How to build Microsoft Entra ID OIDC enterprise SSO with Express

新しい友達のために:

Logto は、モダンなアプリや SaaS 製品向けに設計された Auth0 の代替です。 Cloud とオープンソースの両方のサービスを提供し、アイデンティティと管理 (IAM) システムを迅速に立ち上げるのに役立ちます。認証 (Authentication)、認可 (Authorization)、マルチテナント管理をすべて一つにまとめて楽しんでください。

Logto Cloud で無料の開発テナントから始めることをお勧めします。これにより、すべての機能を簡単に探索できます。

この記事では、Express と Logto を使用して、Microsoft Entra ID OIDC enterprise SSO サインイン体験（ユーザー認証 (Authentication)）を迅速に構築する手順を説明します。

前提条件

稼働中の Logto インスタンス。紹介ページをチェックして始めてください。
Express の基本的な知識。
使用可能な Microsoft Entra ID OIDC enterprise SSO アカウント。

Create an application in Logto

Logto は OpenID Connect (OIDC) 認証 (Authentication) と OAuth 2.0 認可 (Authorization) に基づいています。これは、複数のアプリケーション間でのフェデレーテッドアイデンティティ管理をサポートし、一般的にシングルサインオン (SSO) と呼ばれます。

あなたの Traditional web アプリケーションを作成するには、次の手順に従ってください：

Logto コンソールを開きます。「Get started」セクションで、「View all」リンクをクリックしてアプリケーションフレームワークのリストを開きます。あるいは、Logto Console > Applications に移動し、「Create application」ボタンをクリックします。
開いたモーダルで、左側のクイックフィルターチェックボックスを使用して、利用可能なすべての "Traditional web" フレームワークをフィルタリングするか、"Traditional web" セクションをクリックします。"Express" フレームワークカードをクリックして、アプリケーションの作成を開始します。
アプリケーション名を入力します。例：「Bookstore」と入力し、「Create application」をクリックします。

🎉 タダーン！Logto で最初のアプリケーションを作成しました。詳細な統合ガイドを含むお祝いページが表示されます。ガイドに従って、アプリケーションでの体験を確認してください。

Integrate Express SDK

ヒント:

サンプルプロジェクトは、私たちの SDK リポジトリで利用可能です。

インストール

お好みのパッケージマネージャーを使用して Logto SDK をインストールします：

npm
pnpm
yarn

npm i @logto/express cookie-parser express-session

pnpm add @logto/express cookie-parser express-session

yarn add @logto/express cookie-parser express-session

統合

設定と必要なミドルウェアの準備

Logto クライアントの設定を準備します：

app.ts
import { LogtoExpressConfig } from '@logto/express';

const config: LogtoExpressConfig = {
  appId: '<your-application-id>',
  appSecret: '<your-application-secret>',
  endpoint: '<your-logto-endpoint>', // 例: http://localhost:3001
  baseUrl: '<your-express-app-base-url>', // 例: http://localhost:3000
};

SDK は事前に express-session の設定が必要です。

app.ts
import cookieParser from 'cookie-parser';
import session from 'express-session';

app.use(cookieParser());
app.use(
  session({
    secret: 'random_session_key', // 独自のシークレットに置き換えてください
    cookie: { maxAge: 14 * 24 * 60 * 60 * 1000 }, // ミリ秒単位
  })
);

リダイレクト URI の設定

詳細に入る前に、エンドユーザー体験の概要を簡単にご紹介します。サインインプロセスは次のようにシンプルにまとめられます：

アプリがサインインメソッドを呼び出します。
ユーザーは Logto のサインインページにリダイレクトされます。ネイティブアプリの場合は、システムブラウザが開かれます。
ユーザーがサインインし、アプリ（リダイレクト URI として設定）に戻されます。

この認証 (Authentication) プロセスは OpenID Connect (OIDC) プロトコルに従い、Logto はユーザーのサインインを保護するために厳格なセキュリティ対策を講じています。
複数のアプリがある場合、同じアイデンティティプロバイダー (Logto) を使用できます。ユーザーがあるアプリにサインインすると、Logto は別のアプリにアクセスした際に自動的にサインインプロセスを完了します。

