Entra IDのグループフィルターを特権昇格ポリシーに設定する

特権昇格のグループフィルターがAzure ADユーザーに一致しない

Entra ID (Azure AD) ユーザーをグループコレクション経由で選択している場合、特権昇格ポリシーがそのユーザーを非メンバーとして評価することがあります。この場合、本来の強制は行われず、代わりにWindows標準のUACが表示されます。

特権昇格ポリシーにグループを直接追加するとコントロールを通過します。同じグループをグループコレクション経由で追加すると EnforcementDisabled になります。

本ページで解決する内容

テナントでの一度限りの設定

エンドポイントがサインイン中のユーザーのグループメンバーシップを解決できるように、Microsoft Entra IDにネイティブ/パブリッククライアントを登録します。

エンドポイント設定の暗号化配信

SettingsUpdate ポリシーを使って、[アプリケーション (クライアント) ID] をエンドポイントに配信します。クライアントシークレットは不要です。

1

テナントごとに一度だけ実施

EntraのクライアントIDを取得する

Azureポータルで [Microsoft Entra ID] → [アプリの登録] → [新規登録] を開きます。名前は任意で構いません。組織で別のアカウント種別が求められていない限り、[この組織ディレクトリのみに含まれるアカウント (シングル テナント)] を選択します。

ネイティブ/パブリッククライアントアプリケーションを登録します。この名前はエンドポイントでは使用されません。

モバイルおよびデスクトップのリダイレクトURIを追加する

Windows: [リダイレクト URI] で [モバイル アプリケーションとデスクトップ アプリケーション] を選択し、以下のURLを追加します。CLIENT_ID は、このアプリ登録の client_id に置き換えてください。

ms-appx-web://Microsoft.AAD.BrokerPlugin/<CLIENT_ID>

macOS: [リダイレクト URI] で [iOS / macOS] を選択し、以下の [Bundle ID] を追加します。

com.keeper.endpoint-privilege-manager.usergroupresolver

[パブリック クライアント フローを許可する] が [はい] になっていることを確認してください。

デフォルトの委任された権限をそのまま使用する

Microsoft GraphのUser.Read (委任された権限) はそのままにします。[アプリケーション (クライアント) ID] をコピーします。これが次の手順で使う ClientId の値です。

Default Directoryに対して [管理者の同意の付与] をクリックし、[はい] を選択します。

[モバイル アプリケーションとデスクトップ アプリケーション]プラットフォームを選択し、ネイティブクライアントのリダイレクトURIを使用します。

同意: テナントで委任された権限に管理者の同意が必要な場合は、一度だけ同意を許可します。サイレントトークン取得では同意を許可できないため、各ユーザーの最初のサインインでは対話的な同意プロンプトが表示されることがあります。

2

エンドポイントへの展開

セキュア設定ポリシーでクライアントIDを配信する

以下の SettingsUpdate ポリシーを展開します。プレースホルダーはPart 1でコピーしたクライアントIDに置き換えます。サンプルは src/KeeperPEDM_VS2022/Examples/sample/UserGroupResolver-ClientId-SecureSettingsPolicy.json にもあります。

{
  "PolicyId": "usergroupresolver-clientid-secure",
  "PolicyName": "UserGroupResolver Entra ClientId (encrypted)",
  "PolicyType": "SettingsUpdate",
  "Status": "enforce",
  "Extension": {
    "Action": "Update",
    "SecureSettings": {
      "UserGroupResolver:ClientId": "<your Application (client) ID from Part 1>"
    }
  }
}

