> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Entra ID 連携のセットアップ

> Microsoft Entra ID を Living Security に接続し、ID、サインイン、リスク、デバイス、攻撃シミュレーションのアクティビティを取り込みます。

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>{system} では、1 セットではなく 2 セットのアドレスが必要です。</strong> Living Security は、この連携のアクセストークンを自社のインフラストラクチャ上で発行し、継続的に更新します。そのため、セットアップ時のトラフィックと同期時のトラフィックは、異なるネットワークから送信されます。両方のセットを {system} の許可リストに追加し、両方を維持してください。これはセットアップ時のみの要件ではありません。
    <br />
    <br />
    <strong>連携の同期トラフィック</strong> — すべてのリージョンで共通:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>プラットフォームのトラフィック</strong> — 組織をホストしているリージョンの行のみを使用してください。
    <br />
    米国: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    欧州連合: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    同期用のセットのみを許可リストに追加した場合、セットアップは完了しません。プラットフォーム用のセットのみを追加した場合、セットアップは成功しますが、すべての同期が失敗します。両方の障害の兆候と変更ポリシーについては、{' '}
    <a href="/ja/integrations/managing/egress-ip-addresses">
      連携の送信元 IP アドレスの設定
    </a>{' '}
    を参照してください。
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>関連リソース</h2>
    <ul>
      <li>
        <a href="/ja/signals/data-sources">連携データがヒューマンリスクマネジメントのシグナルになる仕組みを確認する</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Living Security の連携を探す</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Living Security Platform を開く</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Living Security のデモをリクエストする</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="委任によるセットアップ(シークレットには推奨)">
      スコープを限定した権限で、システム管理者をプラットフォームに招待します。システム管理者が認証情報を直接入力するため、お客様がシークレットを取り扱うことはありません。
    </Tab>
    <Tab title="認証情報の受け渡し">
      プロバイダーのページを管理者に送付します。管理者が認証情報を発行してお客様に返送し、お客様が Connect ダイアログに入力します。
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Living Security Platform で認証情報を入力します">
    <p>
      この手順は、Living Security にアクセスできる担当者(プログラムオーナー、または招待されている場合はシステム管理者(委任によるセットアップ))が実施します。
    </p>
    <ol>
      <li>
        <strong>設定 → 連携 → カタログ</strong>に移動し、<strong>{tile}</strong> タイルを見つけて、<strong>接続</strong>をクリックします。
      </li>
      <li>
        以下のフィールドに入力し、<strong>接続</strong>をクリックします。
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>このガイドは、{system} の管理者様向けです。</strong>ここでは、{system} 内で API 認証情報を作成する手順を説明します。この作業には、Living Security Platform ではなく、{system} の管理者権限が必要です。
    </p>
    <p>
      Living Security の<strong>プログラムオーナー</strong>であり、{system} の管理者ではない場合は、このページを {system} の管理者にお送りください。管理者はパート A を完了し、認証情報をお客様に引き渡します（プラットフォームに招待済みの場合は、管理者が認証情報を直接入力することもできます）。
      {recommendDelegated && <>
          {' '}セットアップでは機密性の高いキー情報が生成されるため、シークレットがお客様に送信されることのないよう、<strong>委任セットアップ</strong>の方法を推奨します。
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## この連携で得られる情報

Microsoft Entra ID からは、正規化された ID、サインイン、リスク、デバイス、攻撃シミュレーションのアクティビティを取得できます。確認済みの例は次のとおりです。

* `account.compromised` — 侵害されたとしてフラグが設定されたアカウント
* `auth.login.unusual` — 通常とは異なるコンテキストからのサインイン
* `phishing.simulation.clicked` — 報告せずにシミュレーションをクリックした

これらは代表的な例であり、すべてのテナントですべてのイベントを利用できることを保証するものではありません。[連携データがシグナルになる仕組み](/ja/signals/data-sources)をご覧ください。

## Living Security に必要な情報

| 認証情報 | 説明 |
| - | - |
| **テナント ID** | Microsoft Entra 管理センターに表示されるディレクトリ (テナント) の UUID |
| **クライアント ID** | アプリを登録した際に割り当てられるアプリケーション (クライアント) の UUID |
| **クライアント シークレット** | アプリの登録で生成するシークレット資格情報です。接続ダイアログでは、このフィールドのラベルは **APIキー** と表示されます |
| **Graph API ホスト** | Microsoft Graph のホスト名 (商用クラウド: `graph.microsoft.com`) |
| **Authority ホスト** | Microsoft Entra の認証局ホスト名 (商用クラウド: `login.microsoftonline.com`) |

