本記事では、以下のようなLDAPサーバーのユーザーを SSL経由でOneLoginに同期 する方法をご案内します。OneLoginの管理ポータルでLDAPディレクトリを設定し、必要な情報（ホスト名、ポート、Bind DNなど）を入力、SSL接続を有効にします。ユーザーの自動インポートやロールマッピング機能も紹介し、LDAPからのユーザー管理を効率化できます。
OpenLDAP等のLDAPサーバーに登録されているユーザーを OneLogin と同期する際には、以下の2つの方法がご利用いただけます。ご利用のLDAPリソースに最適な方法を選択してください。
- LDAP via SSL - ディレクトリ連携（本記事）
- LDAP via Connector - ディレクトリ連携
*LDAPサーバーからOneLoginにインポートされた新規ユーザーは、初期状態では非アクティブとなります。
目次
前提条件
- OneLoginのライセンスプラン が SSO（1ディレクトリまで）, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- バインドDNのユーザー情報（dnやパスワードなど）を知っていること
- LDAPSの有効化(SSL化)をしていること
OneLogin側の設定
- OneLoginに管理者でログインし、管理 を開きます
- Users > Directories を開きます
- ［New Directory］をクリックします
-
LDAP via SSL の［Choose］をクリックします
- 任意のディレクトリ名を入力します
- ディレクトリとしてLDAPサーバーを使用するため、Basic Configuration > Enable LDAP as your user directory にチェックを入れます
- SSL化された通信をするために、LDAP Settings > connect using SSL にチェックを入れます
-
以下の通りに設定します
項目 設定値 LDAP server hostname LDAPサーバーのホスト名かIPアドレスを入力します
例）18.183.76.212
Port 636 First name attribute givenName sn 検索の起点となるエントリです
例）dc=ldap,dc=pentio-dev,dc=com
Bind DN LDAPサーバーを検索する、LDAPの管理者DNです
例）cn=Manager,dc=ldap,dc=pentio-dev,dc=com
Password Bind DNのパスワード
- LDAPサーバーからOneLoginにインポートされた新規ユーザーを、マッピング機能の対象とするために、Importing Users > Enable mappings にチェックを入れます
- Auto-create Users > Automatically create users ... にチェックを入れると、ディレクトリ経由でインポートされた新規ユーザーに対してOneLoginロールを割り当てることができますが、ペンティオではOneLogin標準のマッピング機能を使うことを強く推奨しています。マッピング機能に関しては、こちらをご参照ください。
-
Originating ip address と Email domain の設定をします
*どちらの項目も空欄にすることを推奨します。項目 設定値 入力したIPアドレスからアクセスしたユーザーに関しては、LDAPサーバーが認証を行います Email domain メールアドレスに、入力したメールドメインを持つユーザーに関しては、LDAPサーバーが認証を行います
- ［Save］をクリックします
- More Actions > Synchronize Users を選択し、OneLoginとLDAPサーバーを同期します
- OneLoign側にLDAPのユーザーが新規作成されることを確認します
LDAPからインポートされたユーザーへのロールマッピング
本章では、LDAPサーバーからインポートされた新規ユーザーに対してOneLoginロールを割り当てる方法をご紹介します。OneLogin標準のマッピング機能で、以下のように設定することで、ロールを自動で割り当てることができます。Mappingの使い方に関してはOneLoginでロールを作成し、各ユーザーに自動で割り当てる方法（Mapping）をご参照ください。
- Users > Mappings を開きます
- ［New Mapping］をクリックします
- Mappingでは、 Conditions で自動化したい操作における対象ユーザーの条件を設定し、Actions で自動化したい操作を設定します。ここでは、それぞれ以下のように設定します。
- Conditions : User Created と Directory Name equals ディレクトリ名
-
Actions : Set role 割り当てたいロール名