ユーザープロビジョニングのトラブルシュート

本記事では、OneLogin から各種クラウドサービスへのプロビジョニングが何らかの理由により失敗した場合のトラブルシューティングに役立つ情報をまとめております。本記事をご参照いただいた上で問題が解決しない場合は、ペンティオヘルプセンター リクエストを送信 をご利用ください。当社のOneLoginサポートエンジニアが、問題解決に尽力いたします。

目次

• はじめに
• プロビジョニング関連機能の説明と注意事項
  1. "Refresh"
  2. "Reapply entitlement mappings"
     1. ユーザー全員にEntitlement mappingsを再適用する
     2. 個人にEntitlement mappingsを再適用する
  3. "Reset login"
• エラー文を確認する
  1. コネクタのUsersタブから確認する
  2. プロビジョニングタブのログを確認する
• メールでのエラー発生通知の確認
• エラー文の種類
• OneLoginが発行したエラー
  1. API接続が切れている
  2. Username が設定されていない
  3. APIトークンの権限不足
• アプリ製品から発行されたエラー
• Microsoft 365
  1. ドメインの不一致
  2. 割り当てるライセンスが足りない
  3. 重複させることのできないプランが選択されている
• Salesforce
  1. ライセンスが足りない
• プロビジョニングエラーが解決しないときは
  1. お問い合わせ前のチェック項目
  2. ペンティオヘルプセンターにご提供いただきたい情報

はじめに

プロビジョニングの初期設定時、ユーザーアップデートまたは削除後に発生したエラーを解消する際には、コネクタ設定画面から実行可能な Refresh、Reapply entitlement mappings、Reset login を安易に実行することは推奨いたしません。各操作の意義を十分にご理解いただき、必ず本ドキュメントに記載の注意事項をご確認の上、ご利用ください。

既に Refresh、Reapply entitlement mappings、Reset login の作業を試してもエラーが解消されない場合には、 エラー文を確認する から条件に沿ったセクションをご参照いただき、トラブルシューティングを行ってください。

1. プロビジョニング関連機能の説明と注意事項

それでは、OneLogin コネクタ設定画面内から行うことのできるトラブルシュートツール、Refresh、Reapply entitlement mappings、Reset login の機能概要と注意点からご紹介いたします。

1.1 "Refresh"

■ 機能概要

OneLoginと連携しているアプリケーションにおいて、グループの追加・ライセンスの追加などプロビジョニングしたい属性値が追加・変更・削除など更新された場合に、その更新された内容をOneLoginに取り込む操作が Entitlements Refresh となります。Refresh ボタンを押下することで手動でインポートすることが可能です。

■ 注意点

アプリケーション側のユーザー属性（スキーマ）や属性値の候補など最新情報をOneLoginが再取得するため、現在OneLoginが保持しているこれらのキャッシュデータを破棄・上書きすることとなります。

その結果、存在しなくなったグループを割り当てしようとしていたParameters・Rulesの設定が壊れることや、名称が変更されたことでActionsの設定をやり直さないと正常に割当ができなくなる属性等もなかにはございます。そのため、Refresh 後は Parameters タブと Rules タブの各設定を確認し、影響の有無をご確認ください。また、必要に応じて修正をお願いいたします。

■ 操作手順

1. Provisioning タブに移動し、Entitlementes > Refresh をクリックします
   

1.2 "Reapply entitlement mappings"

■ 名称について

OneLoginの各コネクタ内で、Parameters タブや Rules タブで定義した属性値の設定を即時再反映する操作を一般に "Reapply entitlement mappings" と呼称します。これは、OneLoginのユーザーに対してルールを適用する Mappings に対する "Reapply Mappings" と通常区別されます。

ただし、画面上は下記操作手順にもございますとおり一部ボタンでは単に「Reapply Mappings」と表記されていることがございます。これは正確には「Reapply entitlement mappings」を指しており、単なる表記揺れとご理解ください。

※参考: 狭義の Reapply Mappings = Mappings の再適用、広義のReapply Mappings = Reapply Mappings, 及び Reapply entitlement mappings を含むルールの再適用操作全体、とご理解ください。

