• ホーム
• アプリの統合
• MFA統合
• Microsoft プッシュ通知を構成する

Azure AD MFA は miniOrange でどのように機能しますか?

• ユーザーはログインするか、セルフサービスによるパスワード リセットまたはアカウントのロック解除を実行しようとします。
• 多要素認証ページが読み込まれ、ユーザーが Azure AD MFA を開始します。
• miniOrange サーバーは、ネットワーク ポリシー サーバー (NPS) に RADIUS 要求を送信します。
• Azure MFA の NPS 拡張機能は、Azure クラウドに接続し、MFA 要求をトリガーします。
• Azure AD MFA に対して Microsoft Authenticator プッシュ通知または電話呼び出しベースの検証方法が有効になっている場合は、検証要求が直接トリガーされます。
• Azure AD MFA に対して Microsoft Authenticator 検証コード、ハードウェア トークン ベース、または SMS ベースの検証コード メソッドが有効になっている場合、NPS 拡張機能は miniOrange サーバーに RADIUS チャレンジ応答を返し、ユーザーに検証コードの入力を求めます。
• Azure AD MFA が成功すると、NPS 拡張機能は miniOrange サーバーに RADIUS 承認応答を返し、ユーザーにアクセスが許可されます。

前提条件

• Windows Server 2012以降。
• .NET Framework 4.7.2 以降。
• PowerShell バージョン 5.1 以降。
• NPS サーバーから Azure への TCP 443 (送信) 経由の永続 URL 通信 -
  • https://login.microsoftonline.com
  • https://credentials.azure.com
  • https://strongauthenticationservice.auth.microsoft.com
  • https://adnotifications.windowsazure.com
• NPSサーバーからAzureへのTCP 443（送信）経由の一時URL通信。これはセットアップ時のみ有効で、セットアップ後はこれらのルールを削除できます。
  • https://onegetcdn.azureedge.net
  • https://login.microsoftonline.com
  • https://graph.microsoft.com
  • https://provisioningapi.microsoftonline.com
  • https://aadcdn.msauth.net
  • https://www.powershellgallery.com
  • https://go.microsoft.com
  • https://aadcdn.msftauthimages.net
• miniOrange IDPサーバーからNPSサーバーへのRADIUS通信用の永続UDP 1812。（これはminiOrangeからNPSへのプッシュ通知リクエストの送信に使用されます）
• Azure MFA 用のこの NPS 拡張機能を NPS サーバーにダウンロードして準備しておく必要があります。 Azure MFA の NPS 拡張機能.
• グローバル管理者権限を持つ Azure アカウントが必要になります。
• Microsoft Entra Admin Center のテナント ID も必要になります。



• NPS 拡張機能をインストールするには、NPS サーバーに対する管理者アクセス権が必要です。
• NPS拡張機能は、デフォルトでオンプレミスのAD DS環境のUserPrincipalNameを使用してAzure AD上のユーザーを識別します。そのため、UPNが一致するか、Azure AD側でユーザーを識別するために使用できる別の属性が必要です。

Microsoft プッシュ通知を構成するためのステップバイステップガイド

1. Windowsサーバーにnpsサービスをインストールする

サーバーマネージャー経由のインストール

• Video Cloud Studioで サーバーマネージャ Windows 検索経由。



• サーバーマネージャーで、 管理 、[OK]をクリックします 役割と機能を追加する役割と機能の追加ウィザードが開きます。



• 詳しくはこちら 次へ if あなたが始める前に ページが表示されます。
• インストールタイプの選択で、 役割ベースまたは機能ベースのインストール が選択され、クリックします 次へ.



• 宛先サーバーの選択で、 サーバー プールからサーバーを選択する が選択されています。サーバープールで、 ローカルコンピュータ が選択される。 クリック 次へ.



• 選択 サーバーの役割役割の下で、 ネットワークポリシーとアクセスサービスネットワークポリシーとアクセスサービスに必要な機能を追加するかどうかを尋ねるダイアログボックスが開きます。 機能を追加、[OK]をクリックします 次へ.





• 情報を確認してクリック 次へ.



• 次に、をクリックします。 インストールを開始するインストールの進行状況ページには、インストールプロセス中のステータスが表示されます。プロセスが完了すると、「ComputerName へのインストールが成功しました」というメッセージが表示されます。ここで、ComputerName はネットワークポリシーサーバーをインストールしたコンピュータの名前です。 閉じる.





• インストールが完了するまで待ち、完了したらクリックします 閉じる.

