本記事では、OneLogin から Tableau Cloud へのSCIM ユーザープロビジョニングの設定手順をご案内します。
目次
注意
Tableau Cloudを連携する際の注意点を以下に示します。ご利用ユーザーの業務に影響が出てしまう恐れがあるため、事前に必ずご一読ください
- TableauのユーザープロビジョニングではデフォルトでViewer権限が付与される仕様となっており、事前にサイトロールのプロビジョニング設定を行う必要があります。プロビジョニングを実行する前に、サイトロールのプロビジョニング設定を参考に設定を行ってください
- プロビジョニングにより生成されるユーザーは認証方式がSAMLとなります。SAML連携がお済みで無い方は、事前にこちらの手順を参考にSAML連携設定を行ってください
前提条件
- OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Tableau Cloud（旧Tableau Online）- SAML認証 の設定が完了していること
- Tableau Cloudの サイト管理者 Explorer または サイト管理者 Creator の権限を所有していること
ユーザープロビジョニングの設定
1. Tableau Cloud側の設定
- Tableau Cloudでサイト管理者 Explorerまたはサイト管理者 Creatorでログインし、［⚙］をクリックします
- 認証 > 追加の認証方法を有効にする にチェックを入れます
- 認証タイプ > SAML を選択します
- ［続行］をクリックします
- SAML > 接続の編集... をクリックします
- 自動プロビジョニングとユーザー同期 (SCIM) > SCIM の有効化 にチェックを入れ、ベース URL と シークレット をクリップボードへコピーします
2. OneLogin側の設定
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
Tableau Online SSO と検索し、provisioning 対応コネクタを選択します
- ［Save］をクリックします
-
Configuration タブに移動し、SCIM Base URL に 1. Tableau Cloud側の設定 で取得した ベースURL を貼り付け、API Conection >［Enable］をクリックします
-
SCIM Bearer Token に 1. Tableau Cloud側の設定 で取得した シークレット を貼り付けます
-
Parametersタブ > SCIM Username をクリックします
-
Value を Email に設定し、［Save］をクリックします
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択します
-
Provisioning タブに移動し、Enable provisioning にチェックを入れ、［Save］をクリックします
3. サイトロールのプロビジョニング設定
TableauのユーザープロビジョニングではデフォルトでViewer権限が付与される仕様となっており、事前にサイトロールのプロビジョニング設定を行う必要があります。OneLoginではRoleやメールアドレスなどのユーザー情報をもとにサイトロールを自動で割り当てることができます。プロビジョニング可能なサイトロールについては以下の表をご覧ください。
例として、"Tableau_Explorer"ロールに属するユーザーに"Explorer"サイトロールを割り当て、"Tableau_SiteAdministratorExplorer"ロールに属するユーザーに"サイト管理者Explorer"サイトロールを付与する手順を紹介します。
- "Tableau_Explorer"ロールおよび"Tableau_SiteAdministratorExplorer"ロールを作成します
-
Rules タブに移動し、［Add Rule］をクリックします
- 任意の Name を入力します
-
Conditionsを設定します
ConditionsとはRuleをどのユーザーに割り当てるのかをRoleやEmailを用いて設定する項目です
例えば、Tableau_ExplorerというRoleのユーザーに割り当てる場合は、下記のように設定します
＊Conditionsを設定しない場合はAccess権が付与された全ユーザーにRuleが適用されます
-
Actionsを設定します
Actionsでは、Conditionsで割り当てられたユーザーに対して行う処理を設定します。今回はSite Roleを対象とするため、Set Site Role in Tableau Online SSO を選択します
-
Set Site Role to 以降は、Conditionsで割り当てられたユーザーにどのサイトロールを付与するのかを設定します。-Macro- を選択し、割り当てるサイトロールを入力します。
※サイトロールの詳細は下表をご覧くださいTableau 側で割当たるサイトロール OneLogin側で入力する値 Creator Creator Explorer Explorer Explorer（パブリッシュ可能） ExplorerCanPublish サイト管理者Explorer SiteAdministratorExplorer サイト管理者Creator SiteAdministratorCreator Viewer Viewer
例)Explorer
- ［Save］をクリックします
- 別のサイトロールを付与させる場合は、手順3-手順8を同様に設定してください
- 必要なRuleの設定を行い、［Save］をクリックします
- More Actions > Reapply entitlement mappings を選択します
- ［OK］をクリックします
ユーザープロビジョニングの設定は以上です。
ユーザープロビジョニングの動作確認
-
Users タブに移動し、対象ユーザーの Pending をクリックします
-
［Approve］をクリックします
-
Provisioning State が Provisioned に変化することを確認します
-
Tableau Cloud側に該当ユーザーが追加されていることを確認します
ユーザープロビジョニングの動作確認は以上です。
（参考）
手順18で設定したProvisioningタブ > Require admin before the action is performed のチェック欄では、全てのチェックを外すことを弊社では推奨しております。チェックが入っている項目に関して、ユーザープロビジョニングをする際に 管理者の承認 という1ステップが入るため、管理者が承認するのを忘れていると、プロビジョニングが実行されずユーザーがSSOできないといった問題が発生します。そのため、このチェックを外すことで、管理者の承認がなくてもユーザープロビジョニングを行えるようにすることを推奨しております。
※OneLogin側でユーザーを削除した際に、Tableau Cloud側のユーザーも自動で削除されてしまうのを防ぐために、Delete User だけにチェックを入れることで、アカウント削除の際に管理者の承認を求めるようにする場合もあります。
ユーザープロビジョニングの無効化
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ご利用中の Tableau Online SSO を検索し、該当コネクタを選択します
-
Provisioning タブに移動後、Enable provisioning のチェックを外し、［Save］をクリックします
ユーザープロビジョニングの無効化は以上です。