■ 機能概要

Rules タブで定義した既存のルールの条件（Conditions）やアクション（Actions）を変更したり、新しいルールをコネクタ内で作成したとき、その内容をアプリケーションに割り当てられたユーザーに対して反映させるための操作となります。Reapply entitlement mappings を実行することで現在のルールに基づいた即時反映がなされます。

Reapply entitlement mappings をアプリケーションが割当された全ユーザーに適用させる操作が基本となりますので、この場合は ユーザー全員にEntitlement mappingsを再適用する をご覧の上ご操作ください。一部のユーザーのみに適用させたい場合にのみ、 特定のユーザーのみにEntitlement mappingsを再適用する をご覧の上ご操作ください。

■ 注意点

Reapply entitlement mappings を実行すると、OneLoginのコネクタ内 Parameters タブ・Rules タブで設定していただいたルールに基づきシングルサインオン及びユーザープロビジョニング用のユーザーデータが再生成されます。

このときOneLogin側で割当処理を行う、例えばアプリケーション側の所属グループ情報や割当ライセンス情報と、実行時点でアプリケーション側で実際に割当られているグループやライセンスが異なる場合、原則*1 OneLoginで定義したグループやライセンスで情報が上書きされることとなります。そのため、Rules で定義されていないグループやライセンスなど、OneLoginのユーザープロビジョニングを利用せずにアプリケーション側の管理画面等で直接設定した情報が失われる場合がございます。Reapply entitlement mappings を実行される際には、必ずOneLoginとアプリケーションの間で設定値に不整合がないことをご確認ください。

*1 連携アプリケーションの種類や属性によってまちまちです

■ 操作手順

1.2.1 ユーザー全員にEntitlement mappingsを再適用する

1. More Actions > Reapply entitlement mappings を選択します
   

1.2.2 特定のユーザーのみにMappingsを再適用する

1. Users タブに移動し、Search へ適用させたいユーザー名を入力します
   
   
    
2. ユーザーの選択が完了したら Apply to all > Reapply Mappings をクリックします
   
   
    
3. 確認ダイアログが表示されるので［Approve］をクリックします
   
   
    
4. 正常に Reapply Mappings が完了したことが青色のバナーに表示されます

1.3 "Reset login"

■ 機能概要

Parameters タブ・Rules タブで定義された情報に基づき生成されたプロビジョニング用のユーザーデータ、及び相手方アプリケーションから取得したユーザー属性など、OneLoginが保有する当該ユーザーに関するキャッシュデータを消去しリセットする操作となります。

Reset login を実行することにより、OneLogin側のプロビジョニング用ユーザーデータと相手方アプリケーション側のユーザー情報に不整合が生じてプロビジョニングが失敗して回復出来なくなった場合や、OneLoginとアプリケーションで間違ったユーザーにマッチング処理が行われてしまった場合に、マッチングのやり直しなどを行うことが可能です。

■ 注意点

Reset login を実行することで、管理者がParamteresタブやRulesタブで定義したルールとは関係なく個別にプロビジョニング用ユーザーデータを手動上書きしていた場合、これらの手動定義していた値がすべてリセットされ、改めてParametersタブ・Rulesタブで定義されている条件に基づいてプロビジョニング用のデータが再生成されます。もし、手動で属性値を上書きしていた場合には再設定が必要です。

■ 操作権限

Reset loginを時刻するにはOneLoginの管理権限のうち下記3つのいずれかの権限が必要です

1. Account Owner
2. Super User
3. Manage users

■ 操作手順（その１）

1. Users タブに移動し、リセットしたいユーザーを選択します
   
   
    
2. Provisioning Status > Reset login をクリックします
   
   
   
   
3. 確認ダイアログが表示されるので［OK］をクリックします
   
   
    
4. マッチング処理が行われプロビジョニングステータスが Provisioned になりましたら完了です
   

■ 操作手順（その２）

コネクタやプロビジョニングステータスによっては上記方法では、プロビジョニング用ユーザーデータを確認するポップアップ画面の最下部に Reset login ボタンが表示されないケースがございます。この場合には、次の手順でも同じ Reset login の実現が可能ですのでご安心ください。

1. Users タブに移動し、 Search で適用させたいユーザー名を検索します
   
   
    
