Warehouse Management モバイル アプリのユーザーベースの認証方法

Warehouse Management モバイル アプリは、以下のタイプのユーザー ベース認証をサポートしています:

• ユーザー名/パスワード認証 (推奨) – 新規および既存のすべての導入でこの方法を使用。 必要に応じて、ブローカー認証と組み合わせることで、シングル サインオン (SSO) をサポートできます。
• デバイスコードフロー認証 (推奨されません) – この方法は後方互換性のみのためです。 まだ使っている部署は移行してください。

デバイス、Microsoft Entra ID ユーザー、モバイル デバイス ユーザーを管理するためのシナリオ

Warehouse Management モバイル アプリは、Microsoft Entra IDを使用してDynamics 365 Supply Chain Managementで認証します。 Microsoft Entra IDアカウントを管理する 2 つのシナリオのいずれかを選択します。 どちらのシナリオでも、各倉庫ワーカーには、1 つ以上のモバイル デバイス ユーザー アカウントを含む倉庫管理モジュールに倉庫ワーカー レコードがあります。

デバイスごとに 1 つのMicrosoft Entra ID ユーザー アカウントを使用する

このシナリオでは、各モバイル デバイスに独自のMicrosoft Entra ID アカウントがあります。 ワーカーは、個々のMicrosoft Entra ID アカウントを必要としません。

次のように動作します。

1. 管理者はデバイスのMicrosoft Entra IDアカウントを使ってユーザー名/パスワード認証(推奨)を設定しています。 (デバイスコードフロー もこのシナリオで機能しますが、推奨されません。)
2. アプリが認証されると、ワーカーはモバイル デバイスのユーザー アカウント資格情報 (ユーザー ID とパスワード) を使用してサインインします。
3. ワーカーがサインアウトすると、アプリはサプライ チェーン管理で認証された状態のままになり、次のワーカーのサインイン ページが表示されます。

この方法は、複数のワーカーが 1 つの場所でデバイスを共有する場合に最適です。

worker ごとに 1 つのMicrosoft Entra ID ユーザー アカウントを使用する

このシナリオでは、各作業者は、サプライ チェーン管理の倉庫の作業者レコードにリンクされた独自のMicrosoft Entra ID アカウントを持っています。

次のように動作します。

1. ワーカーは、Microsoft Entra ID資格情報を使用してサインインします。
2. ワーカーのウェアハウス ワーカー アカウントに 対して既定のユーザー ID が 構成されている場合、このシングル サインインはアプリを認証し、1 つの手順でワーカーとしてサインインします。
3. 同じMicrosoft Entra ID セッションを、デバイス上の他のアプリ (Microsoft TeamsやOutlookなど) で共有できます。

この方法では シングル サインオン (SSO) がサポートされ、ワーカーが専用デバイスを使用する場合や、より厳密な ID 制御が必要な場合に最適です。

ユーザー名/パスワード認証

ユーザー名/パスワード認証を使用する場合、各人間のワーカーは、デバイスまたは自身に関連付けられているMicrosoft Entra IDユーザー名とパスワードを入力する必要があります (使用している認証シナリオによって異なります)。 また、倉庫作業者レコードの設定によっては、モバイル デバイスのユーザーア カウント ID とパスワードを入力する必要があります。 この認証方式はシングルサインオン (SSO) をサポートしており、モバイル大量展開 (MDM) もサポートしています。

Microsoftは新規および既存のすべての導入でユーザー名/パスワード認証を推奨しています。 オプションで ブローカー認証 を有効にしてSSOをサポートすることもできます。

このアプリには必須のブローカー依存はありません。 Microsoft Authenticator、Intune ポータル サイト、その他の関連アプリを使わず、システムブラウザやネイティブのウェブビューを通じて認証が可能です。 ほとんどのフロントラインのシナリオではブローカー認証は必要ありません。 使用するかどうかは、あなたの組織が所有するセキュリティ設計の決定です。

Microsoft Entra IDはQRコードとPINサインイン機能も提供しており、従業員は毎回フルユーザー名とパスワードを入力する代わりに、QRコードをスキャンしてPINを入力することで共有デバイスで素早くサインインできます。 このフローはMicrosoft AuthenticatorやIntune ポータル サイトなしで動作します。 QRコード認証方法を有効にするためのライセンスおよびテナントの前提条件はPrerequisitesに記載されています。

Microsoft Entra IDでアプリケーション登録を手動で作成する

Warehouse Management モバイル アプリは、Microsoft Entra ID アプリケーション登録を使用して、サプライ チェーン管理環境の認証と接続を行います。 Microsoft によって提供および保守されているグローバル アプリケーションを使用することも、このセクションの手順に従って独自のアプリケーションをMicrosoft Entra IDに登録することもできます。