リダイレクトベースのサインインの理論と利点について詳しく知るには、Logto サインイン体験の説明を参照してください。

注記:

以下のコードスニペットでは、あなたのアプリが http://localhost:3000/ で実行されていると仮定しています。

リダイレクト URI を設定する

Logto Console のアプリケーション詳細ページに移動します。リダイレクト URI http://localhost:3000/callback を追加します。

サインインと同様に、ユーザーは共有セッションからサインアウトするために Logto にリダイレクトされるべきです。完了したら、ユーザーをあなたのウェブサイトに戻すと良いでしょう。例えば、http://localhost:3000/ をサインアウト後のリダイレクト URI セクションとして追加します。

その後、「保存」をクリックして変更を保存します。

ルートの登録

SDK は 3 つのルートを登録するためのヘルパー関数 handleAuthRoutes を提供します：

/logto/sign-in: Logto でサインイン。
/logto/sign-in-callback: サインインコールバックを処理。
/logto/sign-out: Logto でサインアウト。

次のコードをアプリに追加します：

app.ts
import { handleAuthRoutes } from '@logto/express';

app.use(handleAuthRoutes(config));

ルートが登録されたので、ホームページにサインインとサインアウトのボタンを実装しましょう。必要に応じてユーザーをサインインまたはサインアウトのルートにリダイレクトする必要があります。これを支援するために、withLogto を使用して req.user に認証 (Authentication) ステータスを注入します。

app.ts
import { withLogto } from '@logto/express';

app.get('/', withLogto(config), (req, res) => {
  res.setHeader('content-type', 'text/html');

  if (req.user.isAuthenticated) {
    res.end(`<div>Hello ${req.user.claims?.sub}, <a href="/logto/sign-out">Sign Out</a></div>`);
  } else {
    res.end('<div><a href="/logto/sign-in">Sign In</a></div>');
  }
});

チェックポイント: アプリケーションをテストする

これで、アプリケーションをテストできます：

アプリケーションを実行すると、サインインボタンが表示されます。
サインインボタンをクリックすると、SDK がサインインプロセスを初期化し、Logto のサインインページにリダイレクトされます。
サインインすると、アプリケーションに戻り、サインアウトボタンが表示されます。
サインアウトボタンをクリックして、トークンストレージをクリアし、サインアウトします。

Add Microsoft Entra ID OIDC enterprise SSO connector

アクセス管理を簡素化し、大規模なクライアント向けにエンタープライズレベルの保護を得るために、Express をフェデレーテッドアイデンティティプロバイダーとして接続します。Logto エンタープライズシングルサインオン (SSO) コネクターは、いくつかのパラメーター入力を許可することで、この接続を数分で確立するのに役立ちます。

エンタープライズ SSO コネクターを追加するには、次の手順に従ってください：

Logto コンソール > エンタープライズ SSO に移動します。

「エンタープライズコネクターを追加」ボタンをクリックし、SSO プロバイダーのタイプを選択します。Microsoft Entra ID (Azure AD)、Google Workspace、Okta の事前構築されたコネクターから選択するか、標準の OpenID Connect (OIDC) または SAML プロトコルを使用してカスタム SSO 接続を作成します。
一意の名前を指定します（例：Acme Company の SSO サインイン）。

「接続」タブで IdP と接続を構成します。各コネクタータイプのガイドを上記で確認してください。

「体験 (Experience)」タブで SSO 体験と企業の メールドメイン をカスタマイズします。SSO 対応のメールドメインでサインインするユーザーは、SSO 認証にリダイレクトされます。

変更を保存します。

Set up Azure AD SSO application

ステップ 1: Microsoft EntraID OIDC アプリケーションを作成する

Microsoft Entra 管理センターにアクセスし、管理者としてサインインします。
Identity > Applications > App registrations に移動します。

