株式会社ネクストセット

シングルサインオン 導入マニュアル（統合シングルサインオン認証タイプ）

株式会社ネクストセット
2016/9/9
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reservedネクストセットのご紹介

会 社 名:

株式会社ネクストセット

設立:

2013年4月

資 本 金:5000万円

代 表 者:

代表取締役社長 別所

所 在 地:〒103-0025
東京都中央区日本橋茅場町2－17－5

連 絡 先:TEL : 050-5835-1092
E-Mail : contact-info@nextset.co.jp

概ネクストセットはOffice365の導入支援・アプリケーション開発に特化したソリューションベン
ダーです。Office365をより安全に、より便利にご利用頂くための様々なプロダクトをご用意しております。『ネクストセット・シングルサインオン』はネットワークや端末による細かなアクセス制御や、パスワード強度、ログイン履歴などを簡単にかつ柔軟に設定、管理することが可能です。『ネクストセット・組織アドレス帳』は社内の組織情報をツリー形式で表示可能なアドレス帳です。ユーザーが何を必要としているか？を常に考え、最適なプロダクトをご提供し、お客様の快適なOffice365環境をサポートします。

要:

貴英

http://www.nextset.co.jp
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

本マニュアルの目的
ネクストセット・シングルサインオン for Office365（以下、SSO）はOffice365へのアクセス制限を実現するアドオン製品です。
SSOは多機能なため様々な設定が可能ですが、本マニュアルでは一般的な利用方法を想定して、導入・設定に必要最低限な内容のみ説明しています。
SSOの機能詳細についてはオンラインマニュアルをご参考くさだい。
https://nextset-public.sharepoint.com/manual_sso
本マニュアルで想定するSSO利用環境項目

設定

認証タイプ

統合シングルサインオン認証タイプ

管理ユーザーのアクセス制御

社内・社外ともに端末制御無しにアクセスできる

一般ユーザーのアクセス制御

社内は端末制御無しでアクセスできる
社外は許可端末でのみアクセスできる

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved3シングルサインオンの基本的な仕組み
Office365のサインイン認証をOffice365自身ではなくネクストセットの認証サーバーで行うように切り替えます（フェデレーション）
ネクストセットの認証サーバーではアカウント情報だけでなく、IPアドレス・端末情報を含めて認証することができます。
2
認証チェック・アカウント情報
・IPアドレス・端末情報

ネクストセット
SSO

認証を委任

3
認証情報の受渡サービスの要求

4
１
セキュリティルールの適用
例：社外は利用不可
例：社外でも許可端末は可能

サインイン

サインイン

社外
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

サービス提供セキュリティルールの適用
例：社内は利用可能社内

4

導入前の準備
シングルサインオン導入前にOffice365側で以下を準備しておく必要があります。
項目内容

管理者アカウントの作成

バックグラウンドでタスク処理を行うためのアカウントです。
初期ドメイン『xxxx.onmicrosoft.com』のユーザーを作成して、『全体管理者』の権限を付与してください。
パスワード有効期限を無期限にしておくことを推奨します。※1

初期ログインIDの作成

SSO管理画面を初期に利用するアカウントを作成します。
一般的にはシステム管理者、責任者などのアカウントでご利用ください。

※1

パスワード有効期限を無期限にするにはPowerShellでの操作が必要になります。
＜PowerShellを使ったOffice365の管理＞
https://sites.google.com/a/sateraito.jp/nextset-dounyuu/Home/powershell＜xxx@xxx.onmicrosoft.com のパスワードを無期限にするコマンド＞
Set-MsolUser -UserPrincipalName xxx@xxx.onmicrosoft.com -PasswordNeverExpires $true

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved5

SSOでの利用制限
SSOご利用にあたっては一部機能制限が発生します。
端末Windows / Mac内容■端末制御をしている環境ではクライアントツールを利用してOffice365の各サービスにサインインします。
■端末制御をしていない環境ではクライアントツール無しでOffice365の各サービスにサインインします。(クライアントツールを利用することも可能)

iPhone/iPad/Android■Webサインインはセキュリティブラウザより行います。
■端末制御をしている環境でOutlook、Excel、OneDrive にサインインする
場合はセキュアブラウザが発行するパスワードを入力します。
■Skypeのご利用は可能ですが、端末制御することはできません（どの端末でも利用可能）■ActiveSync接続の端末制御はExchange管理の標準機能で行います。（モバイルデバイスアクセス）

