Microsoft Entra ID 認証モジュール

カスタムテナント設定

この設定に従うと、ログインは、Microsoft Entra ID インスタンスに保存されているアカウントを持つユーザーに制限されます。Azure Active Directory (AD) テナントからのログイン要求を受け入れる場合は、共通テナントの手順に従ってください。

カスタムテナントの Microsoft Entra ID モジュールを作成する場合、認証モジュールの作成時にカスタムテナントのテナント ID を指定します。これにより、Azure テナント ID が、認証モジュールで使用される認証エンドポイントとトークンエンドポイントに自動的に追加されます。

新しいテナントの設定方法については、Microsoft Azure ドキュメントを参照してください。

次の手順では、YouTrack の承認されたリダイレクト URI を Microsoft Azure ポータルに登録します。これにより、Microsoft Entra ID 認証モジュールを有効にするために必要なクライアント ID とシークレットにアクセスできるようになります。

このセットアップの実行方法については、Microsoft Azure の製品ドキュメント(英語)の指示に従ってください。

次の表に、この認証モジュールに必要な主要な構成オプションを示します。

認証サービスに接続するために必要な値を取得したら、YouTrack で Microsoft Entra ID 認証モジュールを有効にすることができます。

共通テナント設定

共通テナントのエンドポイントを使用する Microsoft Entra ID モジュールは、OAuth 2.0 認証モジュールの標準セットアップに従います。このセットアップは、組織のメンバーではないユーザーを含む、任意の Azure Active Directory (AD) テナントからのログイン要求を受け入れます。会社の Microsoft Entra ID インスタンスに登録されているユーザーにログインを制限する場合は、カスタムテナントの手順に従ってください。

最初のステップは、auth モジュールを作成し、YouTrack にリダイレクト URI を生成することです。

次の手順では、YouTrack の承認されたリダイレクト URI を Microsoft Azure ポータルに登録します。これにより、Microsoft Entra ID 認証モジュールを有効にするために必要なクライアント ID とシークレットにアクセスできるようになります。

このセットアップの実行方法については、Microsoft Azure の製品ドキュメント(英語)の指示に従ってください。

次の表に、この認証モジュールに必要な主要な構成オプションを示します。

認証サービスに接続するために必要な値を取得したら、YouTrack で Microsoft Entra ID 認証モジュールを有効にすることができます。

設定

設定ページの最初のセクションには、認証モジュールの一般設定が表示されます。ここには、YouTrack を許可サービスに登録するために使用するリダイレクト URI、および許可サービスで生成されたクライアント ID とクライアントシークレットを保管する入力フィールドもあります。

フィールドマッピング

ユーザープロファイルにカスタム属性を追加した場合、これらの属性を認可サービスに保存されている属性にマップすることもできます。各カスタム属性は、認可サービスの対応するフィールドの名前を保存するための入力フィールドとともに名前別にリストされます。

属性名では大文字と小文字が区別されます。Microsoft 属性の同期はキャメルケースで書かれていますの場合、YouTrack に入力された属性フィールド名が一致する必要があります。

YouTrack のカスタム属性は、特定のタイプで作成されます。Azure フィールドの対応する値は、YouTrack で指定されたフィールドタイプと一致する必要があります。

YouTrack は、認証サービスユーザーアカウントから直接取得できる属性をサポートしています。別のリソースのクエリを必要とするマネージャーやスポンサーなどの属性はサポートされていません。

ユーザープロファイルのカスタム属性の詳細については、カスタム属性の管理を参照してください。

ユーザープロファイル応答オブジェクトが Azure Active Directory によって返されると、指定されたフィールドパスの値が YouTrack に保存されているアカウントにコピーされます。次の設定を使用して、認証されたユーザーのプロファイルデータを検索するエンドポイントを定義し、認可サービスユーザープロファイルに保存されているフィールドを対応する YouTrack アカウントにマップします。

• ネストされたオブジェクト内のフィールドへのパスを指定するには、スラッシュ文字（/）で区切られた一連のセグメントを入力します。

• 複数の場所に格納されている値を参照するには、「エルビス演算子」(?:) を複数のパスの区切り文字として使用します。このオプションを使用すると、YouTrack は、指定されたフィールドで最初に検出した空でない値を使用します。

追加設定

次のオプションは、ページの下部にあります。これらの設定により、リクエストスコープを定義し、サービスでの認証方法を選択できます。

このセクションの他のオプションを使用すると、アカウントの作成とグループメンバーシップを管理し、アイドル状態の接続によって消費される処理リソースの損失を減らすことができます。

グループマッピング

グループマッピングタブで、承認サービスの既存のグループを YouTrack のグループにマップできます。

Microsoft Entra ID モジュールは、Microsoft Entra ID グループのメンバーシップを格納する属性を、YouTrack データベースのメンバーシップレコードを格納するフィールドに自動的にマップします。必要なのは、Microsoft Entra ID サービスのグループを YouTrack の対応するグループにマップすることだけです。

グループマッピングが構成されている場合、YouTrack は、ユーザーがディレクトリサービスで管理されているアカウントを使用してログインするときに、Microsoft Entra ID グループメンバーシップを確認します。YouTrack は、YouTrack グループにマップされている Microsoft Entra ID グループごとに次の操作を実行します。

• マップされた Microsoft Entra ID グループのメンバーであり、マップされた YouTrack グループのメンバーではないユーザーは、YouTrack のグループに追加されます。

• マップされた Microsoft Entra ID グループのメンバーではなく、マップされた YouTrack グループのメンバーであるユーザーは、YouTrack のグループから削除されます。

承認サービスのグループメンバーシップへの変更は、ユーザーが Microsoft Entra ID アカウントを使用してログインした場合にのみ YouTrack に適用されます。

YouTrack の単一のターゲットグループに複数の Microsoft Entra ID グループをマップできます。Microsoft Entra ID グループを複数の YouTrack グループにマップすることはできません。

Azure AD2.0 認証モジュールからの移行

2022.2 より前の Hub バージョンに含まれていた Azure AD 認証モジュールは、Microsoft Entra ID サービスのグループと Hub のグループの間でメンバーシップをマップおよび同期する機能をサポートしていません。この機能を使用する場合は、認証モジュールの更新バージョンに移行する必要があります。

この移行を実行するには:

1. 既存の Azure AD 2.0 認証モジュールを削除します。古いモジュールは、リストで OAuth 2.0 タイプが割り当てられているため、区別できます。

2. このページの説明に従って、新しい Microsoft Entra ID 認証モジュールをセットアップします。

非アクティブ化されたモジュールに保存されている既存のクライアント ID とクライアントシークレットを新しい認証モジュールにコピーし、Microsoft Azure に新しいモジュールのリダイレクト URI を登録するオプションもあります。