SC-300 Entra ID基礎 ハンズオン Module 01

Microsoftが提供しているSC-300のHandsOnを正月休みにやっていく。

英語版。

https://microsoftlearning.github.io/SC-300-Identity-and-Access-Administrator/

日本語版はこちら。

https://github.com/MicrosoftLearning/SC-300-Identity-and-Access-Administrator.JA-JP/blob/main/Instructions/Labs/Lab_00_SetUpLabResources.md

全部で4 Module。
Module 01: https://qiita.com/smr1/items/1c2558fdb466795669cc
Module 02: https://qiita.com/smr1/items/975769ee5d0822562aef
Module 03: https://qiita.com/smr1/items/8de42c5504511b067890
Module 04: https://qiita.com/smr1/items/fdd57f3f2bc2acab9633

Entra Idの機能の一覧を簡単に把握したい方もどうぞ。

実際にやってみると中々長くなるので、自分用にまとめます。記憶に残るようにスクショ多めで。まずはModule 01分。
文章の説明はBing Copilotに質問して回答してもらいました！自己責任で利用します。

ハンズオンでは、Microsoft Entra Admin Centerを使っていく。

## ユーザー ##
ユーザーをcsvで一括登録するときの入力必須項目。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/65052baa-d3c3-c9ce-9237-15e639c3e763.png)

PowershellのコマンドはNew-Mg...、Microsoft Graphの略なのか。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/10330805-68bc-ca1a-1d03-7215312858fc.png)

Identities > Propertiesでログイン画面に表示するプライバシーや法的根拠等のリンクを設定することができる。ちなみにSecurity Defaultsもここで設定できる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/8e4b328e-91b2-c551-e3c0-a79f8efa57d5.png)

デフォルトだと、君の組織プライバシーリンク等設定していないよ、というメッセージが表示される。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/33c00db9-a9de-2814-a12e-5260270bf971.png)

## グループ ##
Groupを作成する。
気になるのは、①Group Type、②Membership Type、③Owner。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/22e87add-978d-f6f9-6a18-12b063ada890.png)

### GroupType ###
Microsoft 365 Groupというのは使ったことがなかったので、少し調べる。

https://kn.itmedia.co.jp/kn/articles/2310/04/news061.html

https://www.avepoint.com/blog/ja/microsoft-365-ja/what-is-microsoft-group

> Azure ADでは、以下の種類のグループがサポートされています¹：
> 1. **Microsoft 365 グループ**¹：共同作業の性質にあり、プロジェクトまたはチームで共同作業するユーザーに最適です。それは、以下を含む、グループのメンバーが共有するリソースとともに作成されます¹：
    - Outlook 会話
    - Outlook カレンダー
    - SharePoint ファイル
    - OneNote ノートブック
    - SharePoint チーム サイト
    - Planner の計画
    - Intune デバイス管理¹
>

> 2. **セキュリティ グループ**¹：リソースへのユーザー アクセスを制御するためのものです。ユーザーがセキュリティ グループのメンバーであるかどうかを確認することで、そのユーザーがアプリ内のいくつかのセキュア リソースにアクセスしようとしているときに、アプリが承認を判断することができます¹。

>
> 3. **メールが有効なセキュリティ グループ**¹：セキュリティ グループと同じ方法で使用されますが、グループ メンバーにメールを送信するために使用できます¹。
>

> 4. **配布グループ**¹：ユーザーのグループに通知を送信するために使用されます⁴。
> これらのグループの種類は、`groupType`、`mailEnabled`、`securityEnabled`の各プロパティの設定で特定できます¹。具体的な詳細については、[Microsoft Graph でのグループの操作](^1^)に関するページを参照してください¹。¹⁴

### Membership Type ###
> Azure ADのグループのメンバーシップタイプは主に以下の2つに分類されます12：
>
> **割り当て済み（Assigned）12**：手動でユーザーまたはデバイスを登録できます12。具体的には、管理者が個々のユーザーやデバイスをグループに追加または削除します12。
>
> **動的（Dynamic）12**：属性ベースのルールを作成して、グループの動的メンバーシップを有効にすることができます1。動的グループメンバーシップは、メンバー属性に基づき、メンバーシップルールを使用してグループメンバーを自動的に追加および削除します1。ユーザーまたはデバイスの属性が変更されると、システムはディレクトリ内のすべての動的なグループルールを評価して、この変更によってグループの追加または削除がトリガーされるかどうかを確認します1。動的グループのメンバーを手動で追加または削除することはできません1。

ライセンスをアサインした後にReprocessで反映を確認することができる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/838c0452-bbc2-6672-2fa2-d86e3b6d9adf.png)

### Owner ###

グループを管理できる。PIMもOwnerが承認する機能か。
> Azure ADのグループの所有者には、以下のような機能が利用できます：
>
> **グループメンバーの追加と削除1**：所有者はグループメンバーを追加したり、削除したりすることができます。
>
> **所有者の取得と追加2**：Get-AzureADGroupOwnerコマンドレットを使用して、Azure Active Directory (AD) のグループの所有者を取得することができます。また、Add-AzureADGroupOwnerコマンドレットを使用して、グループに所有者を追加することもできます。
>
> **グループの所有者ロールとメンバーロールの管理3**：グループ向けの PIM (Privileged Identity Management) は、グループの所有者ロールおよびメンバーロールを必要な時に必要な時間だけ付与すると> いう JIT (Just-In-Time) アクセスの機能です。
>
> **グループオブジェクトの変更4**：所有者は、グループオブジェクトの変更を許可されています。

## External Collaboration Settings ##
ゲストをどの程度招待できるかとかを設定できる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/7e35e8a9-899e-65ec-fd6a-7e8bd13792ec.png)

## Guest Invitation ##
CSVで一括Inviteできる。
Redirect URLを設定できるのCSVの特徴。手動でInviteしたときは設定できないぽい。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/a9966065-4f6c-a2cf-f6c0-7750c7b22187.png)

Powershellでやった場合。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/740e5a6e-c9ab-ceea-5480-9f0471f96be1.png)

## Federated Identity Provider ##
概要

https://learn.microsoft.com/ja-jp/entra/external-id/external-identities-overview

詳しい手順はこちら。
Azure ADとGCPのGoogleのIDPを連携する設定。

Invitationだけじゃなくて、Self service sign upもできるようになる。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/414a1114-9c53-1175-a8f4-074737f3e063.png)

https://blog.cloudnative.co.jp/10201/

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/654538/63849ffd-ff1a-abb3-d365-f87e9ff393b7.png)