**スコープ (アプリケーションのアクセス許可):**

| アクセス許可 | 用途 |
| - | - |
| `User.Read.All` | ユーザー ディレクトリ |
| `SecurityAlert.Read.All` | セキュリティ アラート |
| `AuditLog.Read.All` | サインイン ログと MFA 登録の詳細 |
| `Policy.Read.ConditionalAccess` | 各サインインの条件付きアクセスの詳細 (適用されたポリシーと、そのポリシーが強制した許可コントロール)。MFA の検出はこのアクセス許可に依存します |
| `AttackSimulation.Read.All` | 攻撃シミュレーション トレーニングの結果 |
| `Device.Read.All` | Intune で管理されていないデバイスを含む、Entra ID のデバイス オブジェクト |
| `DeviceManagementManagedDevices.Read.All` | Intune 管理対象デバイス |
| `IdentityRiskEvent.Read.All` | 漏洩した資格情報を含む、Identity Protection のリスク検出 |
| `GroupMember.ReadWrite.All` | **オプション。** グループ メンバーシップのアクション。プレイブックで、Microsoft Entra ID のグループにユーザーを追加したり、グループからユーザーを削除したりできるようになります |

### この接続で実行できる操作は管理者が決定します

この接続はデータを読み取ります。ご自身で許可した場合に限り、ディレクトリ内で*アクションを実行*することもできます。

上記のアクセス許可のうち、最後の 1 つを除くすべてが読み取り専用です。それらのみを付与した場合、この接続がテナント内の何かを変更することは一切ありません。プラットフォームはこれを検出し、グループ アクションをまったく提供しません。

`GroupMember.ReadWrite.All` を追加すると、プレイブックでグループ メンバーシップのアクションを使用できるようになります。何かが自動的に実行されることはありません。プラットフォームが操作できるグループを (後述のとおり) 選択し、それらのアクションを使用するプレイブックを作成する必要があります。

設定はいつでも変更できます。Microsoft Entra ID でアクセス許可を追加または削除し、管理者の同意を再度付与するだけで済みます。プラットフォームで資格情報を再入力する必要はなく、データ同期も中断されずに継続します。変更は約 1 時間以内に反映されます。

<Note>
  **グループ メンバーシップのアクションは、指定したグループにさらに限定されます。** 接続後、管理者が接続に対して許可するグループの一覧を明示的に選択します。この一覧が作成されるまでは、アクセス許可が付与されていてもグループ アクションは利用できません。したがって、`GroupMember.ReadWrite.All` が「テナント内の任意のグループ」を意味することはありません。

  それらのグループは慎重に選択してください。管理者ロール、特権アクセス、ライセンスの権限を付与するグループは避けてください。
</Note>

**必要なロール:** Microsoft Entra ID の **Application Administrator** または **Global Administrator**

<Note>
  **これらのアクセス許可のうち 2 つは、後から追加されたものです。** このリストに追加される前に Microsoft Entra ID を接続した場合は、既存のアプリの登録にそれらを追加し、**管理者の同意を再度付与**してください。Microsoft では、アクセス許可が変更されるたびに同意を再付与する必要があります。それまでの間も、その他のデータ ストリームは通常どおり動作します。

  `Policy.Read.ConditionalAccess` — このアクセス許可がないと、Microsoft はすべてのサインイン レコードから条件付きアクセスの詳細を削除します。レコードには条件付きアクセス ポリシーが満たされたことは引き続き記録されますが、ポリシーの一覧は空で返されます。エラーも警告も発生せず、サインイン データは届き続け、接続も正常なままです。ただし、プラットフォームはどのサインインが多要素認証で満たされたかを判別できないため、この接続からの MFA アクティビティは空のままになります。

  `IdentityRiskEvent.Read.All` — リスク検出を読み取るには、**Microsoft Entra ID P1 または P2** ライセンスも必要です。漏洩した資格情報の検出自体は P1 を含むすべてのティアで利用できます。プレミアムの検出は、P2 未満では下記のとおり `generic` として報告されます。
</Note>

### 前提条件

* アプリケーションを登録して管理者の同意を付与するには、Microsoft Entra ID の **Application Administrator** または **Global Administrator** のアクセス権が必要です。