2. ユーザーの選択が完了したら Apply to all > Reset を選択します
   
   
    
3. 確認ダイアログが表示されるので［Approve］をクリックします
   
   
    
4. マッチング処理が行われプロビジョニングステータスが Provisioned になりましたら完了です
   

2. エラー文を確認する

Provisioning state が Failed になった際は エラー文を読んでいただく必要がございます。

エラー文の確認方法はいくつかございますので、以下の方法のいずれかをお試しください。

2.1 コネクタのUsersタブから確認する

1. アプリコネクタのUsersタブよりアカウント同期に失敗したにユーザーの Provisioning State >［Failed］をクリックします
   
   
    
2. ユーザー情報が表示されます。ページ一番下に表記されている Reason をご確認ください

2.2 プロビジョニングタブのログを確認する

1. 管理画面より Usersタブ > Provisioning をクリックします 
   
   
    
2. プロビジョニングが失敗したアプリに関するログをクリックします
   
   
    
3. ログの詳細が表示されますので Reason をご確認ください
   

補足：メールでのエラー発生通知の確認

OneLoginのNotification機能によりプロビジョニングエラーが発生した際にアカウントオーナーなどにメールが送信される設定がデフォルトでオンになっています。こちらのメールを受信した際には上記のエラー文を確認するよりエラーの詳細をご確認ください。

メールの送信先や送信内容は以下の手順で変更していただけます。

1. 管理画面よりActivity > Notificationsタブをクリックします
   
   
    
2. Notification for broken provisioning apps をクリックします
   
   
    
3. 画面赤枠の部分よりエラーメッセージの送信先や送信内容を編集することができます
   

実際のメール

3. エラー文の種類

プロビジョニング失敗時に表示されるエラー文は、OneLoginが発行しているケース また アプリ製品から発行されたエラー文を表示しているケース の2種類があります。

OneLoginが発行しているケース では下記のような例文が挙げられます。

• API not authenticated for app 「アプリ名」
• Username cannot be blank

など

エラー文にこれらの内容が表記されていたら OneLoginが発行したエラー をご確認ください。

アプリ製品から発行されたエラー文を表示しているケース では下記のような例文が挙げられます

• User failed updating in app. ~~
• User failed creating in app. ~~
• User failed deleting in app. ~~

プロビジョニングでユーザーの変更を行った際、アプリ側で問題が発生した時に表示されるエラーです。OneLoginから発行される「User failed ~~ing in app.」と、アプリ側から表示されたエラー文で構成されています。

例）User failed updating in app. Subscription with SKU 「number」 does not have any available licenses.

エラー文に上記の内容が表示されていたら、アプリ製品から発行されたエラー をご確認ください。

4. OneLoginが発行したエラー

4.1 API接続が切れている

API not authenticated for app ［アプリ名］

原因

API接続で利用する認証トークンが失効してしまっていると考えられます。

アプリケーション側でユーザーの停止や削除を行なっていない場合でも、アプリケーションのサービス状況などによってAPI接続が切れてしまう可能性もございます。そのためOneLoginとアプリケーションの両方の状況を確認することを推奨します。

対処方法

API接続が切れてしまった際は アプリケーションの Configurationタブ から再度 ［Authenticate］をクリックし、再度認証していただく必要がございます

1. Configurationタブ > API Connection > ［Authenticate］をクリックします
   
   
   
    
2. ［アプリ名］をクリックします
   アプリケーションへ管理者アカウントでログインする必要があります
   
   
    
3. 青色のバーで「OAuth authorization performed successfully」と表示されていたらAPIの認証が完了です
   

4.2 Username が設定されていない

Username cannot be blank

原因

プロビジョニングを行うユーザーの SCIM Username が登録されていないことが考えられます。SCIM Username を使用するアプリケーション（Zoom, Slack など）では、パラメータタブに Emailを SCIM Username へ割り当てることがデフォルトとなっています。SCIM Username はプロビジョニングを行う際に必須のパラメータなため、エラーが発生します。

