<Boxにおける必須設定値(ユーザ名のみ)>

< Microsoft365 における必須設定値(ユーザ名+ Immutable ID)>

Immutable IDとは、IDaaS(Okta)側のユーザとMicrosoft365(Azure AD)側のユーザを一意に識別及び紐づけるために使用される属性となります。

Immutable IDは、sourceAnchor属性とも呼ばれており、詳細はMicrosoftの公式サイトに記載がありますので、下記よりご確認ください。
https://docs.microsoft.com/en-us/azure/active-directory/hybrid/plan-connect-design-concepts

<Immutable ID確認コマンド>

Get-MsolUser –UserPrincipalName ＜アカウントアドレス＞ | Select-Object ImmutableID

< Immutable ID確認コマンド実行結果>

Microsoft365上でユーザを手動にて作成した場合、Immutable IDは付与されないため、PowerShellにてMicrosoft365へ接続の上で以下コマンドを実行することで、該当ユーザへImmutable ID付与が可能です。

<Immutable ID付与コマンド>

Set-MsolUser –UserPrincipalName ＜アカウントアドレス＞ -ImmutableID ＜連携用ユニークID>

< Immutable ID付与コマンド実行結果>

Immutable IDは、Microsoft365ユーザ毎に一意な値であればよく、メールアドレスと一緒の値を付与することも出来ます。

<フェデレーションドメイン解除コマンド>

Set-MsolDomainAuthentication -Authentication Managed -DomainName <対象ドメイン>

<フェデレーションドメイン解除コマンド実行結果>

対象ドメインをManaged(通常ドメイン)へ変換しており、ドメインの状態は、コマンド” Get-MsolDomain”で確認可能 です。

フェデレーションドメインへ再設定する場合は、Okta管理者画面のMicrosoft365設定画面のSign Onタブにて再保存(設定変更無しの編集→保存)が可能です。

しかし、上記手法では新規ユーザ作成の度にフェデレーションドメインの解除及びImmutable ID付与が必要となり、ユーザ管理が煩雑かつ運用工数・コストが発生してしまいます。

そのため、「プロビジョニング機能」の使用を推奨します。フェデレーションドメインの解除が不要となり、Oktaでユーザ作成するだけ、Microsoft365上へ紐づくユーザにImmutable IDが付与できるからです。
※プロビジョニング機能については、Lifecycle Management(LCM)ライセンスが必要となりますのでご注意ください。

OktaとMicrosoft365のプロビジョニング機能に関しては、Okta管理者画面のMicrosoft365設定画面のProvisioningタブから実施可能です。

<プロビジョニング設定画面>

付与するImmutable IDは、Directory > Profile EditorのOktaからMicrosoft365へのマッピングルールにて設定可能です。

< Immutable ID マッピング設定画面>

Immutable IDは、デフォルトで下記のように設定されています。

<OktaからMicrosoft365へのデフォルトのImmutable ID設定内容 >

hasDirectoryUser()?findDirectoryUser().externalId:null

Okta上のユーザがActive Directoryと同期がある場合、Active Directory上の全てのオブジェクトに対して付与されるIDのGUID(128bitのランダムな値)、同期がない場合、NULL(長さ0の空文字列)が設定されます。

なお、Okta側でユーザ作成した場合はNULLとなりますが、プロビジョニング機能を用いてOktaからMicrosoft365へ新規ユーザ作成もしくはMicrosoft365側の既存ユーザへImmutable IDを付与する際は、Immutable IDにはランダムな値が自動で付与されます。

一度Immutable IDが設定された場合は上書きが出来ないので注意が必要です。元のImmutable IDの値と異なる値で上書きを実行した場合は、元のImmutable IDがOkta上に保持される動きになります。