204.png)

    iii. 最後に確認画面で AU を作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/672573/630f5ed9-889c-871c-aa0f-7eabaaa295d0.png)

3. [Azure Active Directory] - [管理単位] で、作成した AU を選択し、［メンバーの追加］を実行します。今回は、auuser というユーザを AU の管理対象として設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/672573/fab9079d-6d31-af60-eaad-bf257dd0f39d.png)

4. AU のライセンス管理者である auadmin で Azure Portal に再ログインします。

5. [Azure Active Directory] - [ユーザー]より、AU の管理対象である auuser を開きます。［ライセンス］の［割り当て］が許可されていることが確認できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/672573/f7ebf1e3-9f6d-2274-366f-56dd6f4ac36b.png)

6. [Azure Active Directory] - [ユーザー]より、 AU で管理対象外のユーザを開きます。以下のように、ライセンスの［割り当て］が許可されていないことが確認できます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/672573/faf749e4-6a2c-2ea5-da69-1a0c0495d86d.png)

# 参考資料
* [Azure Active Directory の管理単位](https://docs.microsoft.com/ja-jp/azure/active-directory/users-groups-roles/directory-administrative-units)
* [管理単位の作成または削除](https://learn.microsoft.com/ja-jp/azure/active-directory/roles/admin-units-manage)
* [Azure ADでOUを作成](https://azuread.net/2020/04/24/azure-ad-ou/)
* [[AzureAD]管理者アカウントの権限の絞り込み](https://idmlab.eidentity.jp/2015/01/azuread.html)