MS_PassThroughAuthentication

パススルー認証

• 戻る（クレームベース認証）
  • パススルー認証
  • フェデレーション サービス (AD FS)
  • WS-Federation

概要

• Deployment Active Directory1 NT ドメインから Active Directory ドメインへの移行
  Active Directory の下位互換性
  http://www.itmedia.co.jp/help/howto/win/win2000/0007special/tokusyu/2000_03/02.html

  Active Directory では、ドメインコントローラのパススルー認証によって、
  フォレスト内のドメインにアクセスすることはできる。

• IBM Knowledge Center - パススルー認証
  http://www-01.ibm.com/support/knowledgecenter/SSVJJU_6.3.0/com.ibm.IBMDS.doc/admin_gd211.htm%23passthru?lang=ja

  クライアントがディレクトリー・サーバーにバインドしようとしたときに、
  ユーザー信任状がローカルで使用可能ではなかった場合に、
  クライアントに代わってサーバーが、
  別の外部ディレクトリー・サーバーまたはパススルー・サーバーからの
  信任状の検証を試みるために使用されるメカニズム。
  ユーザー信任状を保持するパススルー・サーバーは、
  Active Directory または LDAP V3 に対応したディレクトリ。

AD FSのパススルーは、
要求規則のパススルーなのでパススルー認証とは異なる。

補足（3 つの「パススルー」を区別する）: 本ページの主眼は
同じ「パススルー」という語が別の意味で使われているという
注意喚起にある。整理すると次の 3 つになる。

用語	何を「通す」か	文脈
パススルー認証（本ページ）	資格情報の検証を別のサーバーに委ねる	AD のドメイン間、LDAP サーバー間
要求規則のパススルー	受け取ったクレームをそのまま下流に渡す	AD FSの Claim Rule
パススルー認証（PTA）	クラウドからオンプレの AD へパスワード検証を転送する	Microsoft Entra ID（旧 Azure AD）

3 つ目は本ページ執筆後に登場したもので、
Microsoft Entra ID のハイブリッド ID 方式の 1 つである
（他の選択肢はパスワード ハッシュ同期、
AD FSによるフェデレーション）。
「クラウドで認証するが、パスワードはオンプレに置いたままにしたい」
という要件で選ばれ、オンプレに軽量エージェントを常駐させて
検証だけを中継する。
概念としては本ページの「パススルー認証」の直系にあたる。

参考

• 本 Wiki 内
  • クレームベース認証
  • フェデレーション サービス (AD FS) / WS-Federation
  • Active Directory
  • Microsoft Azure Active Directory

---

Tags: 認証基盤