Microsoft Entra IDでの設定

Microsoft Entra IDとUnlock with SSOを接続する手順です。Entra IDの場合は、クライアントシークレットを持つPrivate Clientで構成します。条件付きアクセスポリシーに対応するのはこの方式だけです。シークレットには有効期限があり、切れると組織全体がSSOで1Passwordを開けなくなります。接続そのものより、期限の管理を運用に組み込むことの方が重要です。このページでは、始める前の確認、Entra IDでのアプリケーションの準備、1Password側の入力、リダイレクトとトークンの設定、テストと保存、シークレットの更新、Public Clientからの移行を説明します。対象者と猶予期間の設定は導入前の確認とロールアウト設計で扱います。

始める前に確かめること

作業する人は、1Password側で所有者か管理者グループに属している必要があります。Entra ID側では、アプリケーション管理者とグループ管理者の両方のロールが要ります。Entra IDのプランは、SSOを含むものであることを確かめてください。

自動プロビジョニングで既にEntra IDと接続している場合は、そのとき作ったエンタープライズアプリケーションにSSOの設定を加えます。新しく作る必要はありません。プロビジョニングの側の手順はMicrosoft Entra IDとの統合で扱います。

作業中は、<a href="https://entra.microsoft.com/" target="_blank">Microsoft Entra管理センター</a>と1Password.comを別々のタブで開いたままにします。値を行き来して貼り付けるためです。

Entra IDにアプリケーションを用意する

プロビジョニングで作ったアプリケーションがない場合は、次の順で作ります。

1. Microsoft Entra管理センターのサイドバーでEnterprise applicationsを選び、New applicationからCreate your own applicationを選びます。
2. 名前に1Password EPMのような用途の分かる名前を入れ、ギャラリー以外のアプリケーションを統合する選択肢を選んで作成します。
3. App registrationsのAll applicationsから、作ったアプリケーションを開きます。Application (client) IDの値を控えます。
4. サイドバーのCertificates & secretsでNew client secretを選び、名前と有効期限を決めて追加します。表示されたValueの値と有効期限を控えます。

シークレットのValueは、作成した直後にしか全体を表示できません。控え損ねた場合は作り直します。

1Password側で接続の詳細を入力する

1. 1Password.comのサイドバーでポリシーを選び、シングルサインオン（SSO）の管理を開きます。
2. 個人情報プロバイダを選択の画面でMicrosoft Entra IDを選び、次へを選びます。
3. 詳細を入力の画面で、接続の方法は既定のAutomaticのままにします。
4. Application IDに、控えておいたクライアントIDを貼り付けます。
5. OpenID configuration document URLには、Entra IDのアプリケーションのOverviewからEndpointsを開き、OpenID Connect metadata documentのURLをコピーして貼り付けます。
6. クライアントタイプでPrivate Client（推奨）を選びます。
7. Client secret (value)にシークレットの値を、Client secret expirationに有効期限を入れます。
8. 次へを選ぶとリダイレクトの設定に進み、リダイレクトURIが表示されます。この画面は開いたままにします。

有効期限の欄の下には、期限が切れるとSSOを使っているチームメンバーがアイテムにアクセスできなくなる旨が表示されます。この欄は省略しないでください。期限を入れておかないと、後で説明する事前の通知が届きません。

リダイレクトとトークンを設定する

Entra IDのアプリケーションの画面に戻ります。

1. サイドバーのAuthenticationでAdd Redirect URIからWebを選び、1Passwordに表示されたリダイレクトURIを貼り付けます。
2. SettingsタブでFront-channel logout URLは空欄のままにし、Implicit grant and hybrid flowsのID tokensをオンにして保存します。
3. サイドバーのAPI permissionsでAdd a permissionを選び、Microsoft GraphのDelegated permissionsからemail、openid、profileを追加します。
4. 組織全体への同意を与える操作を選び、確認します。1Passwordが求めるのは、この3つの読み取りだけです。

Entra IDのメールアドレスと1Passwordのメールアドレスは一致している必要があります。ユーザープリンシパル名は違っていても構いません。ただし、メールアドレスとユーザープリンシパル名が違う人がいる場合は、Token configurationのAdd optional claimで、IDトークンにupnのクレームを追加します。追加した後も、メールアドレスのクレームは必要です。

接続をテストして保存する

テストの前に、Entra IDで自分をアプリケーションに割り当てておきます。割り当てがないとテストが失敗します。

1Passwordの画面に戻り、次へでテストの段階に進みます。接続をテストする操作を選ぶとEntra IDのサインイン画面に移り、認証が済むと1Passwordに戻ります。成功したら保存します。

テストに成功するまで、設定は保存されません。入力を誤っても、1Passwordに入れなくなることはありません。保存すると、対象者を決める設定の画面に移ります。

クライアントシークレットを更新する

有効期限を入力しておくと、所有者と管理者のメンバーに、期限の90日前から製品内の通知が届きます。その後も60日、30日、14日、7日、3日前に届きます。通知から新しいシークレットと期限を直接登録できます。

更新の手順は次の通りです。

1. Entra IDのCertificates & secretsで新しいシークレットを作り、値を控えます。
2. 1Passwordでシングルサインオン（SSO）の管理を開き、構成の編集を選びます。
3. Client secret (value)とClient secret expirationを新しい値に書き換え、接続をテストしてから保存します。
4. Entra IDに戻り、古いシークレットを削除します。

更新は期限の数日前までに済ませてください。初めて有効期限を入力するときに、あわせてシークレットも作り直しておくと、次の更新までの期間を最も長く取れます。

【運用のポイント】 通知は製品内にしか届かず、受け取るのは所有者と管理者です。担当者の異動で気付かれないことがあります。有効期限の日付は、社内のカレンダーや資産管理台帳にも登録しておいてください。

Public Clientから移行する

以前の手順でPublic Clientとして接続している場合、条件付きアクセスポリシーとの互換性がありません。画面のPublic Clientの説明にも、その旨が表示されます。

1. Entra IDのアプリケーションで新しいシークレットを作ります。
2. 1Passwordで構成の編集を選び、クライアントタイプをPrivate Client（推奨）に変え、シークレットと有効期限を入れます。
3. Entra IDのAuthenticationで古いプラットフォームのリダイレクトURIを削除し、Webのプラットフォームを追加して、1Passwordに表示されたリダイレクトURIを登録します。ID tokensもオンにします。
4. 1Passwordに戻って接続をテストし、成功したら保存します。