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

6

導入までの流れ
下記フローの①～⑦の作業を実施します。

①申込み登録②Office365からSSOへユーザー情報を取り込む③SSOユーザー情報の登録、パスワード設定④SSOからOffice365へユーザー情報を反映⑤セキュリティルール（プロファイル)の編集⑥シングルサインオン
ドメインの有効化⑦Exchange管理でのActiveSync制御

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

7

①申込み登録

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

①申込み登録（１）以下URLからSSOの申込み登録を行います。
https://sso.nextset.jp/

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

9

①申込み登録（２）『導入前の準備』の『管理者アカウント』のアカウント情報を入力してください。

『導入前の準備』の『初期ログインID』のアカウント情報を入力してください。
パスワードはOffice365の内容ではなくSSO用パスワードを新規登録します。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

10

①申込み登録（３）クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

11

①申込み登録（４）クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

12

①申込み登録（５）

登録した『初期ログインID』『初期パスワード』でログインします。

SSO管理画面のURLは以下になります。
https://sso.nextset.jp/a/xxxx/※『xxxx』はOffice365の初期登録ドメイン『xxxx.onmicrosoft.com』の『xxxx』部分になります。
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

13

①申込み登録（６）SSO管理画面にサインインしました。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

14

②Office365からSSOへユーザー情報を取り込む

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

②Office365からSSOへユーザー情報を取り込む（１）クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved16

②Office365からSSOへユーザー情報を取り込む（２）クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved17

②Office365からSSOへユーザー情報を取り込む（３）

このままでいいですクリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved18

②Office365からSSOへユーザー情報を取り込む（４）

タスクが登録され処理が開始されます

クリックすると最新の状況が表示されます

http://www.nextset.co.jp『処理完了』であることを確認します

Copyright(c)2016 NextSet , Inc. All rights reserved

履歴からログを確認できます19

②Office365からSSOへユーザー情報を取り込む（５）クリック

Office365ユーザーがSSOに取り込まれています

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

20

③SSOユーザー情報の登録、パスワード設定

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

③SSOユーザー情報の登録、パスワード設定（１）
ユーザー管理 ＞ ユーザー一括エクスポート ＞ エクスポート
からユーザー情報をCSVにエクスポートします

クリック

CSVがエクスポートされるのでローカルに保存します

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

22

③SSOユーザー情報の登録、パスワード設定（２）エクスポートしたCSVをCassavaなどのCSVエディタで編集します。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved23

③SSOユーザー情報の登録、パスワード設定（３）ユーザー情報は項目がたくさんありますが、以下ポイントだけ編集すればOKです。
項目名説明o365_sync
Office365連係・ACTIVE：Office365アカウントの連係対象とする
・空：Office365アカウントの連係対象としない

sso_password
SSOパスワード

SSOにサインインするためのパスワード

sso_password_update_flag
SSOパスワード更新フラグ

・UPDATE：SSOパスワードを更新する
・空：SSOパスワードを更新しない※UPDATEにしないとSSOパスワードを設定しても反映されません■補足・o365_syncが空のユーザー情報はOffice365に連携されません。
・新規登録ユーザーの場合はimmutable_idを空で設定してください。
・CSV項目の詳細は以下をご参考ください
https://nextset-public.sharepoint.com/Lists/Photos/csv_l.png

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

24

③SSOユーザー情報の登録、パスワード設定（４）■ユーザー新規登録時の注意点
・新規ユーザーデータを作成する場合、１からCSVデータを作成しても良いですが既存データからコピーして必要箇所のみ編集するほうが簡単です。
・新規作成したいユーザー権限に合わせて『管理ユーザー』か『一般ユーザー』のどちらかをコピー元にしてください。
・コピーで作成した場合、『immutable_id』は空にしておいてください。
コピーしたままでインポートを実行するとエラーします。
・新規ユーザーは次のステップの『④SSOからOffice365へユーザー情報を反映』を実行することによりOffice365に連携されますが、Office365ライセンスは未割当の状態で作成されます。
必要に応じてOffice365管理画面でOffice365ライセンスを付与してください。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

25

③SSOユーザー情報の登録、パスワード設定（５）ユーザー管理 ＞ ユーザー一括インポート ＞ インポート
からCSVを選択し、ユーザー情報をインポートしますクリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

26

③SSOユーザー情報の登録、パスワード設定（６）ステータスレコードが作成されインポート処理が始まります

処理状況が『完了』になるまで待ちます

エラーが無いことをログで確認します

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

27

③SSOユーザー情報の登録、パスワード設定（７）ユーザーデータが作成・更新されています。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

28

④SSOからOffice365へユーザー情報を反映

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

④SSOからOffice365へユーザー情報を反映（１）クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

