Ubiquiti UniFi の管理者ページを Microsoft Entra ID からシングルサインオンするための設定メモ

情報元による記事紹介

Ubiquiti UniFi にて管理者ページの SSO が設定できるようになりました。 ただ、いつもの SSO の設定とはフローが異なる特徴あるものだったので、備忘録としてメモを残したいと思います。 動作要件 UniFi Network 10.5 Identity Sync Service 1.8.1 前提知識 SSO の入口はユーザー向けと管理者向けの 2 通り存在する 認証プロトコルは OIDC つまるところ SP-Initiated のみ Entra ID での設定のすすめ ユーザー向け SSO の設定 まずはユーザー向けの設定が必要です。 Sit...

AIによる記事の要点

情報元の記事をもとに自動生成しています。誤りや省略が含まれる場合があります。詳細は元記事で確認してください。

【概要】 Ubiquiti UniFi の管理者ページで Microsoft Entra ID によるシングルサインオン（SSO）が新たに対応されたが、従来の SSO 設定と異なるフローを採用している。Entra ID のユーザー制御機能が UniFi 側の API 操作により上書きされるため、設定時に注意が必要である。 【具体的なポイント】 ・**ユーザーインポートと招待メール** Entra ID のユーザーが Site Manager のユーザー一覧に自動取り込みされ、その際にユーザーに招待メールが送信される。これは従来の SSO 設定では見られない特徴的なフローである。 ・**Vanity Domain を経由したログイン方式** ユーザーはデスクトップまたはスマホアプリの「UniFi Endpoint」経由でログインし、事前に設定した Vanity Domain を入力することで管理者ページにアクセスできる。その後、管理者権限が付与されたアカウント ID を入力することで SSO ログインが成立する。 ・**マニュアル設定時の SAML・SCIM 前提フロー** 「マニュアル」モードで設定を進めると SAML と SCIM を前提にしたフローとなるが、実際には UniFi が API で Entra ID のアプリケーション割り当てメンバーを上書きするため、Entra ID 側での通常のユーザー制御が機能しない。 ・**Entra ID 側の設定変更非推奨** UniFi のフローが特殊で API 操作が入るため、Entra ID 側のアプリケーション設定は「ユーザーへの表示」を除いて変更しないことが推奨される。変更するとユーザー制御が意図通りに機能しなくなる可能性がある。 【注目点】 本設定は SCIM の標準的な役割（ユーザー情報の同期）と異なる動作をするため、Entra ID の管理者は UniFi 側の API 上書き動作を理解した上で設定する必要がある。 --- **用語説 ・**SSO（シングルサインオン）**｜一度のログインで複数のシステムにアクセスできる認証方式 ・**Entra ID**｜Microsoft が提供するクラウドベースの ID・アクセス管理サービス ・**Vanity Domain**｜組織が独自に設定できるカスタムドメイン名 ・**SAML**｜異なるシステム間でユーザー認証情報を安全に交換するプロトコル ・**SCIM**｜クラウドサービス間でユーザー情報を自動同期する標準規格