New registration を選択します。
アプリケーション名を入力し、アプリケーションに適したアカウントタイプを選択します。
アプリケーションプラットフォームとして Web を選択します。
Logto の SSO 設定ページから redirect URI をコピーして貼り付けます。redirect URI は、ユーザーが Microsoft Entra ID で認証された後にリダイレクトされる URL です。

Register をクリックしてアプリケーションを作成します。

ステップ 2: Logto で Microsoft Entra ID OIDC SSO を設定する

Microsoft Entra OIDC アプリケーションの作成が完了したら、IdP 設定情報を Logto に提供する必要があります。Logto コンソールの Connection タブに移動し、以下の設定を入力してください：

クライアント ID：Microsoft Entra によって OIDC アプリケーションに割り当てられた一意の識別子です。この識別子は、OIDC フロー中に Logto がアプリケーションを識別し認証するために使用します。アプリケーションの概要ページで Application (client) ID として確認できます。

クライアントシークレット：新しいクライアントシークレットを作成し、その値を Logto にコピーしてください。このシークレットは、OIDC アプリケーションの認証および Logto と IdP 間の通信のセキュリティ確保に使用されます。

発行者 (Issuer)：発行者 URL は、IdP の一意の識別子であり、OIDC アイデンティティプロバイダーの場所を指定します。これは OIDC 設定の重要な部分であり、Logto が必要なエンドポイントを発見するのに役立ちます。

これらの OIDC エンドポイントを手動で入力する代わりに、Logto は発行者 URL を利用して IdP のディスカバーエンドポイントにアクセスし、必要な設定や IdP エンドポイントを自動的に取得します。

発行者 URL を取得するには、アプリケーション概要ページの Endpoints セクションで確認できます。

OpenID Connect metadata document エンドポイントを見つけ、その URL から 末尾の .well-known/openid-configuration を除いた部分 をコピーしてください。Logto は OIDC 設定取得時に自動的に .well-known/openid-configuration を発行者 URL に付加します。

スコープ (Scope)（任意）：Logto はすべてのリクエストに必要なスコープ（openid、profile、email）を自動的に含めます。アプリケーションが IdP から追加の権限やアクセスレベルを必要とする場合は、スペース区切りで追加のスコープを指定できます。

保存 をクリックして設定プロセスを完了してください。

ステップ 3: 追加スコープ（オプション）

スコープ (Scopes) は、アプリがユーザーから要求する権限 (Permissions) を定義し、アプリが Microsoft Entra ID アカウントからアクセスできるデータを制御します。Microsoft Graph の権限 (Permissions) を要求するには、両方の側で設定が必要です：

Microsoft Entra 管理センターで：

Microsoft Entra ID > アプリ登録 に移動し、アプリケーションを選択します。
API 権限 > 権限の追加 > Microsoft Graph > 委任された権限 に進みます。
アプリに必要な権限 (Permissions) のみを選択します：
- OpenID 権限 (Permissions)：
  - openid（必須）- ユーザーのサインイン
  - profile（必須）- ユーザーの基本プロフィールの表示
  - email（必須）- ユーザーのメールアドレスの表示
  - offline_access（オプション）- Logto コネクターで Microsoft API への永続的なアクセス用のトークン保存を有効にし、Microsoft Graph API への長期間アクセスのためにリフレッシュトークン (Refresh token) を取得する必要がある場合のみ必要です。
- API アクセス（オプション）：アプリに必要な追加の権限 (Permissions) を追加します。一般的な Microsoft Graph 権限 (Permissions) には Mail.Read、Calendars.Read、Files.Read などがあります。利用可能な権限 (Permissions) については Microsoft Graph permissions reference を参照してください。
権限の追加 をクリックして選択を確定します。
アプリが特定の権限 (Permissions) に管理者の同意が必要な場合は、[組織名] のために管理者の同意を付与 をクリックします。

