クラウド ID プロバイダとして Microsoft Entra ID と Jamf Pro を統合することで、以下のような Directory ベースのワークフローが可能になります。
インベントリ収集のために、すべてのユーザおよびグループを検索する。
ユーザのメンバーシップ検索を実行し、それらを利用して Jamf Pro の関連アカウントに権限をマッピングする
ユーザの認証とスコープを構成する
Jamf Pro を Entra ID と統合する際は、以下のことに配慮してください。
以下のいずれかの条件を満たしている必要があります。
Jamf Commercial Cloud、Jamf Premium Cloud、または Jamf High Compliance Cloud でホストされた環境
Jamf Pro Entra ID Connector エンタープライズ App によって要求された同意を管理するには、グローバル管理者の Entra ID 権限が必要です。
Jamf Pro に追加されたユーザグループは、Entra ID で構成されたグループと同じ名前を持ちます。Jamf Pro に追加されたアカウントとグループは、標準タイプである必要があります。
ディレクトリ関連ワークフローを使用する場合 (スコープの制限や除外を追加する場合など)、Entra ID クラウドアイデンティティの項目がディレクトリサービスの見出しの下にリスト表示されます。
オブジェクトのスコープに含まれるクラウド IdP グループが多すぎると、Jamf Pro でパフォーマンスの問題が発生する場合があります。スコープ内で複数のクライテリアを使用する必要がある場合は、それらのクライテリアでスマートグループを作成し、代わりにそのスマートグループにスコープを設定することを検討してください。
Cloud IdP 統合としての Entra ID は、Microsoft Graph API と Microsoft Graph ドメインへの接続を使用します。クラウドコネクターを介して管理者が与えた同意と合わせて、ディレクトリデータが自動的に渡され、Jamf Pro のディレクトリワークフローで使用されます。Entra ID では、データの読み取り以外のアクションは行われません。
Jamf Pro と Entra ID の Graph API 接続を設定する際には、グローバル管理者のユーザ権限による認証が必須です。認証に成功すると、グラフ API を使用するための Jamf Pro 用アプリケーションが Entra ID に自動的に追加されます。これは、Entra ID のアプリケーションを手動で作成する必要がないことを意味します。アプリケーションが追加された後、セッションは終了します。Jamf Pro は Entra ID で検索を実行する間、読み取り専用になります。Jamf Pro は Entra ID にデータを書き戻すことができません。
以下の図は、一般的な Jamf Pro と Entra ID IdP の統合を示しています。
同意を得た後、クラウドコネクター Web アプリケーションは、Entra ID の承認エンドポイントに対して、付与されたクライアント識別子と受け取ったテナント識別子の承認を実行します。その結果、Entra ID は認証コードで応答します。このコードは、テナント識別子とともに Jamf Pro に戻されます。Jamf Pro は、クラウドコネクター Web アプリケーションからデータ一式を受け取った後、受け取った認証コードを確認します。データセットに問題がなければ、構成が保存されます。この方法により、Jamf Pro は Entra ID テナントデータの使用を許可されたクライアント/アプリケーションのみに制限します。
転送中のデータの保護に使用される TLS のバージョンは、完全前方秘匿性 (PFS) を備えた1.2以降です。Jamf Pro は、常に最高のプロトコルのネゴシエーションを試みます。
接続を行うためには、Jamf Pro アプリケーションに以下の権限が必要です。
サインインしてユーザプロファイルを読み取り
ディレクトリデータの読み取り
アプリケーションに以下の権限が必要です。
GroupMember.Read.All (アプリケーション)
User.Read (委任)
User.Read.All (アプリケーション)
Entra ID への接続を有効にすると、Jamf Pro が Entra ID からディレクトリ情報をクエリできるようになります。以下の図は、ディレクトリデータの検索の一般的な流れを示しています。
管理者がディレクトリ検索を初期化すると、Jamf Pro はクライアント資格情報フローを使って Entra ID にアクセストークンを要求します。トークンが付与されると、Jamf Pro は Microsoft Graph API を介してディレクトリデータを照会します。クライアントの検証が成功すると、データセットが返されます。Jamf Pro は、Jamf Pro のディレクトリのワークフローで使用できるオブジェクトにこのデータをマッピングします。Microsoft Graph REST API の詳細については、Microsoft Graph REST API v1.0 エンドポイント リファレンスを参照してください。