***

## パート A — Microsoft Entra ID での作業

*これらの手順は、Microsoft Entra ID の管理者が実施します。*

<Steps>
  <Step title="新しいアプリケーションを登録する">
    1. [Microsoft Entra admin center](https://entra.microsoft.com) にサインインします。
    2. 左側のナビゲーションで、**Entra ID** → **App registrations** を開きます。
    3. **New registration** をクリックします。
    4. アプリのわかりやすい名前 (例: `Living Security Platform`) を入力します。
    5. **Supported account types** で、**Accounts in this organizational directory only** を選択します。
    6. **Redirect URI** は空白のままにします。この連携ではクライアント資格情報フローを使用します。
    7. **Register** をクリックします。

    登録後、**概要**ページから次の値を記録します。

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Microsoft Graph のアプリケーションのアクセス許可を追加する">
    1. アプリの**概要**ページで、左側のメニューから **API permissions** をクリックします。
    2. **Add a permission** をクリックします。
    3. **Microsoft Graph** を選択します。
    4. **Application permissions** を選択します。
    5. 以下の各アクセス許可を検索して選択し、**Add permissions** をクリックします。
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. プレイブックでグループ メンバーシップを変更できるようにする場合に**のみ**、`GroupMember.ReadWrite.All` を追加します。この接続を読み取り専用のままにする場合は、追加しないでください。

    <Note>
      これらは、すべてのデータ ストリームに必要な最小限のアクセス許可です。一部のストリームのみを有効にする場合は、使用しないストリームのアクセス許可を省略できます。
    </Note>
  </Step>

  <Step title="管理者の同意を付与する">
    アプリケーションのアクセス許可には、管理者による明示的な同意が必要です。

    1. **API permissions** ページで、**Grant admin consent for \<your tenant name>** をクリックします。
    2. 確認ダイアログで **はい** をクリックします。
    3. **ステータス**列で、すべてのアクセス許可が **Granted** と表示されていることを確認します。

    <Note>
      **Grant admin consent** ボタンがグレー表示の場合は、**Privileged Role Administrator** または **Global Administrator** の権限が必要です。新しいアクセス許可を追加するたびに、管理者の同意を再度付与する必要があります。
    </Note>
  </Step>

  <Step title="クライアント シークレットを作成する">
    1. アプリの**概要**ページで、左側のメニューから **Certificates & secrets** をクリックします。
    2. **Client secrets** タブをクリックし、**New client secret** をクリックします。
    3. 説明 (例: `Living Security Platform`) を入力します。
    4. ローテーション ポリシーに合った有効期限を選択します。
    5. **追加**をクリックします。

    <Warning>
      **シークレットの値はすぐにコピーしてください。** Microsoft Entra ID がクライアント シークレットの全体を表示するのは 1 回のみです。コピーする前に別のページに移動した場合は、そのシークレットを削除して新しく作成する必要があります。
    </Warning>

    シークレットは安全に保管してください。有効期限が切れる前にローテーションするよう、カレンダーにリマインダーを設定してください。シークレットが期限切れになると、同期は `401 Unauthorized` で失敗します。
  </Step>

  <Step title="Graph API ホストと Authority ホストを確認する">
    商用クラウドを使用するほとんどの組織では、既定値を使用します。

    | フィールド | 商用クラウドの値 |
    | - | - |
    | **Graph API ホスト** | `graph.microsoft.com` |
    | **Authority ホスト** | `login.microsoftonline.com` |

    政府機関向けクラウドやソブリン クラウドの場合は、お使いの環境に適したエンドポイントを使用してください。

    <Note>
      Graph API ホストと Authority ホストは一致している必要があります。あるクラウドの認証局から発行されたトークンは、別のクラウドの Graph エンドポイントでは無効です。
    </Note>
  </Step>
</Steps>

***

## パート B — Living Security Platform での作業

*この手順は、プログラム オーナーが実施します。プラットフォームに招待されたシステム管理者がいる場合は、その管理者が実施します。*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | フィールド | 値 |
    | - | - |
    | **APIキー** | パート A のステップ 4 で作成したクライアント シークレット |
    | **Azure tenant ID** | パート A のステップ 1 の Directory (tenant) ID |
    | **クライアント ID** | パート A のステップ 1 の Application (client) ID |
    | **Graph API ホスト** | `graph.microsoft.com` (またはお使いのクラウドのエンドポイント) |
    | **Authority ホスト** | `login.microsoftonline.com` (またはお使いのクラウドのエンドポイント) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Microsoft Entra ID の Living Security 接続ダイアログ" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