Logto Microsoft Entra ID コネクターで：

Logto は、基本的なユーザーアイデンティティ情報を取得するために openid、profile、email スコープ (Scopes) を自動的に含めます。基本的なユーザー情報のみが必要な場合は、Scopes フィールドを空白のままにできます。
Microsoft API への永続的なアクセス用にトークンを保存する場合は、Scopes フィールドに offline_access を追加します。このスコープ (Scope) により、長期間の API アクセス用のリフレッシュトークン (Refresh token) が有効になります。
Microsoft Graph からさらに多くのデータを要求する場合は、Scopes フィールドに追加のスコープ (Scopes)（スペース区切り）を追加します。標準のスコープ名を使用してください。例：User.Read Mail.Read Calendars.Read

ヒント:

アプリがこれらのスコープ (Scopes) を要求して Microsoft Graph API へアクセスし操作を行う場合は、Logto Microsoft Entra ID コネクターで Microsoft API への永続的なアクセス用のトークン保存 を有効にしてください。詳細は次のセクションを参照してください。

ステップ 4: Microsoft API へアクセスするためのトークンを保存する（オプション）

Microsoft Graph APIs へアクセスし、ユーザーの認可 (Authorization) で操作を実行したい場合、Logto は特定の API スコープとトークンを取得・保存する必要があります。

Microsoft Entra 管理センターの API 権限設定および Logto Microsoft Entra ID コネクターで必要なスコープを追加します。
Logto Microsoft Entra ID コネクターで 永続的な API アクセスのためにトークンを保存 を有効にします。Logto は Microsoft のアクセストークンおよびリフレッシュトークンを Secret Vault に安全に保存します。
リフレッシュトークンが返されるようにするには、Microsoft Entra ID アプリケーションの権限に offline_access スコープを追加し、Logto Microsoft Entra ID コネクターのスコープにも含めてください。このスコープにより、アプリケーションは長期間リソースへのアクセスを維持できます。

ステップ 5: メールドメインを設定し、SSO コネクターを有効化する

コネクターの体験 (Experience) タブで、組織のメール domains を入力してください。これにより、これらのユーザーに対して SSO コネクターが認証 (Authentication) 方法として有効になります。

指定したドメインのメールアドレスを持つユーザーは、唯一の認証 (Authentication) 方法として SSO コネクターのみを利用できるように制限されます。

Save your configuration

Logto コネクター設定エリアで必要な値をすべて記入したことを確認してください。「保存して完了」または「変更を保存」をクリックすると、Microsoft Entra ID OIDC enterprise SSO コネクターが利用可能になります。

エンタープライズコネクターを個別に設定する必要はありません。Logto は、ワンクリックでアプリケーションに SSO 統合を簡素化します。

移動先： Console > サインイン体験 > サインアップとサインイン。
「エンタープライズシングルサインオン (SSO)」トグルを有効にします。
変更を保存します。

有効にすると、サインインページに「シングルサインオン (SSO)」ボタンが表示されます。SSO が有効なメールドメインを持つエンタープライズユーザーは、エンタープライズアイデンティティプロバイダー (IdP) を使用してサービスにアクセスできます。

SP 主導の SSO や IdP 主導の SSO を含む SSO ユーザー体験について詳しくは、ユーザーフロー：エンタープライズ SSO を参照してください。

Testing and Validation

Express アプリに戻ります。これで Microsoft Entra ID OIDC enterprise SSO を使用してサインインできるはずです。お楽しみください！

Create an application in Logto​

Integrate Express SDK​

インストール​

統合​

設定と必要なミドルウェアの準備​

リダイレクト URI の設定​

リダイレクトベースのサインインについて​

リダイレクト URI を設定する​

ルートの登録​

サインインとサインアウトの実装​

チェックポイント: アプリケーションをテストする​

Add Microsoft Entra ID OIDC enterprise SSO connector​

Set up Azure AD SSO application​

ステップ 1: Microsoft EntraID OIDC アプリケーションを作成する​

ステップ 2: Logto で Microsoft Entra ID OIDC SSO を設定する​

ステップ 3: 追加スコープ（オプション）​

ステップ 4: Microsoft API へアクセスするためのトークンを保存する（オプション）​

ステップ 5: メールドメインを設定し、SSO コネクターを有効化する​

Save your configuration​

Enable Microsoft Entra ID OIDC enterprise SSO connector in Sign-in Experience​

Testing and Validation​

Further readings​