今回の投稿は、Workspace ONE UEMとOneLogin間でディレクトリ連携設定を行い、WS1 UEMのアイデンティティソースとしてOneLoginを利用し、OneLoginのユーザーやグループをWS1 UEMに連携する構成の検証を行います。
Omnissa Communityに、この構成でハマったという投稿があり、そもそもそんな構成が有り得るんだと気になったので検証してみました。
WS1導入時にディレクトリ連携をする構成として、ADと連携するケースは非常に多いのですが、連携先のディレクトリとしてOneLoginを利用する構成は見たことが無かったので試してみようと思ったという事情もあったりします。
大まかな流れは以下の通りです。
1．Workspace ONE UEMのディレクトリ連携設定
2．OneLogin側でユーザーとグループ作成
3．動作確認
3．1．ユーザー追加
3．2．グループ追加とメンバーユーザーの自動同期
1．Workspace ONE UEMのディレクトリ連携設定
WS1 UEMではディレクトリ連携の連携先としてADを利用するケースがかなり多いですが、連携先のディレクトリサービスとしてOneLoginを利用することができるようで、OneLogin側でドキュメントなども公開されています。
まずは、WS1 UEM側のディレクトリ連携設定を入れていきます。
「グループと設定」>「すべての設定」をクリック後、「システム」＞「エンタープライズ統合」＞「ディレクトリサービス」をクリックし、「ウィザードをスキップして手動で構成」をクリックします。
「サーバ」タブで以下を設定します。
-ディレクトリタイプ : LDAP - 他の LDAP
-サーバ :ldap.us.onelogin.com
-暗号化タイプ :SSL
-ポート :636
-SSL 証明書を検証 :無効
-プロトコル バージョン :3
-サービス アカウントの資格情報を使用 :無効
-バインド認証タイプ :ベーシック
-バインドのユーザー名 :Oneloginの管理者アカウントをDN形式で指定
※「cn=[OneLogin管理者アカウント],ou=users,dc=[TENANT],dc=onelogin,dc=com」の形式です。[TENANT]の箇所は組織ごとに異なります。
-バインド パスワード :上記[OneLoginの管理者アカウント]のパスワード
「ユーザー」タブに移動し、以下を設定します。
-ベース DN :dc=[TENANT],dc=onelogin,dc=com
-ユーザー オブジェクト クラス :top
-ユーザー検索フィルタ :(&(objectClass=top)(username={EnrollmentUser}))
「ユーザー」タブの属性マッピング設定を以下のように設定します。
基本的にOnelogin側のドキュメントの記載通りで、記載の無いものはデフォルトから変更なしです。
「グループ」タブに移動し、以下を設定します。
-ベース DN : ou=groups,dc=[TENANT],dc=onelogin,dc=com
-グループ オブジェクトクラス : groupOfNames
-組織ユニット オブジェクトクラス : groupOfNames
-グループ検索フィルタ : (&(objectClass=groupOfNames)(cn=*))
【補足】
ベースDNの設定値について、OneLogin側の公開ドキュメント上は「dc=[TENANT],dc=onelogin,dc=com」を指定せよ、との書かれていて「ou=groups」部分の記載は無いのですが、実際に設定すると「ou=groups」が無いとグループの追加ができませんでした。
理由は不明ですが、ベースDNとしてはドメイン部分だけでなく「ou=groups」も必要なようです。
「グループ」タブの属性マッピング設定を以下のように設定します。
こちらも基本的にOnelogin側のドキュメントの記載通りで、記載の無いものはデフォルトから変更なしです。
一応「接続のテスト」を実行しておき、設定に問題が無いか確認しておきます。
テストの結果に問題が無ければ、「キャンセル」をクリックして閉じます。
2．OneLogin側でユーザーとグループ作成
WS1に同期するユーザーとグループをOneLogin側で作成します。
特にWS1に同期するために特別な手順を踏む必要は無いですが、WS1側で必要な属性値が漏れないようにだけ気を付けます。
OneLogin管理コンソールにログイン後「Users」>「Users」をクリックします。
右上の「New User」をクリック後、各設定項目を埋めていき、「Save User」をクリックします。「Email」属性はOneLogin上必須ではないようですが、WS1側で必須項目なので設定しておきます。
次にグループを作成します。「Users」>「Groups」をクリックします。
次に、作成したグループにユーザーを追加します。
ユーザー一覧の画面に戻り、対象のユーザーをクリックして、ユーザーの詳細画面を表示後、左のメニューから「Authentication」をクリックします。
「Group」のプルダウンから追加する対象のグループを選択後、「Save User」をクリックします。
3．動作確認
3．1．ユーザー個別追加
まずは、ユーザーアカウントを1つずつ個別にWS1に追加するところから見てみます。
「アカウント」>「ユーザー」>「リスト表示」をクリックしてユーザー一覧画面に移動後、「追加」>「ユーザーを追加」をクリックします。
以下を設定して、「ユーザーを確認」をクリックします。
-セキュリティ タイプ :ディレクトリ
-ユーザー名 :追加したいユーザーを「OneLogin側のUsername」で指定
OneLoginから連携された情報が検索結果として表示されるため、対象に間違いが無ければ「保存」をクリックします。
OneLoginからWS1 UEMへユーザーをインポートすることができました。
3．2．グループ追加とメンバーユーザーの自動同期
次にOneLoginからグループをインポートし、グループ同期によってグループのメンバーが自動同期できることを確認します。
「アカウント」>「ユーザーグループ」>「リスト表示」をクリックしてユーザーグループ一覧画面に移動後、「追加」>「ユーザーグループを追加」をクリックします。
「テキスト検索」にOneLogin側のグループ名を入力し「検索」をクリックします。
検索結果として表示されたグループの内容に間違いが無ければ「保存」をクリックします。
ユーザーグループをインポートすることができました。後で比較するため「ユーザー」カラムが「0」であることを確認しておきます。
続けて、ユーザーグループの同期により、メンバーユーザーの自動追加を試します。今追加したグループのチェックボックスにチェックを入れて、「同期」をクリックし、確認ダイアログで「OK」をクリックします。
【補足】
今回は追加後に即時で同期をしたいので手動で同期を実行しますが、WS1 UEMではユーザーグループの自動同期機能があるため、一定時間間隔で自動同期を実行してくれます。
続けて、対象のユーザーグループにチェックを入れたまま、「その他のアクション」>「不明ユーザーの追加」をクリックし、確認ダイアログで「OK」をクリックします。
ユーザーのリスト表示画面に移動すると、「ユーザーグループ」カラムが「1」となっている（つまり、先ほど追加したグループのメンバーである）ユーザーが1つ増えています。ちなみに、画像内の1行目の方は手動でユーザーのみを追加した時のユーザーです。
以上で、WS1 UEMとOneLoginをディレクトリ連携し、ユーザーとグループを追加しするという構成が問題なく動作することを確認できました。
WS1 UEMを利用する場合、まずユーザーアカウントをどう管理するかという構成を決めますが、その際ディレクトリユーザーを利用するとなった場合に多いのがActive Directoryと連携するという構成です。
今回Omnissa Communityでの投稿きっかけでOneLoginとディレクトリ連携するという構成を初めて知りましたが、まだまだ知らないだけで色々な可能性があるなあ、と感じました。
コメント
コメントを投稿