iOS でのフェデレーションを使用した Microsoft Entra 証明書ベースの認証

2025-07-02

セキュリティを向上させるために、iOS デバイスでは、証明書ベースの認証 (CBA) を使用して、次のアプリケーションまたはサービスに接続するときに、デバイス上のクライアント証明書を使用して Microsoft Entra ID に対する認証を行うことができます。

Microsoft Outlook や Microsoft Word などの Office モバイルアプリケーション
Exchange ActiveSync (EAS) クライアント

証明書を使用すると、モバイルデバイス上の特定のメールおよび Microsoft Office アプリケーションにユーザー名とパスワードの組み合わせを入力する必要がなくなります。

Microsoft モバイルアプリケーションのサポート

アプリ	支援
Azure Information Protection アプリ
ポータルサイト
Microsoft Teams
Office (モバイル)
OneNote
OneDrive
前途
Power BI
Skype for Business
Word/Excel/PowerPoint
Yammer

要求事項

iOS で CBA を使用するには、次の要件と考慮事項が適用されます。

デバイスの OS バージョンは iOS 9 以降である必要があります。
iOS 上の Office アプリケーションには、Microsoft Authenticator が必要です。
ID 設定は、AD FS サーバーの認証 URL を含む macOS キーチェーンに作成する必要があります。詳細については、「 Mac のキーチェーンアクセスで ID 設定を作成する」を参照してください。

次の Active Directory フェデレーションサービス (AD FS) の要件と考慮事項が適用されます。

AD FS サーバーで証明書認証を有効にし、フェデレーション認証を使用する必要があります。
証明書では、拡張キー使用法 (EKU) を使用し、 サブジェクトの別名 (NT プリンシパル名) にユーザーの UPN を含める必要があります。

AD FS の構成

Microsoft Entra ID でクライアント証明書を取り消すには、AD FS トークンに次の要求が必要です。 Microsoft Entra ID は、AD FS トークン (またはその他の SAML トークン) で使用できる場合、これらの要求を更新トークンに追加します。更新トークンを検証する必要がある場合は、この情報を使用して失効を確認します。

http://schemas.microsoft.com/ws/2008/06/identity/claims/<serialnumber> - クライアント証明書のシリアル番号を追加する
http://schemas.microsoft.com/2012/12/certificatecontext/field/<issuer> - クライアント証明書の発行者の文字列を追加します

ベストプラクティスとして、組織の AD FS エラーページも次の情報で更新する必要があります。

iOS に Microsoft Authenticator をインストールするための要件。
ユーザー証明書を取得する方法について説明します。

詳細については、 AD FS サインインページのカスタマイズを参照してください。

Office アプリで先進認証を使用する

先進認証が有効になっている一部の Office アプリは、要求で microsoft Entra ID に prompt=login を送信します。既定では、Microsoft Entra ID は要求の prompt=login を wauth=usernamepassworduri として AD FS に変換し (AD FS に U/P 認証を実行するように要求します)、 wfresh=0 (SSO 状態を無視して新しい認証を行うように AD FS に要求します)。これらのアプリに対して証明書ベースの認証を有効にする場合は、既定の Microsoft Entra 動作を変更します。

既定の動作を更新するには、フェデレーションドメイン設定の "PromptLoginBehavior" を [無効] に設定します。次の例に示すように、 New-MgDomainFederationConfiguration コマンドレットを使用してこのタスクを実行できます。

New-MgDomainFederationConfiguration -DomainId <domain> -PromptLoginBehavior "disabled"

Exchange ActiveSync クライアントのサポート

iOS 9 以降では、ネイティブの iOS メールクライアントがサポートされています。この機能が他のすべての Exchange ActiveSync アプリケーションでサポートされているかどうかを確認するには、アプリケーション開発者に問い合わせてください。

次のステップ

環境内で証明書ベースの認証を構成する手順については、「証明書ベースの認証の概要」を参照してください。

次の方法で共有