5.4. Microsoft Entra ID への SSSD クライアントの登録

手順

1. Microsoft Entra admin center にサインインします。
2. Identity > Applications > App registrations > New registration に移動します。
3. アプリケーションに分かりやすい名前 (例: RHELSSSDClient) を入力し、サポートされているアカウントの種類を選択します。

4. Authentication で、以下のいずれかを選択します。

   1. シークレットを使用せずにデバイスコードフローを使用する場合は、Allow public client flows が Yes に設定されていることを確認します。
   2. 機密クライアントを設定する場合は、Certificates & secrets に移動して、Client secret を作成します。
5. Application (client) ID と Directory (tenant) ID をコピーします。

6. SSSD がクライアントクレデンシャルを使用してユーザーおよびグループのメタデータを取得できるように、登録したアプリケーションに対して特定の (委譲された権限ではなく) アプリケーション権限を付与します。Microsoft Entra admin センター の Manage > API permissions でこれらを設定します。

   • Group.Read.All
   • GroupMember.Read.All
   • User.Read.All (SSSD がアイデンティティーフェーズ中に他のユーザーを検索できるようにする)
   • User.Read

   • Admin Consent: Application レベルのすべての権限が、Granted for [Organization] のステータスである必要があります。

     注記

     User.Read に対して Admin Consent を付与する必要があります。これがないと、SSSD オプション idp_auth_scope が user.read スコープを除外している場合、ユーザー認証が失敗する可能性があります。