Home » Office 365 » 備忘録： Azure AD Application Proxy のトラブルとワークアラウンド

備忘録： Azure AD Application Proxy のトラブルとワークアラウンド

2/19/2022

Azure AD Microsoft 365 Office 365

 Azure AD App Proxy は、内部のアプリをVPN接続しなくても利用できて、便利。使えるようにした内部のアプリをじわじわ増やしているけど、その中ではもちろんトラブルも。

自分への備忘として、トラブルと対応をまとめてみました。

一部のユーザーがアクセスできない

使える人もいる、使えない人もいる、といケース。

そのアプリケーションに、ユーザーを正しく割り当てていない、という場合に発生します。単純に割り当て漏れのケースもあれば、入れ子になっているグループで割り当てしようとしている場合もあります。（入れ子になっているグループでは割り当てできない機能はいくつかあり、エンタープライズアプリケーションの割り当てもその1つです）

適切に割り当てすれば、解消します。


一部のコンテンツだけ表示されない

埋め込んである動画や画像などのコンテンツがが表示されないというケースです。


これらのコンテンツの参照先が内部の別FQDNだったことが原因でした。コンテンツ保存先のFQDNもオンプレミスアプリケーションとしてAADに登録したうえで、元アプリの[アプリケーションの本文内の URL を変換する]を[はい]に変更することで、正常に表示されるようになりました。


表示は正常だが、一部の機能が使えない

IEでしか動かないような機能を使っているもので、何度かある。別ウィンドウを開いて、「そこでの入力をもとウィンドウに反映させる」「Active Xで処理してる」とか、です。そもそもIEしか動かないような機能が、残っていることが問題なのですが（笑）


根本的にアプリを改修/リプレイスするか、その部分は使えないと許容する、とか。よっぽど需要の高い機能じゃないなら、「アプリ側の仕様の都合で問題が発生するのでAppProxyでは使えません」というのも選択肢です。


アプリ画面が表示されずにエラー表示

AADのオンプレミスアプリケーションの登録上は問題ないが、Application Proxy経由ではアプリが表示すらされないケースです。


内部の名前が、内部のADに登録されていないなどADで名前解決できないことが原因だったようです。ADのDNSに登録したうえで、オンプレミスアプリケーションにFQDNを登録することで、利用できるようになりました。


アプリ画面が表示されずにSSL証明書エラー表示

内部から内部のFQDNでアクセスするも安全ではありません、と表示される内部webアプリをAADのオンプレミスアプリケーションとして登録したところ、Application Proxy経由ではSSL証明書が信頼できない的なメッセージが表示されてしまいました。


2021年7月から、アプリケーションプロキシでは、SSL証明書検証が有効化されていて、検証に通らないと利用できなくなっており、現在は新しくオンプレミスアプリケーションで登録する場合は、デフォルトで有効になっているとのこと。


検証に通る証明書（オレオレ証明書ではない）に変更するか、このSSL証明書検証を無効化することで解決します。AAD管理センターでは構成できないので、Graph エクスプローラーで 
isBackendCertificateValidationEnabled 属性をfalseにすることで解消できました。




参考にしたもの

入れ子 (ネスト) グループへの権限付与について - Japan Azure Identity Support Blog


Understand and solve Azure Active Directory Application Proxy CORS issues - Microsoft Docs
https://github.com/MicrosoftDocs/azure-docs/blob/main/articles/active-directory/app-proxy/application-proxy-understand-cors-issues.md


パブリック プレビュー - バックエンド SSL 証明書の検証用のアプリケーション プロキシ API の追加 - Microsoft Docs
https://docs.microsoft.com/ja-jp/azure/active-directory/fundamentals/whats-new#public-preview----application-proxy-api-addition-for-backend-ssl-certificate-validation



-
ラベル: , ,