対策方法

EmailをSCIM Username に割り当てる場合、プロビジョニングを行うユーザーにEmailを設定することで解消されます。本ドキュメントでは一人に対しEmailを設定する手順をご紹介します。複数人でエラーが発生している場合、下記ドキュメントを参考にご設定ください。
ユーザーのメールアドレスを一括変更する方法

1. Usersタブ > Users をクリックします
   
   
    
2. エラーが発生しているユーザーを選択します
   
   
    
3. Email へ使用するメールアドレスを入力します
   
   
    
4. 入力が完了したら［Save User］をクリックします
   
   
    
5. エラーが発生しているアプリケーションの Usersタブ を開き、Emailを設定したユーザーをクリックします
   
   
    
6. ［Retry］ をクリックします
   
   
    
7. プロビジョニングステータスが Provisioned と表示されていたら完了です 
   

4.3 APIトークンの権限不足

Insufficient privileges to complete the operation.

原因

OneLoginからユーザープロビジョニングを行うために取得したAPIトークンの権限が不足していることからユーザープロビジョニング操作が実行できずエラーが発生しております。

対策方法

ユーザープロビジョニングの対象になっているアプリケーションの最上位の管理者権限をもつアカウントでAPIトークンの取得を行うことで解消されます。

例）

• Microsoft 365：グローバル管理者権限
• Google Workspace：特権管理者

など

1. アプリケーションで最上位の権限をもつOneLoginの管理者アカウントでログインし、対象のアプリケーションの管理画面にアクセスします
   
   
    
2. Configurationタブ > API Connection >［Clear Token］をクリックします。複数箇所存在する場合は、どちらの［Clear Token］も実行ください
   ※ APIトークンのクリア中、OneLoginからのユーザープロビジョニングが停止します
   
   
    
3. 再度APIトークンを取得するため、［Authenticate］をクリックします。トークンの取得を適切な権限で行うために、連携アプリケーションで
   
   
    
4. アプリケーション名をクリックし、APIトークンの取得を行います
   
    
5. OneLoginのユーザーがアプリケーションのアカウントがある場合は自動でトークンが取得されます。アカウントがない場合はログイン画面が表示されますので、最上位の管理者権限アカウントでログインします
   
6. ログイン後、OneLoginの管理画面にリダイレクトし、表示が［Clear Token］になっていることを確認します
   
    
7. Usersタブから、エラーが発生しているユーザーの［Failed］をクリックします
   
    
8. ［Retry］をクリックし、再度プロビジョニングを実行します
   
    
9. プロビジョニングステータスが Provisioned と表示されていたら完了です 
   

5. アプリ製品から発行されたエラー

エラー文はプロビジョニングを行うアプリケーションによって異なります。Microoft 365, Salesforceの2種類のアプリケーションからエラー文ごとのトラブルシュートをご紹介します。

今後、同製品また他製品のトラブルシュートも追記していきますのでご確認いただけますと幸いです

5.1 Microsoft 365

本セクションでは Office 365 V2 コネクタからプロビジョニングを行った際に発生するエラーの対策手順をご紹介しています。本セクションに表記されていないエラー文が表示された場合は、弊社のOneLoginサポートセンターに問い合わせください

5.1.1 ドメインの不一致

User failed updating in app. The domain portion of the userPrincipalName property is invalid. You must use one of the verified domain names in your organization.

原因

API連携しているドメインとユーザーのドメインが不一致であることが考えられます。ドメイン単位で連携を行っているProvisioningと連携を行う際はご注意ください。

対処方法 

1. Provisioningエラーが発生しているアプリを開き、 Usersタブ からエラーが発生しているユーザーをクリックします
   
   
    
2.  User Principal Name へ正しいドメインを入力します
   例）momo@pentio.jp → momo@onelogin.jp
   
   
    
3. 入力が完了したら、［Reset login］をクリックします
   
   
    
4. 修正したユーザーの プロビジョニングステータス が Provisioned と表示されていたら完了です
   

5.1.2 割り当てるライセンスが足りない

User failed creating in app. Subscription with SKU [number] does not have any available licenses.