Windows PowerShell によるインストール

• Windows PowerShell を管理者として実行し、次のコマンドを入力して、Enter キーを押します。
  Install-WindowsFeature NPAS -IncludeManagementTools
• これで、Windows Server に NPS が正常にインストールされました。

2. Microsoft Entra多要素認証用のNPS拡張機能のインストール

受験資格：

• Microsoft Entra ID: MFA を有効にするには、ユーザーは Microsoft Entra ID に登録されている必要があり、オンプレミス環境またはクラウド環境のいずれかから同期されている必要があります。
• Entra ID のユーザー アカウントがロックまたは無効化されていないことを確認してください。ロックまたは無効化されていると、認証が成功しなくなります。
• Microsoft プッシュ通知を受信するには、ユーザーは上記で作成した資格情報を使用して Microsoft Authenticator アプリにサインインする必要があります。問題が発生した場合は、このガイドに従ってください。
• ライセンス：Microsoft Entra多要素認証向けNPS拡張機能は、Microsoft Entra多要素認証ライセンス（Microsoft Entra ID P1およびPremium P2、またはEnterprise Mobility + Securityに付属）をお持ちのお客様がご利用いただけます。ユーザーごと、認証ごとのライセンスなど、Microsoft Entra多要素認証の使用量ベースのライセンスは、NPS拡張機能と互換性がありません。

NPS拡張機能のインストール:

• NPSがインストールされているWindowsサーバーを開きます。ブラウザを開いて ダウンロード nps 拡張機能の実行可能ファイルはここから入手できます。



• NPS 拡張機能をすでにインストールしている場合は、まずアンインストールしてから再度インストールしてライブラリを更新します。
• ラン setup.exeを インストール手順に従います。
• Windows サービスからネットワーク ポリシー サーバー (IAS) サービスを再起動します。
• 管理者権限で Windows PowerShell を開き、以下のコマンドを入力します。
  cd "C:\Program Files\Microsoft\AzureMfa\Config"
ls



• インストーラーによって作成された PowerShell スクリプトを実行します。
  .\AzureMfaNpsExtnConfigSetup.ps1
  注: ここでいくつかのバイナリがインストールされるため、これにはかなり時間がかかる可能性がありますので、しばらくお待ちください。
• 必要なバイナリがインストールされると、Microsoftアカウントにサインインするように求められます。 グローバル管理者の資格情報 of エントラID サインインする。
• サインインが成功すると、PowerShell スクリプトが Microsoft Entra 管理センターからテナント ID を入力するよう要求します。テナント ID を入力して Enter キーを押します。



• 完了すると、NPS サービスが再起動されていることがわかり、Enter キーを押して PowerShell を閉じるように求められます。
• これで、Microsoft プッシュ通知経由の MFA が有効になりました。

3. miniOrange IDPサーバーをNPSと統合する方法

3.1. 初期設定

• miniOrangeにログイン 管理コンソール.
• MFAデバイスに移動する 2ファクタ認証 >> 2FAの設定 ダッシュボードの左側のメニューにあります。



• ソフトウェアの制限をクリック Microsoft プッシュ通知 このメソッドを設定するにはタブをクリックします。

3.2. Radiusディレクトリの設定

• 管理者アカウントでminiOrange IDPにログインします。 外部ディレクトリ 左側のパネルのセクションをクリックし、 ディレクトリを追加



• 検索 半径 ディレクトリのリストで Radiusディレクトリ.



• ここに詳細を入力してください:
  • サーバーホスト を参照 NPSのIPアドレス (ネットワーク ポリシー サーバー)。
  • miniOrange オンプレミス ID プロバイダー (IDP) サーバーを使用しており、NPS サーバーと miniOrange IDP サーバーの両方が同じネットワーク内にある場合は、サーバー ホストを NPS サーバーのプライベート IP アドレスに設定する必要があります。
  • miniOrange Cloud Identity Provider (IDP) サーバーを使用している場合は、NPS (ネットワーク ポリシー サーバー) のパブリック IP アドレスをサーバー ホストとして指定する必要があります。
  • 入力が必要です 秘密鍵これにより、NPS サーバーと miniOrange IDP 間の安全な通信が容易になります。

  注: 後続の手順で説明するように、このキーは NPS サーバーでも構成する必要があります。

  • ソフトウェアの制限をクリック Save NPS サーバーを RADIUS ディレクトリとして追加します。
  
  
  

あるいは代わりに

• MFAデバイスに移動する 認証アプリ >> Microsoft プッシュ通知 >> NPS 構成の変更.