30

④SSOからOffice365へユーザー情報を反映（２）クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

31

④SSOからOffice365へユーザー情報を反映（３）
過去日付を指定（未来日付を指定してスケジュール実行させてもOKです）「処理待ち」にする

クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

32

④SSOからOffice365へユーザー情報を反映（４）

タスクが作成され処理開始となる

クリックすると最新の状況が表示されます

http://www.nextset.co.jp

ステータス『成功』を確認
稼動状況が『処理待ち』となり次回実行予定が翌日2:00となっている

Copyright(c)2016 NextSet , Inc. All rights reserved

履歴からログを確認できます33

④SSOからOffice365へユーザー情報を反映（５）新規ユーザー登録がある場合はOffice365管理センターからライセンス割当を行います。（またはPowerShellでライセンスを割当登録してください）

ライセンスが未割当状態なので必要に応じて割り当てます

新規追加ユーザー

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

34

SSO運用後のユーザー情報登録について
SSO運用開始後はSSOのユーザー情報を正として管理します。
ユーザー情報の追加、修正が必要な場合はSSOのユーザー情報を編集してOffice365に反映させるようにします。
ただし新規登録ユーザーのOffice365ライセンス割当はOffice365から行います。
ネクストセット
SSO

タスク『ユーザをO365に反映』を実行
追加・編集ユーザー情報の反映

クラウドサーバー

ユーザー情報の追加・修正
新規登録ユーザーのOffice365ライセンス割当

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

35

⑤セキュリティルールの編集

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

⑤セキュリティルール(プロファイル)の編集（１）
SSOのセキュリティルール(プロファイル)の設定はいろいろな指定ができますが、ここでは一般的な以下設定内容で登録をします。
・管理者ユーザー⇒社外・社内どこからでもアクセスできる・一般ユーザー⇒社外からはアクセスできない⇒ただし許可された端末であれば、社外からでもアクセスできる。
セキュリティルールの詳細は以下資料を御覧ください■セキュリティルール設定のヒント
https://goo.gl/fmZQhY

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved37

⑤セキュリティルール(プロファイル)の編集（２）■セキュリティルールと適用範囲の考え方
セキュリティルールはアクセス制御を取り決めたプロファイルです。
SSOでは複数のセキュリティルール（プロファイル）を作成することが可能です。
セキュリティルールはテナント全体、グループ単位、ユーザー単位に指定できます。
適用優先順位は以下通りです。
①ユーザーに指定されたプロファイル②ユーザーが所属するメイングループに指定されたプロファイル③テナント全体のデフォルトプロファイル※各プロファイルが重なって適用されることはありません。
■自動作成されるセキュリティルール
SSOを登録すると自動で以下プロファイルが作成されます。

一般ユーザー用標準プロファイル⇒テナント全体のデフォルトプロファイルとして適用されている
管理者用プロファイル⇒初回ログインIDユーザーに適用されている
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

38

⑤セキュリティルール(プロファイル)の編集（３）■社内ネットワークの登録
社内か？社外か？の判断はアクセス元IPが登録IPであるかで行います。
ダッシュボード ＞ テナント設定 ＞ プロファイルで使用する社内ネットワークから社内ゲートウェイのIPアドレスを登録します。

IPアドレスを登録
複数登録・サブネットマスク指定可能

保存http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

39

⑤セキュリティルール(プロファイル)の編集（４）
管理者用プロファイルの設定（基本的にそのままでOKです）
・社内からのアクセス ⇒端末制御しない・社外からのアクセス ⇒端末制御しないクリック
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

40

⑤セキュリティルール(プロファイル)の編集（５）チェックON（デフォルト状態）

チェックOFF（デフォルト状態）

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

41

⑤セキュリティルール(プロファイル)の編集（６）チェックOFF（デフォルト状態）

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

42

⑤セキュリティルール(プロファイル)の編集（７）
一般ユーザー用標準プロファイルの設定（必要に応じて編集してください）・社内からのアクセス ⇒端末制限しない
・社外からのアクセス ⇒端末制御するクリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

43

⑤セキュリティルール(プロファイル)の編集（８）ユーザーが端末申請した際、３台までは自動的に承認されます。
0台にしておけば自動承認されず、申請毎に管理者が承認する必要があります。

ここをチェックし、合わせてMACアドレスを登録しておくと、上記の『n台まで承認なしで利用可能』の設定に関わらず自動承認されます。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

