Active Directory - リプレース時の対応 – ペンティオヘルプセンター

本記事では、OneLoginと連携されているActive Directory（AD）を置き換える手順をご案内します。事前設定確認、新ADの追加及び同期切り替え、旧ADの連携停止、運用確認、旧ADの設定削除、事前設定の復元手順をご紹介します。また、当社のエンジニアによる有償サポートも提供しておりますので、ご不明な点がございましたらお気軽にお問い合わせください。

OneLogin Active Directory Connector（OneLogin ADC）やWindows Serverにおける詳細な作業手順、および企業ごとに必要となる設定や個別対応につきましては、有償のプロフェッショナルサポートサービスにて承っております。プロフェッショナルサポートサービスにつきましては、リクエストを送信 – ペンティオヘルプセンターより「プロフェッショナルサポートサービスのご相談」を選択し、ペンティオヘルプサポートまでご相談ください。

1. ディレクトリ連携停止前の事前確認

OneLoginの設定画面から下記の2点の設定を確認し、ユーザー連携を行うActive Directoryのリプレース時の影響を抑えることができます。

Settings > Account Settings を開き、Login タブ内の Enable directory fallback password cache にチェックを入れます

本機能を有効にすると、OneLoginへのログイン時に入力されたActive Directoryユーザーのパスワードのハッシュ値がOneLoginに保存されます。これにより、OneLoginとActive Directory間の再連携に失敗した場合でも、同一のパスワードを使用してログインできるようになります。なお、本機能を有効にした状態で、OneLoginにおけるパスワード認証が成功しない限り、パスワードのハッシュ値はOneLoginに保存されませんので、ご注意ください。

Users > Directories を開き、OneLoginと連携されているActive Directoryを選択後、Advanced タブ内の Deleted users in AD... から are unaffected in OneLogin を選択します

本機能は、旧Active Directoryと新Active Directoryのユーザー情報に不一致が生じた場合においても、OneLoginユーザーの誤削除を防止します。本機能を有効にした状態でActive Directoryユーザーを削除した場合でも、OneLoginユーザーは削除されません。Active Directoryのリプレースが完了次第、Active Directoryからユーザーステータスが正しく同期されるよう、設定の切り戻しが必要となります。

2. OneLoginとのディレクトリ連携に新しいADインスタンスを追加

Active Directoryとディレクトリを統合する PDF > 4.4 サーバーを追加する を参照し、既存のディレクトリ連携設定に新しいActive Directoryインスタンスを追加します。

3. 新しいADをユーザー同期元に変更

旧Active DirectoryからOneLoginへのユーザー同期を、新しいActive Directoryから同期されるように設定を変更します。新しいActive Directoryで User Synchronization を有効にし、ユーザー情報の同期元を新しいADに変更します。

［Continue］をクリックし、ユーザー情報の同期元ディレクトリを変更します。同期元を変更すると、新しいActive Directoryからユーザーが自動的に同期されます。

4. ユーザー削除や関連付け解除のログがないことを確認

Activity > Events から下記2点のイベントログが発生しているか確認します。下記イベントは、OneLoginのユーザーが、Active Directoryによって削除された場合と、Active Directoryとの関連付けが解除された場合に発生するイベントです。

Deleted user
User disassociated from directory

上記イベントが発生した場合、Active Directoryとの連携が切断されたOneLoginユーザーが存在します。この切断が誤削除によるものでないかご確認ください。

5. 旧ADのADCおよびOneLoginとの連携を停止

ご利用中の旧ADにおけるActive Directory Connector、およびOneLoginとのディレクトリ連携を停止します。その後約1週間、新しいADのみでユーザー同期および認証を運用し、問題が発生しないことを確認します。

旧Active DirectoryのWindowsサーバーにて、サービス > OneLogin Active Directory Connector を停止します。

旧Active Directoryインスタンス設定にて、More Actions > Disable を実行することで、ディレクトリ連携の停止が可能です。

6. 約一週間、新しいADのみでユーザーの同期・認証を運用

Active Directoryのリプレース後、約一週間はOneLoginへのユーザー同期およびユーザー認証の正常な動作を検証することを推奨します。全てが問題なく稼働していることを確認次第、以下の手順で旧Active Directoryとのディレクトリ連携設定を削除します。

7. 旧Active Directoryとの連携設定を削除

新しいActive Directoryのみでの運用が正常に確認できたら、旧Active Directory連携設定を削除します。

8. 事前設定を元に戻す

1. ディレクトリ連携停止前の事前確認で実施した Deleted users in AD... の設定は、元のユーザーステータスの同期設定に戻す必要があります。貴社の運用方針に基づき、設定を適切に切り戻してください。