次の手順は、アプリケーションをMicrosoft Entra IDに登録する 1 つの方法を示しています。 詳細と代替手段については、手順の後のリンクを参照してください。

1. Web ブラウザーで、https://portal.azure.com に移動します。

2. Azure のサブスクリプションにアクセス可能なユーザー名とパスワードを入力します。

3. ページの上部にある検索フィールドを使用して、 Microsoft Entra ID サービスを見つけて開きます。

4. サプライ チェーン管理によって使用されるMicrosoft Entra IDのインスタンスを使用していることを確認します。

5. 左側のナビゲーション ウィンドウで、[ 管理 ] を展開し、[ アプリの登録] を選択します。

6. ツールバーの 新規登録を選択して、アプリケーションの登録ウィザードを開きます。

7. アプリケーションの名前を入力し、この組織ディレクトリ内のアカウントのみ オプションを選択し、続いて登録を選択します。

8. 新しいアプリの登録が開きます。 後の手順で必要となるため、アプリケーション (クライアント) ID の値をメモしておきます。 この ID はこの記事の後半で、クライアント ID として参照されます。

9. 管理 リストで、認証 を選択します。

10. 新しいアプリの [認証 ] ページで 、[設定] タブを開き、[ パブリック クライアント フローを許可する ] を [有効] に設定し、[ 保存] を選択します。

11. [ リダイレクト URI 構成 ] タブを開き、[ リダイレクト URI の追加] を選択します。

12. ダイアログで、[Android] を選択 します。 その後、次のフィールドを設定します:

    • パッケージ名 – 次の値を入力します (大文字と小文字が区別されます)。

      com.Microsoft.WarehouseManagement
      

    • 署名ハッシュ – 次の値を入力します:

      hpavxC1xAIAr5u39m1waWrUbsO8=
      

    [ 構成] を 選択して設定を保存し、ダイアログを閉じて [認証 ] ページに戻ります。これにより、新しいプラットフォーム構成が表示されます。

13. [ リダイレクト URI 構成 ] タブで、[ リダイレクト URI の追加] を選択します。

14. ダイアログで、 iOS/macOS を選択します。

15. [バンドル ID] フィールドを次の値に設定します。

    com.microsoft.WarehouseManagement
    

16. [ 構成] を 選択して設定を保存します。 ダイアログを閉じて [認証 ]ページに戻り、新しいプラットフォーム構成が表示されます。

17. 左側のナビゲーション ウィンドウで、[ 管理 ] を展開し、[ API のアクセス許可] を選択します。

18. アクセス許可の追加 を選択します。

19. [ API のアクセス許可の要求 ] ダイアログの [Microsoft API ] タブで、[ Dynamics ERP ] タイルを選択し、[ 委任されたアクセス許可 ] タイルを選択します。 CustomService で、CustomService.FullAccess のチェック ボックスをオンにします。 最後に、アクセス許可の追加 を選択して変更を保存します。

20. ページの上部にある検索フィールドを使用して、 Microsoft Entra ID サービスを見つけて開きます。

21. 左側のナビゲーション ウィンドウで、[ 管理 ] を展開し、[ エンタープライズ アプリケーション] を選択します。 次に、新しい管理リストですべてのアプリケーション タブを選択します。

22. 検索フォームで、この手順で先にアプリケーションに対して入力した名前を入力します。 アプリの アプリケーション ID 値が、先ほどコピーしたクライアント ID と一致することを確認します。 その後 名前 列のリンクで、アプリのプロパティを開きます。

23. 左側のナビゲーション ウィンドウで、[ 管理 ] を展開し、[プロパティ] を選択 します。

24. 割り当てを必須 にしますか? オプションを はい にし、ユーザーに 表示? オプションを いいえ に設定します。 その後、ツール バーの 保存 を選択します。

25. 左側のナビゲーション ウィンドウで、[ 管理 ] を展開し、[ ユーザーとグループ] を選択します。

26. ツール バーで、ユーザー/グループの追加 を選択します。

27. 割り当ての追加 ページで、ユーザー ヘッダーの下のリンクを選択します。

28. Users ダイアログで、サプライ チェーン管理でデバイスを認証するために使用する各ユーザーを選択します。

29. [ 選択] を選択 して設定を適用し、ダイアログを閉じます。 次に、割り当てるを選択して設定を適用し、割り当ての追加ページを閉じます。

30. セキュリティ リストで、アクセス許可 を選択します。

31. < ご利用のテナント>に対して管理者の同意を付与するを選択し、ユーザーに代わって管理者の同意を付与します。 必要な権限がない場合は、管理リストに戻り、プロパティを開き、割り当てが必要ですかオプションを False に設定します。 その後、各ユーザーは個別に同意できます。

