はじめに
なぜこんなことになったのかというと、職場で使っているAzureADはオンプレのADとDirectory Sync８ADFS）を使ってユーザの同期をしていました。
しかし、システムリプレースに伴って、オンプレADのWindowsドメイン名が変わり、Direcotry Syncのサーバも新規で構築することになりました。
この機会にDirecotry Syncをクラウド同期（この辺については割愛）に変更したのですが、その過程でAzureAD側で一部の属性を格納している属性名が変わったのです。
それまでは etension_<APP ID>_<属性名> という属性名だったのですが、クラウド同期すると <属性名> になったのです。
extensionで始まる属性名はAzureADの拡張属性なので、通常のWebUIでは見ることができません。
しかし、ここにどんな値が入っているのかを確認する必要がでてきました。
というのも、新しく登録したユーザは、<属性名>に値が格納されており、古いユーザはextension・・・に値が入っているのです。
この属性名の違いが、動的グループのルール設定などでちょっと困ったことなりました
値の確認
WebUIでは見れないのですが、情報を探しているとAPIもしくはPowewShellで取得ができるらしということがわかりました。
しかし、PowewShellは2.0以降でAzureADモジュールがないとダメっぽい。いろいろめんどくさいので、却下です。
そこでAPIを使うことにしました。
Pythonか何かで取得してもいいのですが、今回は単にどんな値が入っているかわかればいいので、Microsoft Graph Explorerを使うことにしました。
サインイン
Microsoft Graph Explorerをブラウザで開きます。URLはこちら https://developer.microsoft.com/en-us/graph/graph-explorer です。
こんな感じでの画面が開きます。
今はマスクしてありますが、画面の右上にサインインのリンクがあるので、AzureADのアクセス権限があるMicrosoftアカウントでサインインします。
サインインに成功するとメニューバーの”Tenant”の項目に自分の使っているAzureADのテナント名が表示されているはずです。
属性の確認
すべての属性を見るには、beta/usersをGETします。
Microsoft Graph Explorerで”GET” ”beta" "https://graph.microsoft.com/beta/users/6XXXXXXXXX-XXXXXXXXXXXX-XXXX"を入力して、"Run query"をクリックすると結果が返ってきました。
よく見ると、”extension_e5XXXXXXXXXXX_ipPhone”と”extension_e5XXXXXXXXXXX_facsimileTelephoneNumber”の属性が見えています。
これがWebUIでは見れないんですよね。
なお、UIDについては、AzureADのWebUIから確認できますので、そちらからコピペします。
権限について
もし、エラーになる場合は、権限の確認をしてください。
Microsoft Graph Explorerで”Modify Permissions”のタブを開きます。
あとは必要な権限を選んで、”Consent”すれば付与されます。
（この時に再度パスワード入力を求められます）
Directory.Read.Allがあればほぼ大丈夫じゃないかと。
今回はいろいろテストするためにDirectory.ReadWrite.Allが付与されています。