はじめに

Jamf Account が IdP による SSO に対応しました。これを設定することで Jamf ID ではなく IdP の認証情報を使って Jamf Account にログインすることが可能になります。

SAML 2.0 ではなく OpenID Connect（OIDC）による構築となるため、Jamf Pro の SSO とは少し手順が異なるのでまとめます。今回は Azure AD で設定を行いました。Jamf Account 側の設定は汎用的なので、他の IdP でも共通しています。

なお、Okta での構築手順は Jamf の YouTube に動画があがっているので、こちらが参考になります。

なお、スクリーンショットは全て日本語で撮影しています。デフォルトの表示言語は英語ですが、プロファイル > 言語 から日本語を選択可能です。

ドメインの検証

Jamf Account へログインする

https://account.jamf.com/login

Jamf Account へ Administrator 権限を持つ Jamf ID でログインします。サイドメニューに「組織」の項目が表示されていれば Administrator 権限があります。表示されていない場合は権限のあるアカウントへ切り替えるか、不明な場合は success@jamf.com に連絡してください。

ドメインの所有権を確認する

IdP との接続を行う前に、まずはドメインの検証を行い、Jamf Account への SSO に利用するメールアドレスの所有権を確認する必要があります。

組織 > SSO を開き、右上の「ドメイン」を開き、「ドメインを追加」へ進みます。

「ドメイン名」に自組織で利用しているメールアドレスのドメインを入力し、「次へ」へ進みます。

TXT レコードが発行されるのでコピーし、表示されている手順に沿って自組織の DNS サーバーへ追加します。追加・設定方法が不明な場合は自組織のネットワーク管理者へお問い合わせください。

TXT レコードの追加が反映されるまで待ち、ドメイン名の「検証」ボタンを押します。ステータスが「承認済み」になればドメインの検証完了です。

※ 自組織内にドメインが複数存在する場合は、ドメインの検証も複数のドメインで行う必要があります。

Azure AD の設定

OIDC アプリケーションを作成する

Azure Portal へアプリケーション管理者のロールを持つ、または PIM でロールを有効化したアカウントでログインし、Azure Active Directory > アプリの登録 へ進みます。

名前： 任意の名称。ここでは「Jamf Account」とします。
サポートされるアカウントの種類： ここではシングルテナントにします。
リダイレクトURI： https://jp.auth.jamf.com/login/callback

アプリケーションが登録できたら「アプリケーション ID」をコピーし、メモしておきます。

クライアントシークレットを発行する

管理 > 証明書とシークレット > 新しいクライアントシークレット からクライアントシークレットを発行します。ここは一般的な手順となるためここでは割愛しますが、learn.microsoft.com に手順があるので参照してください。

発行した「クライアントシークレット」をコピーし、メモしておきます。（パブリックな場所では共有しないでください）

API のアクセス許可 / トークン構成

規定では Microsoft Graph API へのアクセスに管理者の同意が必要となるため、管理 > API のアクセス許可 から User.Read に対し管理者の同意を付与します。

また、ログイン時にメールアドレスが要求されるため、管理 > トークン構成 から email を追加しておきます。

SSO の接続設定

Jamf Account に戻り、組織 > SSO から「新しい接続」を開きます。

接続名：任意の名称を入力します。ここでは「Azure AD」とします。
ホストされる地域：必ず自組織の地域を選択します。ここでは「日本」とします。（作成後に変更はできません）

発行者のURL： https://sts.windows.net/{tenantid}/
クライアントID： Azure AD で作成したアプリケーション ID
クライアントシークレット： Azure AD で作成したアプリケーションで発行したクライアントシークレット

関連するドメイン： 先ほど検証したドメインにチェックを付けます
アプリケーション： Jamf Account が選択されています

ここまで入力が完了したら「保存」を押します。

SSO 設定が保存され、ステータスが「有効」になることを確認します。

一度ログアウトすると、ログイン画面に「Continue with {your company} IDP」というボタンが表示され、Azure AD の認証情報でログインできるようになります。

おわりに

これで Jamf Account のログインも IdP の認証情報を利用することができ、MFA などの IdP 側のセキュリティポリシーも適用できるようになりました。

注意点としては IdP 側で行えるのは認証のみで、認可については Jamf Account 側で行う必要があるので、Administrator 権限の付与は手動で行う必要があります。

こちらは実際に構築しながら調査・検証した内容のメモを元に書いているため内容に間違いや、もっとよい方法があるかもしれません。その際はお手数ですが Twitter や、各種コミュニティ Slack などでご指摘ください。

また、以下は定型文ですが、組織における Apple デバイスの管理・運用に課題を感じている方は、業務委託（副業）として構築のお手伝いや、1時間単位からのアドバイザーも請け負っておりますので、お気軽にご相談ください。