Microsoft Entra IDでアプリケーションを登録する方法の詳細については、次のリソースを参照してください。

• Windows PowerShell を使用して Microsoft Entra ID でアプリケーションを登録する方法については、「 Azure PowerShell を使用して証明書を使用してサービス プリンシパルを作成する」を参照してください。

• Microsoft Entra IDでアプリケーションを手動で登録する方法の詳細については、次の記事を参照してください。

  • Microsoft Entra ID でアプリケーションを登録する
  • Microsoft Entra アプリを登録し、サービス プリンシパルを作成します

サプライ チェーン管理で従業員、ユーザー、倉庫の作業者レコードを設定する

ワーカーがモバイル アプリを使用してサインインできるようにするには、Azureでエンタープライズ アプリに割り当てる各Microsoft Entra ID アカウントに、対応する従業員レコード、ユーザー レコード、および倉庫の worker レコードがサプライ チェーン管理に含まれている必要があります。 これらのレコードの設定方法の詳細については、モバイル デバイスのユーザー アカウントを参照してください。

単一サインイン

シングル サインオン (SSO) を使用すると、ワーカーはパスワードを入力せずに Warehouse Management モバイル アプリにサインインできます。 Intune ポータル サイト、Microsoft Authenticator、Microsoft Teamsなど、デバイス上の別のアプリの資格情報を再利用することで機能します。

SSO には 、ユーザー名/パスワード 認証が必要です。 デバイス コード フローでは機能しません。

SSOを有効にするにはブローカー認証を有効にします。 設定手順および適用されるデバイス要件については、「 ブローカー認証および条件付きアクセス」を参照してください。

デバイス登録要件

Warehouse Managementモバイルアプリは、特定のMicrosoft Entra IDデバイス登録州を必要としません。 サインインは、Microsoft Entraに参加済み、Microsoft Entra登録済み、未登録デバイス(新規および未登録デバイスを含む)で動作します。

ただし、ご自身の 条件付きアクセス ポリシーでは、特定のデバイスの状態やコンプライアンスステータスが要求されることがあります。 その場合、要件はアプリではなくあなたの保険契約から来ます。 ブローカー認証では、ブローカーがデバイスバウンドトークンに依存してMicrosoft Entra IDにデバイス信号を渡すため、デバイスの登録も必要です。 詳細は「 デバイス識別とは何か?」をご覧ください。

ユーザーベースの認証を使用するデバイスのアクセスの削除

デバイスが紛失または侵害された場合は、すぐにサプライ チェーン管理へのアクセスを取り消します。 関連付けられているMicrosoft Entra IDユーザー アカウントを無効にすると、そのアカウントを使用するすべてのデバイスのアクセスが取り消されます。 この制限は、 デバイスごとに 1 つのアカウントの アプローチが推奨される理由です。 これにより、他のデバイスに影響を与えることなく、1 つのデバイスのアクセスを分離および取り消すことができます。

アクセスを取り消すには、次の手順に従います。

1. Azure portal にサインインする
2. 左側のナビゲーション ウィンドウで Microsoft Entra ID を選択し、正しいディレクトリにあることを確認します。
3. 管理 リストで、ユーザー を選択します。
4. ユーザーのプロフィールを開くには、デバイスまたは作業者に関連付けられているユーザーアカウントを見つけて名前を選択してください。
5. ツール バーで、セッションの失効 を選択 してユーザー アカウントのセッションを失効します。

デバイスコードフロー認証(推奨されません)

デバイスコードフローは、もともとウェブブラウザを提供しないデバイス向けに設計された二段階のサインイン方式です。 Microsoftは以下の理由からWarehouse Managementモバイルアプリにはこれを推奨していません。

• これはフィッシング攻撃の頻繁な標的です。脅威アクターは、攻撃者が作成したデバイスコードで被害者にサインインを求め、その結果得られたトークンを使って攻撃者自身のデバイスから被害者のアカウントにアクセスすることができます。 Microsoft Entra IDには、コードを入力した人が生成したデバイスからサインインしているかどうかを確実に確認する方法がありません。
• 新規テナントではデフォルトでブロックされています – 2026年7月1日より、Microsoft Entra IDのセキュリティ設定が新規テナントのデバイスコードフローをブロックします。 この挙動は、テスト目的で作成された新規テナントに一般的に影響を及ぼします。 Warehouse Managementモバイルアプリをテストするために新しいテナントを作成する場合、デバイスコードフローはデフォルトでブロックされることを想定してください。 既存のテナントは、すでにセキュリティデフォルトが有効でない限り自動的に影響を受けません。
• すべての場所で利用可能というわけではありません 。iOSではデバイスコードフローがサポートされておらず、オンプレミス環境に接続するAndroidデバイスにも対応されていません。
• SSOはサポートしていません 。 ブローカー認証と組み合わせることもできません。