これで Microsoft Entra ID (Client Credentials) に接続されました。

***

## トラブルシューティング

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    資格情報が無効か、期限切れです。次の点を確認してください。

    1. クライアント シークレットが期限切れになっていないこと、またはローテーションされていないこと
    2. テナント ID とクライアント ID が正しいこと
    3. Authority ホストがお使いのクラウド環境と一致していること
  </Accordion>

  <Accordion title="403 Forbidden">
    アプリの登録に必要なアクセス許可がないか、管理者の同意が付与されていません。次の点を確認してください。

    1. 必要なアクセス許可がすべて **API permissions** に一覧表示されていること
    2. 各アクセス許可の**ステータス**が **Granted** (緑のチェック マーク) になっていること
    3. アクセス許可を追加した後に管理者の同意が付与されていること

    <Note>
      最初の同意の後で新しいアクセス許可を追加した場合は、管理者の同意を再度付与する必要があります。
    </Note>
  </Accordion>

  <Accordion title="特定のデータ ストリームの結果が空になる">
    アプリに、そのストリームに必要なアクセス許可がない可能性があります。

    * ユーザーが取得されない → `User.Read.All` がありません
    * セキュリティ アラートが取得されない → `SecurityAlert.Read.All` がありません
    * サインイン ログが取得されない → `AuditLog.Read.All` がありません
    * 攻撃シミュレーションの結果が取得されない → `AttackSimulation.Read.All` がありません
    * Entra ID のデバイスが取得されない → `Device.Read.All` がありません
    * Intune 管理対象デバイスが取得されない → `DeviceManagementManagedDevices.Read.All` がありません
    * リスク検出が取得されない → `IdentityRiskEvent.Read.All` がない、追加後に管理者の同意が再付与されていない、またはテナントが Microsoft Entra ID P1 ライセンスの最低要件を満たしていません
  </Accordion>

  <Accordion title="トークン要求が invalid_client で失敗する">
    Graph API ホストと Authority ホストが一致していない可能性があります。どちらも同じクラウド環境 (商用、政府機関向けなど) に対応している必要があります。
  </Accordion>

  <Accordion title="グループ アクションがプレイブックに表示されない">
    グループ メンバーシップのアクションは、次の 3 つの条件がすべて満たされている場合にのみ提供されます。

    1. `GroupMember.ReadWrite.All` がアプリの登録に設定されており、管理者の同意が付与されている。最近追加した場合は、最大 1 時間お待ちください。
    2. 管理者が接続に対して許可するグループの一覧を指定している。
    3. 接続が有効で、正常な状態である。

    アクセス許可を付与してもアクションが利用できない場合は、管理者の同意を再度付与してください。Microsoft では、アクセス許可が変更されるたびに再付与が必要です。
  </Accordion>

  <Accordion title="条件付きアクセスにより接続またはそのアクションがブロックされる">
    テナントに IP アドレスでスコープを設定した条件付きアクセス ポリシーがある場合、この接続の資格情報を含む要求がブロックされることがあります。Microsoft Graph は既定では IP アドレスによる制限を行わないため、ほとんどのテナントは影響を受けません。サービス プリンシパルに対して IP スコープのポリシーを適用している場合、セットアップとデータ同期は異なるネットワークから送信されるため、この連携では **2 組**のアドレスを許可リストに登録する必要があります。

    Living Security はこの接続のアクセス トークンを自ら発行して継続的に更新するため、トークン要求は、データ同期で使用されるアドレスではなく、プラットフォーム自身のアドレスから送信されます。

    グループ アクションは別です。既定では、データ同期と同じ経路で、同期用アドレスから送信されます。管理者が接続を直接送信 (direct egress) に切り替えた場合にのみ、プラットフォームのアドレスに変わります。

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    両方の組を、条件付きアクセス ポリシーが信頼または除外する**名前付きの場所**に追加してください。トークン要求は `login.microsoftonline.com` に、データ要求は `graph.microsoft.com` に送信されます。どちらも通過する必要があります。

    同期用アドレスのみを許可リストに登録した場合、セットアップはトークンの取得時に失敗し、接続は作成されません。プラットフォームのアドレスのみを許可リストに登録した場合、セットアップは成功しますが、すべての同期でレコードが返されません。
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.