Azure AD を使用したアプリケーションアクセス制御の構成

MATLAB^® Production Server™ の管理者は、Microsoft^® Azure^® AD を使用して、デプロイされたアプリケーションへのアクセスを特定のユーザーまたはユーザーグループのみに制限できます。アプリケーションアクセス制御を有効にするには、Azure AD の管理者と相談しながら、Azure AD を構成してアクセス制御ポリシーを指定します。

Azure Portal でのアプリケーションの登録

Azure AD をアプリケーションアクセス制御に使用するには、Azure ポータルでサーバーアプリケーションおよびクライアントアプリケーションを登録します。これらのアプリケーションは、ダッシュボードアクセス制御のために登録しているアプリケーションとは異なります。これらのアプリケーションは、MATLAB Production Server にデプロイされたアプリケーションや、MATLAB Production Server クライアントライブラリを使用して作成されたクライアントアプリケーションには関連しません。

メモ

アプリケーションの登録プロセスは Azure によって決まり、変更される可能性があります。

Azure でのサーバーアプリケーションの登録

Azure portalにサインインします。
[Azure Active Directory] から、[アプリの登録] を選択し、[新規登録] をクリックします。
結果のペインで、アプリケーションの名前 (たとえば、MATLAB Production Server App) を入力し、[登録] を選択します。
登録したアプリケーションで、[API の公開] を選択します。

スコープの追加をクリックし、アプリケーションのスコープ情報を入力します。[Scope の追加] をクリックします。スコープの追加の詳細については、Microsoft Azure のドキュメンテーションを参照してください。以下の表は、スコープを追加するためのフィールドと入力する値をリストしています。

フィールド	値
スコープ名	名前を入力します (たとえば、`user_impersonation`)。
同意できるユーザー	`Admin and users` を選択します。
管理者の同意の表示名	名前を入力します (たとえば、`Access MATLAB Production Server App`)。
管理者の同意の説明	説明を入力します (たとえば、`Allow the application to access MATLAB Production Server App on behalf of the signed-in user`)。
ユーザーの同意の表示名	名前を入力します (たとえば、`Access MATLAB Production Server App`)。
ユーザーの同意の説明	説明を入力します (たとえば、`Allow the application to access MATLAB Production Server App on behalf of the signed-in user`)。
状態	`Enabled` を選択します。

左側のナビゲーションペインで、[マニフェスト] をクリックします。表示された JSON で、groupMembershipClaims の値を "SecurityGroup" に設定します。[保存] をクリックします。

Azure でのクライアントアプリケーションの登録

Azure ポータルで、クライアントアプリケーションを登録します。クライアントアプリケーションは、リクエストをサーバーに送信するクラアントがアクセストークンを生成するのに役立ちます。クライアントアプリケーションを "ネイティブ" アプリまたは "Web" アプリとして登録できます。クライアントアプリケーションをネイティブアプリとして登録する場合、ユーザーは、ユーザー名とパスワードを使用してログインし、アクセストークンを生成する必要があります。クライアントアプリケーションを Web アプリとして登録する場合、ユーザーは、ブラウザーを使用してシングルサインオンでログインし、アクセストークンを生成する必要があります。

クライアントアプリケーションを登録するには、組織のセットアップに基づいて、Azure で上位の特権が必要になる可能性があります。

ネイティブクライアントとしてのクライアントアプリケーションの登録

Azure portalにサインインします。
[Azure Active Directory] から、[アプリの登録] を選択し、[新規登録] をクリックします。

開いたペインで、次のアプリケーション登録情報を入力し、[登録] をクリックします。

フィールド	値
名前	名前を入力します (たとえば、`MATLAB Production Server Native Client`)。
リダイレクト URI	`パブリッククライアント/ネイティブ (モバイルとデスクトップ)` を選択します。

左側のナビゲーションペインで、[マニフェスト] をクリックします。JSON で、allowPublicClient の値を true に設定します。[保存] をクリックします。
[API のアクセス許可] をクリックし、[アクセス許可の追加] をクリックします。
開いたペインで、[所属する組織で使用している API] をクリックします。
以前に登録した MATLAB Production Server App サーバーアプリケーションを検索します。開いたペインで、スコープ名 (たとえば、user_impersonation) を選択し、[アクセス許可の追加] をクリックします。

