ご質問
Microsoft 365 で管理しているドメインのうち、親子関係のあるドメインの、サブドメインだけを Access Control とフェデレーションする方法はありますか？
回答
ドメインの親子関係を解消することで、サブドメインのみを対象として Access Control でフェデレーションできます。
※解消した親子関係を戻す場合は、Microsoft 365 にて子ドメインを削除し、親ドメインが検証済みの状態で再登録を行う必要があります。
注意事項
- 本記事の手順を実施した時点で、該当サブドメインを持つユーザーの Microsoft 365 のログイン画面が Access Control に変更されます。
事前に、ユーザー同期やアクセス制御設定など、これまでの導入手順が全て完了している必要があります。
[Access Control] 導入手順一覧 (Microsoft 365) - Microsoft 365 テナントの全体管理者アカウントの情報（ユーザー名・パスワード）が必要です。
- 本記事の手順は Microsoft 365 の全体管理者アカウントでの作業が必要です。
※ Microsoft 365 の初期ドメイン（.onmicrosoft.com が含まれるドメイン）の利用を推奨します。 - 既定のドメインに対しては、フェデレーションを有効にできません。
- 実際の画面確認や、設定の変更には Access Control のグローバル管理者権限が必要です。
管理画面へのアクセス方法は以下の記事をご参照ください。
Access Control 管理画面へのアクセス方法 - 以前 PowerShell でフェデレーション接続している環境でドメイン追加をする場合も、本手順を実施することで追加ドメインのフェデレーション接続が可能となります。
事前準備
既定ドメインの確認
Microsoft 365 のテナントで、フェデレーションが可能なことを確認します。
Microsoft 365 の管理画面にアクセスし、画面左側のメニュー内［すべて表示］をクリックします。
画面左側のメニュー内［設定］－［ドメイン］をクリックします。
Microsoft 365 でフェデレーションしないドメインに「既定」と表示されていることを確認します。
※ フェデレーション対象のドメインが既定のドメインである場合、下記の記事を参考に既定のドメインを変更してください。
[Access Control] Microsoft 365 の既定のドメインの変更
Microsoft との連携
-
Access Control 管理画面より［システム］－［サービスプロバイダー設定］へアクセスします。
「サービスプロバイダー設定」で下記の設定が存在しない場合、手順 3. に進みます。
表示名：Microsoft
種別：Microsoft-
画面右上の［サービスプロバイダーの追加］をクリックします。
-
「新しいサービスを追加する」画面で［サービスプロバイダーの追加］をクリックします。
-
［プリセットを使用する］－［Microsoft］を選択します。
-
必要に応じて設定を行い、［変更する］をクリックします。
- 「サービスプロバイダー設定」画面に戻り、下記の設定が存在していれば完了です。
表示名：Microsoft
種別：Microsoft
手順
-
Access Control 管理画面より［システム］－［サービスプロバイダー設定］へアクセスします。
-
事前準備－Microsoft との連携 にて作成された［Microsoft］を選択します。
-
「サービスプロバイダー設定」画面の「このサービスプロバイダーを許可しているアクセスポリシーグループ」にて、Microsoft 365 へのアクセスを許可するグループの［許可］をオンにして、［変更する］をクリックします。
※アクセスポリシーグループ単位でアクセス条件の制御が可能です。
詳細は下記の記事をご参照ください。
[Access Control] アクセスポリシーグループの作成 / 編集－「項目 (許可するサービスプロバイダー)」 -
再度「サービスプロバイダー設定」を開き、［フェデレーション中のドメイン］－［ドメインを管理する］をクリックします。
- Microsoft 365 の [要求されているアクセス許可] の画面が表示された場合、[組織の代理として同意する] にチェックして [承諾] を選択します。
※ 認証が済んでいる場合、ユーザーを選択することで次の画面に進みます。 -
「ドメイン管理」画面にて、フェデレーションしたい子ドメインの［切り離す］をクリックします。
-
確認画面で内容を確認し、チェックボックスにチェックします。
その後［切り離す］をクリックします。 -
切り離したドメインのステータスが「未フェデレーション」になっていることを確認し、［フェデレーション］をクリックします。
-
確認画面で内容を確認し、［フェデレーションを設定する］をクリックします。
-
対象のドメインのステータスが「フェデレーション済み」に変わっていれば完了です。