.NETやAzure・Microsoft製品で学んだことや気づいたことを共有しよう

Azure Files でクラウド専用 ID を使用して macOS からアクセスする方法が Public Preview になったので試してみた

Posted at 2026-06-07

注意
この記事では、取り扱う Azure Files に macOS から Entra Kerberos 認証を用いて接続する方法は、現時点(2026年6月時点)でプレビュー機能となります。
記事の内容は、今後の機能の正式リリースや仕様変更に伴い、予告なく変更される場合があります。

はじめに

Windows OS からクラウド専用 ID を使用して Azure Files にアクセスする方法は、既に GA されておりますが、この度、macOS からも同様にクラウド専用 ID を使用して Azure Files にアクセスできるようになりました。

macOS から Entra Kerberos 認証を用いて Azure Files にアクセスする方法については、2026年6月現在、プレビュー機能となりますが、実際に試してみたので、紹介していきたいと思います。

TL;DR

macOS Tahoe 26.5 以降 + Intune (PSSO 設定済み) の環境があれば、Windows と同様のクラウド専用 ID による Azure Files アクセスが可能（プレビュー）
利用するには、Intune もしくは 3rd パーティの MDM ソリューションを使用して、macOS を MDM に登録し、PSSO の設定を行う必要があるため、別途ライセンスが必要
正しく設定している場合、Finder の「サーバへ接続」から smb:// で接続すると、資格情報の入力なしにマウント可能
Windows OS でクラウド専用 ID を使用して Azure Files に接続する場合と共通する部分
- 診断設定時に出力されるログの Windows の場合と同様であり、ログから Kerberos 認証で接続していることも確認可能
- ファイル・フォルダレベルの権限設定は、Windows の時と同じで、Azure Portal か PowerShell コマンドレットを使用して変更する必要がある

macOS で Entra ID を使用して Azure Files にアクセスするために必要なこと

macOS で Entra ID アカウントを利用して Azure Files にアクセスするためには、macOS 上の設定と、Azure Files 側の設定の両方が必要になります。

Azure Files に関しては、Windows OS でのクラウド専用ID によるアクセスと同じになりますが、要件を以下にまとめます。

macOS の要件

macOS Tahoe 26.5 以降で、最新の更新プログラムを適用していること
Microsoft Intune 会社ポータル (Company Portal) アプリ (macOS 上で Intune を利用するためのアプリケーション) のバージョン 5.2408.0 以降をインストールしていること
macOS がモバイルデバイス管理(MDM) に登録されていること
macOS Platform Single Sign-on (PSSO) が構成されていて、デバイスに展開されていること

簡単にまとめると、macOS を Intune に参加させて、Intune 上で PSSO に関する設定がされており、それがデバイスに展開されていれば OK となります。

補足
厳密には、Intune ではなく、3rd パーティの MDM ソリューションを使用している場合でも、macOS が MDM に登録されていて、PSSO の構成がされていれば、macOS から Entra Kerberos 認証を用いて Azure Files にアクセスすることは可能かと思いますが、今回は 3rd パーティの MDM ソリューションは使用せず、Intune を使用して検証を行いました

Azure Files の要件

こちらは、それほど難しくなく、Windows OS でのクラウド専用ID によるアクセスと同じになります。

具体的には、以下の要件が必要になります。

Azure Files で Kerberos 認証が有効になっていること
Azure Files で Kerberos 認証を有効にすると登録されるサービスプリンシパルに対して、管理者の同意を付与すること
ストレージアカウントを表す Entra アプリでは、多要素認証(MFA) を無効にすること

必要なライセンス

今回の検証では、MDM ソリューションとして、Intune を利用しました。
Intune を利用するためには、Intune のライセンスが必要になります。

今回は、Microsoft 365 E5 が紐づけられたアカウントですべて検証しておりますので、 Intune Plan 2 相当のライセンスを利用しています。

ただ、同様のことをするためには、Intune Plan 1 のライセンスでも十分かと思います。

なお、Intune のライセンスや価格に関しての詳細は、Microsoft の公式ドキュメントを参照してください。

設定方法

では、ここからは、具体的にどう設定していくかを見ていきます。

なお、macOS を Intune に参加させる方法は、この記事の主題(macOS から Entra Kerberos 認証を用いて Azure Files にアクセスする方法)とは少し離れるので、筆者が検証環境を構築する際に参照したドキュメントを共有する形とさせていただきます。