44

⑤セキュリティルール(プロファイル)の編集（９）チェックON（デフォルト状態）

チェックOFF（デフォルト状態）

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

45

⑤セキュリティルール(プロファイル)の編集（１０）チェックON（デフォルト状態）
ここをチェックすることにより社外からは承認端末からのみアクセス可能となる

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

46

⑥シングルサインオンドメインの有効化

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

⑥シングルサインオンドメインの有効化の注意点
シングルサインオンドメインの有効化作業を行うことにより、Office365の認証サーバーがOffice365自身からネクストセットの認証サーバーに切り替わります。

切替は時間がかかることがあります。（最長２４時間、通常は即時～数時間）
切替処理中は一時的にOffice365にサインインできないこともあります。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved48

⑥シングルサインオンドメインの有効化（１）クリック

クリックしますボタンの表示が「SSO用証明書（キーペア）を再作成（差し替え）」に変われば完了です。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved49

⑥シングルサインオンドメインの有効化（２）クリック『シングルサインオン対象のドメインの管理』が開きます。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved50

⑥シングルサインオンドメインの有効化（３）統合シングルサインオン認証を選択します。

クリック

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved51

⑥シングルサインオンドメインの有効化（４）
このエラーが表示された場合はOffice365管理画面より「規定のドメイン」を変更します。

Office365管理センターより右上の会社名をクリック

規定のドメインを変更します。
通常は規定のドメインを「xxx.onmicrosoft.com」を指定してください。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved52

⑥シングルサインオンドメインの有効化（５）認証サーバーが正常に切り替わっているかOffice365のサインインテストを行います。
https://login.microsoftonline.com/からサインインを行います。
アカウントを入力するとリダイレクト処理が始まります

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

シングルサインオンのサインイン画面にリダイレクトされます。

53

⑥シングルサインオンドメインの有効化（６）

ログインするとOffice365画面にリダイレクトされます

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved54

⑦Exchange管理でのActiveSync制御

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

⑦Exchange管理でのActiveSync制御（１）ネクストセットシングルサインオンではActiveSync接続のIP制御、端末制御を行うことはできません。ActiveSync接続の端末制御はExchange管理から行います。
ここでは基本的な設定方法をご紹介します。
※ActiveSync制御の詳細はマイクロソフトにお問い合わせください。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

56

⑦Exchange管理でのActiveSync制御（２）ExchangeActiveSyncアクセスの設定
ActiveSync接続の基本的なアクセス設定を編集します。
（許可、ブロック、検疫）検疫されたデバイス
検疫されたデバイスが表示されるので許可または拒否します

デバイスアクセスルール
デバイスのモデル、ファミリ別に個別のルールを作成することができます。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

57

⑦Exchange管理でのActiveSync制御（３）一般的には№1、№2 のパターンがほとんどです。
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

58

⑦Exchange管理でのActiveSync制御（４）ExchangeActiveSyncアクセスの設定

ActiveSync接続の基本的なアクセス設定を編集します。
許可
AciveSync接続はどの端末からでも可能ですブロック
AciveSync接続は利用できません
検疫
ActiveSync接続した端末は一次保留の状態になります。
許可 or ブロック は「検疫されたデバイス」から設定します。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

59

⑦Exchange管理でのActiveSync制御（５）

検疫されたデバイス「検疫」設定している場合は、スマホからActiveSync接続をしてもこのようなメッセージが受信されます。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

60

⑦Exchange管理でのActiveSync制御（６）

検疫されたデバイス

許可orブロック
検疫されたデバイスの許可、ブロックを設定します。

許可 or ブロック すると表示されなくなります。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

61

⑦Exchange管理でのActiveSync制御（７）デバイスアクセスルール

デバイスファミリ、モデル毎に個別設定できます。
この例ではOutlookについては許可するようにしています。

設定できるファミリ、デバイスは一度接続しておかないと表示されません。
詳細は次ページ以降をご確認ください。

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

62

⑦Exchange管理でのActiveSync制御（８）デバイスアクセスルール

デバイスアクセスルールの作成画面では初期状態だと選択できる「ファミリ」「モデル」がありません。
その場合は、以下手順からデバイスアクセスルールを作成します。
＜登録方法 その①＞検疫されたデバイスから作成する検疫されたデバイスからルール作成のアイコンをクリック＜登録方法

その②＞許可済みデバイスから作成する

受信者 ＞ ユーザー ＞ 詳細の表示から該当のデバイスを選択しルール作成のアイコンをクリック
http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved63

NextSet ~ for your best solution

株式会社ネクストセット〒103-0025
東京都中央区日本橋茅場町2－17－5
TEL：050-5835-1092
E-Mail :contact-info@nextset.co.jp

http://www.nextset.co.jp

Copyright(c)2016 NextSet , Inc. All rights reserved

64