• 既存の設定が存在しない場合は、 新しい Azure NPS 構成を追加するには、ここをクリックしてください.

[注: ユーザーに対して Microsoft プッシュ通知を有効にする前に、管理者は RADIUS ディレクトリを構成する必要があります。]

3.3. エンドユーザー向けのプッシュ通知の設定

• MFAデバイスに移動する 2ファクタ認証 >> エンドユーザー向け 2FA オプション.



• トグルをオンにして プッシュ通知 セクションの下 許可されている2FA方法.

3.4. miniOrange IDPサーバーとNPSの統合

• Windows サーバーでネットワーク ポリシー サーバー (NPS) サービスを開きます。



• RADIUS クライアントを右クリックし、[新規] を選択して、miniOrange IDP の IP アドレスを新しい RADIUS クライアントとして追加します。



• 必要な詳細を入力します。
  • 新しいRADIUSクライアント（フレンドリ名、IPアドレス（miniOrange IDP）、共有シークレット（事前に設定済み）を含む）を入力します。続行する前に、すべてのフィールドが正しく入力されていることを確認してください。

  注: クライアント構成を有効にするには、「この RADIUS クライアントを有効にする」チェックボックスが選択されていることを確認してください。

  • miniOrange オンプレミス IDP サーバーを使用している場合は、IP アドレス フィールドに IDP サーバーのプライベート IP アドレスを入力します。
  • miniOrange Cloud IDP サーバーを使用している場合は、IP アドレス フィールドに miniOrange Cloud IDP の 52.55.147.107、52.86.38.163、54.165.245.227 を入力します。
  
  
  
• 次に、NPS (ネットワーク ポリシー サーバー) サービスの [ポリシー] セクションの [接続要求ポリシー] を右クリックし、[新規] を選択して、接続要求ポリシーを追加します。
• ポリシーの詳細を入力してください:
  • ポリシー名を入力し、クリックします 次へ.
  
  
  
  • ソフトウェアの制限をクリック 追加 そして、 クライアントのIPV4アドレス 追加をクリックします。
  
  
  
  • IPアドレスの入力を求められます。RADIUSクライアントの追加時に指定したminiOrange IDPのIPアドレスと同じIPアドレスを入力してください。「OK」をクリックし、「次へ」をクリックしてください。
  • 以下のプロンプトが表示されます。NPSサーバーがローカルで認証を処理できるように、「このサーバーで要求を認証する」オプションを選択してください。
  
  
  
• クリックして続行 次へ 「完了」ボタンが有効になるまで設定手順を進めます。その後、 仕上げ セットアップを完了します。



• 次に、ポリシーセクションのネットワークポリシーを右クリックし、 New.
• ネットワーク ポリシーを作成するには、詳細を入力します。
  • 入力する ポリシー名.
  
  
  
  • [追加] をクリックし、クライアントの IPV4 アドレスを検索して、[追加] をクリックします。
  
  
  
  • IPアドレスの入力を求められます。RADIUSクライアントの追加と接続要求ポリシーの作成時に指定したminiOrange IDPのIPアドレスと同じIPアドレスを入力してください。「OK」をクリックし、「次へ」をクリックしてください。
  
  
  
• 「アクセス許可」を選択してアクセス権限を指定し、「次へ」をクリックして構成を続行します。



• 認証方法を設定する セクションで、以前に選択したすべてのオプションのチェックを外します。次に、 認証方法をネゴシエートせずにクライアントが認証できるようにする.



• 「完了」ボタンが有効になるまで、「次へ」をクリックして設定手順を続行します。「完了」をクリックしてセットアップを完了します。



• Microsoft Authenticator コードを入力する代わりに Microsoft プッシュ通知を有効にするには、システムに特定のキーを追加する必要があります。
  • NPS サービスが実行されている Windows 検索でレジストリ エディターを検索します。
  • に行く HKEY_LOCAL_MACHINE > ソフトウェア > MICROSOFT > AzureMFA.
  
  
  
  • レジストリ キーがリストされている右側のスペースを右クリックし、新しい文字列値を追加します。
  
  
  
  • OTPによる数値一致のオーバーライド このキーを追加し、このキーがレジストリに追加された後にこのキーをもう一度右クリックし、[変更] をクリックして、値として FALSE を追加します。
  
  
  
  
  
  • NPS サービスを再起動すると、テスト後に Microsoft プッシュ通知を受信できるようになります。
  • これで、miniOrange IDP サーバーと NPS の統合に成功しました。

トラブルシューティング

よくある質問（FAQ）