詳細な手順については、Microsoft のドキュメントを参照してください。

補足
一般的に Intune は、企業で利用する場合は、会社の管理部門が一括管理していると思いますので、もし企業利用で検証する場合は、会社の管理部門に相談してみてください。

macOS の Intune への参加

Intune に関しては、私の専門分野でないことと、あまり触ったことなかったことから、ドキュメントを参照しつつ、一から構築しています。

検証に成功するレベルの設定はできましたが、専門でないこともあり、本番環境として利用する場合は設定として追加でやった方がいいこと等があるかもしれません。

今回、私は、一から検証環境を構築したので、以下のドキュメントを参照して、macOS を Intune に参加させました。

macOS Platform シングルサインオンの概要

具体的には、上記のドキュメントの「構成」と「導入」の二つのセクションを参照して作業を実施しました。

まず、「構成」のセクションに関しては、以下のページを参照するような形となっています。

Microsoft Intuneで macOS デバイスのプラットフォーム SSO を構成する

上記のページでは、基本的に手順に沿って作業を進めていきます。なお、途中で、別の手順のページを参照するようになっており、私は、以下のページを参照して作業を進めました。

Step 3 では以下を参照
- macOS ポータルサイトアプリを追加する
Step 4 では以下を参照
- 手順の部分では記載がないですが、Apple デバイスを Intune に登録するためには、Apple MDM Push Certificate の設定が必要になります。
  　作業はこちらのページが参考になります。
  - Apple MDM プッシュ証明書を取得する
Step 5 では以下を参照
- Company Portalを使用して Mac デバイスをMicrosoft Entra IDに参加させる

なお、上記のドキュメントを参照して、検証環境を構築中、管理プロファイルをインストールした際に「AccountNotOnboarded」というエラーが発生して、Intune への参加ができないという問題に遭遇しました。
この問題に関しては、デバイスのコンプライアンスポリシーの設定が一つもないことが原因の様で、これを設定すると解消しました。

その後の「導入」セクションに関しては、私は既にmacOS を設定済みのため、以下の手順となりますが、この手順は、「構成」セクションの Step 5 と同じ内容になります。

Company Portalを使用して Mac デバイスをMicrosoft Entra IDに参加させる

Intune 上でKerberos SSO 用の MDM プロファイルを構成する

こちらは、 macOS を Intune に参加させた後に、Intune から macOS に対して配布するプロファイルの作成になります。
基本的には、以下のページの内容に沿って実施すれば OK です。

macOS で Kerberos SSO MDM プロファイルを構成する

補足
この設定のポイントは、MDM として Intune を利用している場合は、Intune 上の設定を行う必要があるということです。
Intune を利用せず、3rd パーティの MDM ソリューションを利用している場合は、そちらの MDM ソリューション上で同様の設定を行う必要があるかと思います。

Files の設定

新規に Azure Files を構成して利用する場合は、こちらは、Windows OS でのクラウド専用ID によるアクセスと同じになります。

以下の公式ドキュメントの通りに実装すると設定可能です。

Azure Filesでハイブリッド ID とクラウド専用 ID のMicrosoft Entra Kerberos 認証を有効にする

なお、bicep テンプレートと、Azure CLI を使用して、Azure Files の設定を行う方法については、私の記事でも検証していますので、こちらもご参考としていただければと思います。

既存のファイル共有がある場合
既存のファイル共有を利用する場合は、追加の手順が必要となります。
作業に関しては、以下のドキュメントの「アプリ登録識別子 URI を更新する」セクションの内容を参照してください。

プラットフォーム SSO (プレビュー) を使用して macOS 上のAzure Files Microsoft Entra Kerberos 認証を有効にする - アプリ登録識別子 URI を更新する

実際に試してみる

今回は、以下の環境の macOS を準備して、検証しました。

機種: MacBook Air (M1, 2020)
OS: macOS Tahoe 26.5.1
Microsoft Intune 会社ポータル (Company Portal) アプリのバージョン: 5.2604.1

macOS を Intune に参加させる

Company Portalを使用して Mac デバイスをMicrosoft Entra IDに参加させるの手順に沿って、手元の macOS を Intune に参加させました。

正しく登録できると、以下のように、デバイスが正しく登録でき、状態の部分にコンプライアンスとセキュリティポリシーの準拠状況が表示されます。

この画面上では、ポリシーに準拠できていることが確認できます。

また、右上の自分のアカウントのアイコンをクリックすると、以下のように自分がどのアカウントでログインしていて、シングルサインオン (SSO) が使用可能かどうかを確認可能です。

macOS 上でデバイスの登録状態を確認する

macOS 上で、Kerberos チケットの発行状況や、デバイスの Intune への登録情報を確認する場合は、app-sso platform -s コマンドで確認できます。