もし環境がまだデバイスコードフローに依存している場合(例えば、レガシーテストスクリプトやまだ更新されていないワークフローを使用している場合)、管理者はセキュリティのデフォルトを無効にしてそのテナントのデバイスコードフローのブロックを解除することができます。 この保護を無効にすると、テナントの全体的なセキュリティ体制が低下し、ID関連攻撃への露出が増加します。 設定、スクリプト、ワークフローを更新してユーザー名/パスワード認証を使用するようにする間は、これをあくまで一時的な措置として扱ってください。 セキュリティのデフォルトに関する情報は、Microsoft Entraのセキュリティデフォルトを参照してください。

デバイスコードフローの仕組み

デバイス コード認証を使用する場合、Warehouse Management モバイル アプリは一意のデバイス コードを生成して表示します。 デバイスを設定する管理者は、このデバイスコードとMicrosoft Entra IDユーザーアカウントの認証情報(名前とパスワード)をオンラインフォームに入力します。 このアカウントは、管理者のシステムの実装方法によって、デバイス自体またはサインインする人間を代表することもあります。 場合によっては、Microsoft Entra IDのユーザーアカウントの設定によっては、管理者がサインインの承認も必要になることがあります。 モバイル アプリには、一意のデバイス コードに加えて、管理者がコードを入力する必要がある URL と、Microsoft Entra IDユーザー アカウントの資格情報が表示されます。

要件および制限

一時的にデバイスコード認証を継続しなければならない場合、以下の追加の要件と制限にご注意ください。

• デバイスまたは人間のワーカーごとに一意の Microsoft Entra ID ユーザー アカウントを作成します。 さらに、 これらのアカウントを厳密に制限して、倉庫のモバイル デバイス ユーザー アクティビティのみを実行できるようにします。
• ワーカーが Warehouse Management モバイル アプリを使用してサインインしている間、アプリには生成されたデバイス コードが表示されます。 このコードは 15 分後に失効し、その後アプリによって非表示になります。 コードがサインイン完了前に期限切れになった場合、作業者はアプリで再度接続を選択し、新しいコードを生成する必要があります。
• デバイスが認証され続ける期間は、アプリではなくMicrosoft Entra IDトークンの寿命や条件付きアクセスポリシーによって制御されます。 デバイスのトークンが期限切れまたは取り消された場合、再度認証が必要です。 詳細については、 Microsoft ID プラットフォームのトークンの更新に関するページを参照してください。
• シングル サインオン (SSO) は、モバイル一括展開 (MDM) システム (Intune など) を使用して 倉庫管理モバイル アプリを配布する場合、使用できません。 MDM システムを使用して、各モバイル デバイスにアプリを配信し、デバイス コードを使用して接続を設定する connections.json ファイルを配信することは可能です。 唯一の違いは、作業者がアプリを使用開始する際に手動でサインインする必要がある点です。 (この手順は一度だけ必要です。)

デバイスコードフローからユーザー名/パスワード認証への移行

既存のデプロイメントをデバイスコードフローから離脱させるには、以下の手順に従ってください。

1. デバイスが使用するMicrosoft Entra IDアカウントがユーザー名とパスワードでサインインできるか、そして使用するアプリの登録がパブリッククライアントフローを許可しているかを確認してください。 詳細については、Microsoft Entra ID でアプリケーション登録を手動で作成する方法に関するページを参照してください。
2. オプション:SSOを使いたい場合は、 ブローカー認証を有効にしてください。 AndroidやiOSでは、デバイス上のブローカーアプリが必要です。
3. 接続設定を更新して "ConnectionType": "UsernamePassword" を指定してください(ブローカーを使う場合は "UseBroker": trueも)。 その後、MDMプロバイダー、 connections.json ファイル、またはQRコードを通じて再配布します。 詳細は「 接続設定ファイルまたはQRコードを作成 」や「 QRコードから接続設定を読む」をご覧ください。
4. 各デバイスで一度だけサインインして新しい方法で認証を完了してください。

関連情報

• ユーザー ベースの認証に関するよくあるご質問
• ブローカー認証と条件付きアクセス
• Warehouse Management モバイル アプリのインストール