Active DirectoryのOUでOneLoginユーザーを絞り込めない場合、特定のセキュリティグループメンバーのみを同期可能です。同期前にOU指定と管理者権限の確認が必要で、ADConfigWizardでグループを指定し、サービス再起動後に同期状況を管理ポータルで確認します。指定解除も同様の手順で行い、全解除すると全OUのユーザーが同期されます。
Active Directory（AD）のOU（Organizational Unit: 組織単位）に基づいてOneLoginユーザーを絞り込みできない場合、OneLoginでは、特定のセキュリティグループメンバーのみを選択し、OneLoginと同期することが可能です。
*以下の手順を実行する前に、Active Directoryとディレクトリを統合する を参照し、OneLoginとADを連携する必要があります。
目次
事前準備
同期対象のグループを指定し、ユーザーを絞り込む前に以下の2点を確認し、必要な準備を完了します。
- 同期対象のグループメンバーであり、OneLoginに同期したいユーザーが所属する全てのOUが、OneLoginの管理ポータル（Users > Directories > Active Directory > OU Selection）上で指定されていること
- OneLoginの管理者（Account Owner や Super User）が同期対象のグループメンバーであり、絞り込み後もOneLoginにアクセス可能であること
注意事項
- 既にActive Directoryからユーザーを同期している場合、かつ同期対象グループを指定することにより同期対象ユーザーが減るケースでは、グループに所属していないユーザーは Users > Directories > Active Directory > Advancedタブ の Deleted users in AD... に指定された設定に従い、同期対象グループ指定後ADCコネクタを再起動した直後に処理されます。
例）以下の設定を行うと、グループが同期対象に指定された時点でそのグループのメンバーではなかったユーザーはOneLoginから削除されます。ユーザープロビジョニングをご利用の場合、OneLoginユーザーの削除により、クラウドアプリケーション側のユーザーも削除されます。
- 新しいディレクトリ連携の設定時には、同期対象のOUを設定せずにディレクトリ連携を完了させ、以下の同期対象グループの指定後に同期対象のOUを指定することで、不要なユーザーがOneLoginへ同期されることを防止できます。
同期対象グループの指定
- ファイルパス
C:\Program Files (x86)\OneLogin, Inc\OneLogin Active Directory Connectorから、ADConfigWizard というアプリケーションを実行します
*Built-InのAdministratorユーザー以外で実行する場合、アプリケーションを右クリックし、管理者として実行 を選択します。
- ADConfigWizardの起動後、Security Groups タブに移動します
- 以下の画面のようにセキュリティグループが現在選択されていないことを確認します
-
Enter a Security Group to add… と表示されているフィールドにOneLoginへユーザー同期の対象としたいセキュリティグループ名を入力します。このとき、セキュリティグループのグループ名（CN）やDNを利用して検索することが可能です。
日本語のグループ名を入力しても検索結果が表示されない場合は、Enterキーを押すか、検索ワードの後にスペースを追加することで検索がキックされます。また、広範囲なActive Directoryドメインやフォレストを運用している大規模ディレクトリでは、検索欄に1文字入力しただけでフリーズする可能性があります。このような場合は、テキストエディタなどで入力したグループ名をコピーし、検索欄に貼り付けることで、応答時間の短縮および処理落ちの防止につながります。
- 目的のセキュリティグループを検索・選択し、［Add］をクリックして追加します
- 追加されたセキュリティグループが指定したものであることを確認し、［OK］をクリックします
*複数のセキュリティグループを指定したい場合は手順4〜6を繰り返します。
- OneLogin ADCサービスのリスタートを促されるので、［はい(Y)］をクリックします
サービスのリスタートにはお時間がかかる場合がございます。アプリケーションが固まっている用に見えても応答待ちの状態ですので、そのままお待ち下さい。正常に処理が完了するとアプリケーションが自動的に終了します
- 最後にOneLoginの管理ポータルを開き、必要なユーザーだけがOneLoginへ同期されていることを確認します。実際に同期されているユーザーの合計数は 管理ポータル > Users > Directories を開き、設定したディレクトリの行に2つ並ぶ数字のうち右側の数値をご確認ください。
以下の画面ではActive Directory / peol.local というディレクトリから合計350ユーザーがOneLoginへ同期されていることがわかります
補足: 同期対象グループの指定解除
セキュリティグループによる同期対象の絞り込み指定を解除するには、ADConfigWizardを用いて、前述の手順とほぼ同様の操作を行います。解除する場合は、アプリケーションを起動し、Security Group タブに移動後、指定を外したいセキュリティグループをダブルクリックします。チェックが外れたことを確認後、［OK］をクリックし、アプリケーションを閉じてサービスを再起動します。
-
全てのセキュリティグループ指定を解除した場合
全てのグループを外すと、グループ絞り込み機能自体が停止し、同期対象OUとして指定されたOUに所属する全てのユーザーがOneLoginへ同期されます。ライセンス超過とならないようご注意ください。
-
一部のセキュリティグループ指定を解除した場合
今回操作したことで同期対象から外れたセキュリティグループに所属しているユーザーは、サービス再起動直後に同期対象から除外され、注意事項 1でも記載の通りOneLoginディレクトリ設定に従い、OneLoginのユーザーアカウントが削除又は停止等処理されますのでご注意ください。