具体的には、コマンドを実行すると、以下のように、デバイスの登録状態や、Kerberos チケットの発行状況を確認することができるようです。

$ app-sso platform -s
Time: 2026-06-06 05:45:11 +0000

<省略>
User Configuration:
 {
  <省略>
  ## 以下の内容部分から、アカウントに関する Kerberos チケットを取得できていることが分かる
  "kerberosStatus" : [ 
    {
      <省略>
      "exchangeRequired" : false,
      "failedToConnect" : false,
      "importSuccessful" : true,
      "realm" : "KERBEROS.MICROSOFTONLINE.COM",
      "ticketKeyPath" : "tgt_cloud",
      "upn" : "y***i\\@<ドメイン>@KERBEROS.MICROSOFTONLINE.COM"
    }
  ],
  "lastLoginDate" : "2026-06-06T04:12:49Z",
  "loginType" : "POLoginTypePassword (1)",
  "pendingSigningAlgorithm" : "none",
  "signingAlgorithm" : "ES256",
  "state" : "POUserStateNormal (0)",
  <省略>
  "userLoginConfiguration" : {
    "created" : "2026-06-06T05:45:11Z",
    "loginUserName" : "y***i@<ドメイン>"
  },
  <省略>
}
# ここで SSO トークンの情報が取得できていることが分かる
SSO Tokens: 
Received:
2026-06-06T04:12:49Z
Expiration:
2026-06-20T04:12:48Z (Not Expired)

マウントしてみる

次に、実際に Finder から Azure Files をマウントしてみます。
Finder を開いて、「移動」>「サーバへ接続」の順に選択します。

開いた画面で、以下のように、「smb://」に続けて、ストレージアカウント名とファイル共有名を置換した URL を入力して、「接続」をクリックします。

接続に成功すると、Finder で Azure Files の中身が見えるようになり、ファイル操作も可能となります。

権限の設定変更

次に、Finder からファイルやフォルダ単位の権限設定について確認してみました。

以下の画像のように、Finder 上からフォルダの情報を見ると、接続先のサーバや、共有へのアクセス権限の状態が確認することが可能です。

ただし、この画面上からは、権限の設定を変更することはできませんでした。

Windows でも同様ですが、クラウド専用 ID を用いている場合、Azure Files 上のファイルやフォルダ単位の権限設定を変更するためには、Azure Portal から権限を変更するか、PowerShell コマンドレットを使用して変更する必要があるようです。

ここに関しては、macOS の場合は操作可能といった特別な違いは無いようでした。

診断設定でログがどう見えるか

診断設定の見え方についても、検証してみました。

結論から書くと、これは、Windows OS でのクラウド専用ID によるアクセスと同じ結果の様です。

以下に、実際のログの例を示します。

{
    "time": "2026-06-06T05:43:52.3493509Z",
    "resourceId": "/subscriptions/<Subscription ID>/resourceGroups/rg-files-entra/providers/Microsoft.Storage/storageAccounts/<Storage Account Name>/fileServices/default",
    "category": "StorageWrite",
    "operationName": "Create",
    // <中略>
    "identity": {
        "type": "Kerberos", // 認証方法としてKerberos認証となっていることが分かります
        "requester": {
            "objectId": "<Object ID>",
            "smbPrimarySID": "<SID>"
        }
    },
    "location": "japaneast",
    "properties": {
      // <中略>
    },
    "uri": "\\\\<Storage Account Name>.file.core.windows.net\\<File Share Name>\\test",
    "protocol": "SMB",
    "resourceType": "Microsoft.Storage/storageAccounts/fileServices"
}

ログの出力は、Windows OS でのクラウド専用ID によるアクセスと同様になっており、 identity プロパティの type が Kerberos となっていることから、認証方法として Kerberos 認証が使用されていることが分かります。

まとめ

今回は、macOS から Entra Kerberos 認証を用いて Azure Files にアクセスする方法について、実際に試してみた内容を紹介しました。
macOS から Entra Kerberos 認証を用いて Azure Files にアクセスする方法は、2026年6月現在、プレビュー機能となります。
実際に試してみたところ、macOS でも、Windows OS でのクラウド専用ID によるアクセスと同様、シングルサインオンで Files にアクセスすることが可能でした。
また、フォルダ・ファイルレベルの権限設定に関してや、診断設定のログ出力内容などは、Windows OS の際と同じになっていることが分かりました。

リファレンス

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up