Azure皆さんこんにちは。Directoryは何が違うのか?」です。用途が異なりますし、そこで求められる要件・機能も違うはずです。私個人の考えでは、比較すること自体、ナンセンスだと思っています。Directoryの「信頼関係」について考えてましょう。Directoryフォレスト(またはドメイン)を結びつけるものでした。これって、ざっくり言ってしまえば、信頼関係を結ぶドメインどうしの相互接続を「全許可」するものです。ADには「同じ社内ネットワーク」という考え方自体が存在しないですし、これだけビジネスのスタイルが多様化している中で、2つの会社のディレクトリを相互に「全許可」するやり方だなんて、時代にマッチした実装ではないのでは?と思うのです。ADに実装するべきなのです。B2Bと呼ばれる機能です。(前置きが長くなりましたが)実装方法を見てみましょう。ADユーザーと自社のドメインからアクセス可能なアプリケーションを関連付ける形で設定します。ADドメインを利用させるけど、その範囲は最小限に抑えることができます。大元のユーザーが削除されればアプリケーションへのアクセス許可も失われます。ID管理が一元化されるので、複数箇所に混在する退職者アカウントがいつまでも残り続けるリスクを避けることができるのです。ADの信頼関係設定で必要なことは、どのユーザーに対して、どのアプリケーションに対するアクセス許可を設定するか、定義することだということがわかりますね。設定はCSVファイルを使って行います。コラボレーションhttps://azure.microsoft.com/ja-jp/documentation/articles/active-directory-b2b-collaboration-overview/を参考にしていただけるとよいと思います。以下の属性が必須の属性になります。(後に登場する招待状メールで使われるそうなのですが、確認できませんでした。ここでは適当なURLを指定します)あと、以下の属性は必須ではないですが、今回は使う予定です。AppPrincipalIdと書いて実行すれば、アプリケーションIDは次のように確認できます。今回はOneDriveにアクセスできるようにしてみたいと思います。PowerShellからGet-MsolGroupと書いて実行すれば、オブジェクトIDは次のように確認できます。ここでは、Salesグループに招待されたユーザーが含まれるようにしてみたいと思います。以上を踏まえて、以下のようなCSVファイルを作ってみました。ADドメインのユーザーを作成し、ユーザー種類として、パートナー会社のユーザーを選択し、前に作成したCSVファイルを指定します。登録完了すると、結果はレポートで確認することもできます。ここではレポートを後回しにして、先を急ぎましょう。ユーザーを作成すると、招待されたユーザーにはメールが1通届きます。承諾すると、アプリケーションパネルWebサイトに移動し、OneDriveが利用できるようになります。ADのテナント名をクリックすると、ドロップダウンでテナント名一覧が表示され、どのテナントを選択するかによって、利用可能なアプリケーション一覧が変わる点です。今設定したOneDriveは、信頼関係のあるテナントをリストから選んでいる時だけ有効で、自分のテナントを選択してしまうと消えてしまうので注意が必要です。Azure管理ポータルでは追加したユーザーが参照できます。ADドメインのユーザーは<メールアドレス>#EXT#@<自社のドメイン名>という形式のユーザーになります。利用するには少し慣れが必要だと思いますが、なかなか素敵な機能だと思いますよ。