完全なポリシー例

{
	"PolicyName": "Assign Azure Client ID",
	"PolicyType": "SettingsUpdate",
	"PolicyId": "AdCKQ7svb7yvsvWH5QYKgg",
	"Status": "enforce",
	"Actions": {
		"OnSuccess": {
			"Controls": []
		},
		"OnFailure": {
			"Command": ""
		}
	},
	"NotificationMessage": "A policy has been set to monitor mode.  When this policy is enabled, [mfa, justification, request] will be required to run this process as an administrator.",
	"NotificationRequiresAcknowledge": false,
	"RiskLevel": 50,
	"Operator": "And",
	"Rules": [
		{
			"RuleName": "UserCheck",
			"ErrorMessage": "This user is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckUser()"
		},
		{
			"RuleName": "MachineCheck",
			"ErrorMessage": "This Machine is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckMachine()"
		},
		{
			"RuleName": "ApplicationCheck",
			"ErrorMessage": "This application is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckFile(false)"
		},
		{
			"RuleName": "DateCheck",
			"ErrorMessage": "Current date is not covered by this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckDate()"
		},
		{
			"RuleName": "TimeCheck",
			"ErrorMessage": "Current time is not covered by this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckTime()"
		},
		{
			"RuleName": "DayCheck",
			"ErrorMessage": "Today is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckDay()"
		},
		{
			"RuleName": "CertificateCheck",
			"ErrorMessage": "Certificate hash is not included in this policy",
			"RuleExpressionType": "BuiltInAction",
			"Expression": "CheckCertificate()"
		}
	],
	"UserCheck": [
		"*"
	],
	"MachineCheck": [
		"*"
	],
	"ApplicationCheck": [
		"*"
	],
	"DayCheck": [],
	"DateCheck": [],
	"TimeCheck": [],
	"CertificationCheck": [],
	"Extension": {
		"Action": "Update",
		"SecureSettings": {
			"UserGroupResolver:ClientId": "<your Application (client) ID from Part 1>"
		}
	}
}

• ポリシーのステータスはenforceです。

• 値は [アプリケーション (クライアント) ID] で、[オブジェクトID] や [ディレクトリ (テナント) ID] ではありません。

• 値は SecureSettings 配下に保存されます。クライアントシークレットは配布しません。

3

ポリシーの一致を確認する

グループを特権昇格ポリシーに直接追加する

特権昇格ポリシーを作成または編集し、Entraグループを (コレクションとしてではなく) グループフィルターとして直接追加して、任意のコントロールでポリシーをテストします。

想定される結果: コントロールの通過

グループメンバーシップが解決され、特権昇格ポリシーが適用されます。

4

コレクション経由での問題を再現する

グループをグループコレクション経由で追加する

同じテストを、Entraグループを特権昇格ポリシーに直接追加する代わりに、グループコレクション経由で追加してもう一度実施します。

直接指定のグループフィルター

コントロールを通過し、特権昇格ポリシーが適用されます。

グループコレクションのフィルター

コントロールが EnforcementDisabled で失敗し、代わりにWindows標準のUACが表示されます。

グループを直接指定したテストは通過するのに、コレクション経由のテストが EnforcementDisabled になる場合、そのエンドポイントは本ページで説明しているAzure ADのグループコレクションフィルターの問題を再現しています。エスカレーションする前に、クライアントIDポリシーを確認し、エンドポイントのログを収集してください。

---

トラブルシューティング

トラブルシューティング用コマンドプロンプトの例

C:\Users\JohnDoe>"C:\Program Files\Keeper Security\Endpoint Privilege Manager\Jobs\bin\UserGroupResolver\UserGroupResolver.exe" --dry-run --client-id <your Application (client) ID from Part 1>

成功時のレスポンス例

{
    "userSid": "S-1-12-1-1230035805-203337995-2932204708-3501512273",
    "userName": "AzureAD\\JohnDoe",
    "windowsStatus": "Ok",
    "entraStatus": "Ok",
    "local": [
        {
            "name": "Remote Desktop Users",
            "sid": "S-1-5-32-555"
        },
        {
            "name": "Users",
            "sid": "S-1-5-32-545"
        }
    ],
    "ad": [],
    "azure": [
        {
            "sid": "S-1-12-1-3835191376-1160143123-1997930151-2855338395",
            "domain": "AzureAD",
            "id": "e4986050-6113-4526-a7fe-15779b0131aa"
        },
        {
            "sid": "S-1-12-1-3739764121-1102381688-1139556528-502970863",
            "domain": "AzureAD",
            "id": "dee84599-0278-41b5-b040-ec43efb9fa1d"
        }
    ]
}

---

関連ページ

• 特権昇格ポリシー

• ポリシー評価

• 参照ターゲティング

• 構成設定