Microsoft Active
Directory アカウントがシングルサインオンをサポートするための制約付き委任の設定
Microsoft Active
Directory
アカウントがシングルサインオンをサポートするための制約付き委任の設定BlackBerry UEM
でシングルサインオンをサポートするには、ディレクトリ接続で Microsoft Active
Directory
が使用する BlackBerry UEM
アカウントに、制約付き委任を設定する必要があります。制約付き委任を設定すると、管理者またはユーザーが管理コンソールまたは BlackBerry UEM
にアクセスしたときに、BlackBerry UEM Self-Service
での認証をブラウザーが代行できます。- Windows Serverの ADSI Edit ツールまたは setspn コマンドラインツールを使用して、BlackBerry UEMの次の SPN をMicrosoft Active Directoryアカウントに追加します。
- HTTP/<host_FQDN_or_pool_name>（HTTP/domain123.example.com など）
- BASPLUGIN111/<host_FQDN_or_pool_name>（BASPLUGIN111/domain123.example.com など）
BlackBerry UEMドメインで管理コンソールに高可用性を設定した場合は、プール名を指定します。または、管理コンソールをホストするコンピューターの FQDN を指定します。Microsoft Active Directoryフォレスト内の他のアカウントが同じ SPN を持っていないことを確認します。 - Microsoft Active Directory Users and Computersを開きます。
- Microsoft Active Directoryアカウントプロパティの［委任］タブで、次のオプションを選択します。
- 指定されたサービスへの委任でのみこのユーザーを信頼する
- Kerberosのみを使用する
- 手順 1 の SPN をサービスリストに追加します。