Web クライアントとしてのクライアントアプリケーションの登録

Azure portalにサインインします。
[Azure Active Directory] から、[アプリの登録] を選択し、[新規登録] をクリックします。

開いたペインで、次のアプリケーション登録情報を入力し、[登録] をクリックします。

フィールド	値
名前	名前を入力します (たとえば、`MATLAB Production Server Web Client`)。
リダイレクト URI	`Web` を選択します。クライアントアプリケーションによって使用される有効なリダイレクト URI を入力します。

左側のナビゲーションペインで、[証明書とシークレット] を選択します。[クライアントシークレット] で、新しいクライアントシークレットを作成し、シークレットの値を保存します。
[API のアクセス許可] をクリックし、[アクセス許可の追加] をクリックして [所属する組織で使用している API] を選択します。
以前に登録した MATLAB Production Server App サーバーアプリケーションを検索します。開いたペインで、スコープ名 (たとえば、user_impersonation) を選択し、[アクセス許可の追加] をクリックします。

ID プロバイダーの構成

Azure ポータルでサーバーアプリケーションおよびクライアントアプリケーションを登録したら、ダッシュボードの [Application Access Control] タブで Azure AD の構成を作成します。[作成] をクリックし、[Azure AD] を選択します。

Azure ポータルで、所属する組織のテナント ID と、以前に登録したサーバーアプリケーションのアプリケーション ID を見つけます。ダッシュボードで、[Create Identity Provider for Application Access Control] の下にテナント ID とアプリケーション ID を入力します。

Azure portalにサインインします。
[Azure Active Directory] から、[プロパティ] を選択します。[Directory (tenant) ID] の値をコピーして、ダッシュボードの [Tenant ID] フィールドに貼り付けます。
[Azure Active Directory] から、[アプリの登録] を選択します。MATLAB Production Server に使用するアプリケーションを選択します (たとえば、MATLAB Production Server App)。[アプリケーション (クライアント) ID] の値をコピーして、ダッシュボードの [Server App ID] フィールドに貼り付けます。
ダッシュボードで、[作成] をクリックします。サーバーが Windows^® バーチャルマシン上で実行されている場合は、値の保存に最大 30 秒かかることがあります。

アクセス制御ポリシールールの指定

アクセス制御ポリシールールを定義することで、特定のユーザーグループがアクセスできるアプリケーションを指定します。ルールを定義するには、ダッシュボードの [Application Access Control] タブで、[Access Control Policy] の下にある [ルールの追加] をクリックします。以下の値を指定します。

フィールド	値
ルール ID	ルールの名前
Description	ルールの説明
Users	デプロイされたアプリケーションへのアクセスが許可される、Azure AD でセットアップされたユーザー名
グループ	デプロイされたアプリケーションへのアクセスが許可される、Azure AD グループでセットアップされたグループのオブジェクト ID
アプリケーション	指定されたユーザーおよびグループがアクセスできるアプリケーション。すべてのアプリケーションを選択するには、`Apply this rule to all applications` を選択します。

アプリケーションアクセス制御の有効化

ID プロバイダーを構成してアクセス制御ポリシールールを指定したら、ダッシュボードから [はい] オプションを選択して、ダッシュボードアクセス制御を有効にする必要があります。

Application Access Control tab showing that access control is enabled

アクセストークンの生成

アプリケーションアクセス制御が有効になると、アクセス制御ポリシールールに指定されているユーザーはベアラーアクセストークンを生成できます。登録されたクライアントアプリケーションがネイティブアプリである場合、ユーザー名とパスワードまたは Windows 統合認証を使用してログインし、アクセストークンを生成します。登録されたクライアントアプリケーションが Web アプリである場合、ブラウザーを使用してシングルサインオンでログインし、アクセストークンを生成します。Microsoft ID プラットフォームの認証ライブラリ (Microsoft がサポートしているクライアントライブラリまたは異なるプログラミング言語での互換性のあるクライアントライブラリ) を使用してアクセストークンを生成できます。詳細については、Microsoft のドキュメンテーションを参照してください。MATLAB Production Server RESTful API を使用してサーバーにリクエストを行う際に、このアクセストークンを HTTP 認証ヘッダーで使用します。このヘッダーの形式は Authorization:Bearer <access token> です。