原因

Microsoft 365 のライセンス数が足りないことが原因であると考えられます。

対処方法

Microsoft 365側で数が足りないライセンスを確認し、Microsoft 365 ライセンス数の追加購入を行ってください。本ドキュメントでは、エラー文に表示されている［number］よりどのライセンスが足りていないか確認する手順をご紹介します。

1. エラー文に表示されている［number］をコピーします
   
   
    
2. Microsoft 365の公式サイト「ライセンスのための製品名とサービス プラン 識別子」を開きます
   
   
    
3. サイト下にある表より、エラー文からコピーした［number］と一致する値を、3列目GUIDより探します
   サイト内検索機能コマンド『ctrl + f』で行うことを推奨します
   例）18181a46-0d4e-45cd-891e-60aabd171b4e
   
   
    
4. 同行の1列目製品名より、ライセンス名を確認することができます
   

5.1.3 重複させることのできないプランが選択されている

User failed updating in app. License assignment failed because service plans [number] are mutually exclusive

原因

Microsoft 365のサブスクリプションである「Microsoft 365 Enterprise E3」や「Microsoft 365 Enterprise E1」内にあるサービスプランが重複していることが原因です。ユーザーへライセンスを割り当てる際は重複できるかご確認の上、設定を行ってください。

対処方法

ユーザーに割り当てられた重複しているライセンスを削除する必要がございます。本ドキュメントでは、Rulesを利用してライセンスをRoleに紐付けて割り当てた際の対処法をご紹介しています。
Microsoft 365 の重複できないライセンスに関しては、Microsoft社にお問い合わせください。

1. Usersタブ > Users をクリックします
   
   
    
2. エラーが発生しているユーザーを選択します
   
   
    
3. Applicationsタブ をクリックします
   
   
    
4. Roles からライセンスを外したいRoleをクリックします
   
   
   コネクタのRules例
   
   
    
5. ［Remove］をクリックします
   

5.2 Salesforce

5.2.1 ライセンスが足りない

User failed creating in app. LICENSE_LIMIT_EXCEEDED: ライセンスの制限を超えています - Salesforce

原因

Salesforce内であるユーザーに割り当てられるライセンス数が足りないことが考えられます。

対策方法

Salesforceのライセンス数を追加購入するか、使用していないユーザーのライセンスを外して再度付与する必要がございます。

Salesforceではプロファイルにライセンスが紐づいているため、ユーザーへ割り当てられているライセンスを変更する際はプロファイルを変更してください。

6. プロビジョニングエラーが解決しないときは

本ドキュメントのトラブルシュートを行ってもプロビジョニングエラーが解決しない場合は以下のチェック項目を確認後、必要な情報を添付の上ペンティオヘルプセンターへお問い合わせください

6.1 お問い合わせ前のチェック項目

☑ はじめに 記載のOneLoginのトラブルシュート方法のRefresh、Reapply entitlement mappings、Reset loginを試しましたか？

 

☑ 下記のエラー文以外の内容でしたか？

• 汎用的なエラー文

  • 4.1 API接続が切れている

    API not authenticated for app ［アプリ名］
     

  • 4.2 Username が設定されていない

    Username cannot be blank

    
     

• Microsoft 365におけるエラー文

  • 5.1.1 ドメインの不一致

    User failed updating in app. The domain portion of the userPrincipalName property is invalid. You must use one of the verified domain names in your organization.

     

  • 5.1.2 割り当てるライセンスが足りない

    User failed creating in app. Subscription with SKU [number] does not have any available licenses.

     

  • 5.1.3 重複させることのできないプランが選択されている

    User failed updating in app. License assignment failed because service plans [number] are mutually exclusive

    
     

• Salesforceにおけるエラー文

  • 5.2.1 ライセンスが足りない

    User failed creating in app. LICENSE_LIMIT_EXCEEDED: ライセンスの制限を超えています - Salesforce

6.2 ペンティオヘルプセンターにご提供いただきたい情報

• 対象のユーザーのメールアドレス
  例）kumi.yoshikawa@onelogin.jp
  
   
• 対象のコネクタ編集画面のURL
  例）{subdomain}.onelogin.com/apps/123456/edit
  
  
   
• プロビジョニングエラーの Reason の内容
  Reason の内容のご確認方法は本ドキュメントのエラー文を確認するを参照ください
  
  
   
• エラーが起きているアプリケーションの Configuration 画面