1Password - ユーザープロビジョニング – ペンティオヘルプセンター

SCIM Bridge から SCIMを用いたホスト型ユーザープロビジョニング へ移行された場合、SCIM Bridge へのロールバックはできません。本番環境への適用につきましては、自己責任でご判断ください。

本記事では、OneLogin から 1Password へのSCIMユーザープロビジョニングの設定手順をご案内します。

前提条件

OneLoginのライセンスプランが Professional または旧ライセンスプラン Unlimited のいずれかであること
OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
1Passwordの オーナーグループ または 管理者グループ に属していること
1Passwordのテナントのプランが Businessプラン であること
プロビジョニング対象ユーザーのメールドメインが gmail.com, icloud.com, outlook.com のようなフリーアドレスでないこと

ユーザープロビジョニングの設定

1. 1Password側の設定

ここではユーザープロビジョニングを行うための1Password側の設定を行います。

オーナーグループ または 管理者グループ に属しているユーザーで1Passwordにログインします
［統合］をクリックします
*SCIM Bridgeから移行する場合、ホスト型プロビジョニングに切り替える を選択します。
［ディレクトリ］をクリックします
ホスト型プロビジョニング > OneLogin を選択します
SCIM URL をクリップボードへコピーします
持参人トークン をクリップボードへコピーします
［1Passwordに認証情報を保存する →］をクリックします
認証情報を保存先となる保管庫を選択します
例）従業員
［保存］をクリックします
［完了 →］をクリックします

1Password側の設定は以上です。

2. OneLogin側の設定

OneLoginに管理者でログインし、［管理］をクリックします
Applications メニューから［Applications］を選択します
［Add App］をクリックします
1Password Business と検索し、該当コネクタを選択します
［Save］をクリックします
Configuration タブに移動し、SCIM Base URL に 1. 1Password側の設定手順5 で取得した SCIM URL を貼り付けます
SCIM Bearer Token に 1. 1Password側の設定手順6 で取得した 持参人トークン を貼り付けます
API Connection >［Enable］をクリックします
API Status が Enabled に変化したことを確認します
Access タブに移動し、割り当てたいユーザーが属するロールを選択します
Provisioning タブに移動し、Enable provisioning にチェックを入れます
Require admin approval before this action is performed では1Passwordにプロビジョニングする前に、管理者に承認をとる操作を選択します
When users are deleted in OneLogin, or the user's app access is removed, perform the below action では、OneLoginでユーザーが削除されるあるいはアプリへのアクセス権が消失した際の動作を以下のように設定できます
・Delete：1Passwordのユーザーアカウントの停止
・Do Nothing：何も行わない
・Suspend：1Passwordのユーザーアカウントの停止
*Deleteを選択しても自動的にユーザーは削除されず停止のステータスとなります。そのため、DeleteとSuspendの動作に違いはございません
When user accounts are suspended in OneLogin, perform the following action ではOneLoginでユーザーが停止した時の動作を以下のように設定できます
・Suspend：1Passwordのユーザーアカウントの停止
・Do Nothing：何も行わない
［Save］をクリックします

ユーザープロビジョニングの設定は以上です。

3. 任意のグループへの割り当て

Users メニューから［Roles］を選択します
［New Role］をクリックします
任意のロール名を入力します
［Save］をクリックします
作成したロールを選択します
Users タブに移動し、［New Mapping］をクリックします
任意のマッピング名を入力します
Conditions を［Department］［equals］［営業部］に変更します
例）Departmentが営業部となっている全ユーザーに、1Password_Group_営業部ロールを割り当てる
Actionsを［Grant role］［1Password_Group_営業部］に変更します
例）1Password_Group_営業部をroleにセットする
［Save］をクリックします
［OK］をクリックします
［Reapply All Mappings］をクリックします
内容を確認し、［Continue］をクリックします
Users メニューから［Users］を選択します
対象ユーザーの Applications タブを開き、グループ割り当て用のRoleが割り当てられていることを確認します
Applications メニューの［Applications］をクリックします
2. OneLogin側の設定で作成したコネクタを選択します
Rules タブの［Add Rule］をクリックします
任意の Name を入力します
Conditions >［+］をクリックします
Conditions を［Roles］［include］［1Password_Group_営業部］のように設定します
Actions を下記のように設定します
［Set Groups in 1Password Business］　🔵 Map from OneLogin
　For each［role］with value that matches［1Password_Group_([^,]+)］
Actionsのマッチングを正規表現で表記すると、ユーザーに割り当てたRoleの正規表現に該当する部分がグループ名として抜き出されます
例）ロールが1Password_Group_営業部の場合、営業部 というグループが作成されます
［Save］をクリックします
［Save］をクリックします
［More Actions］から［Reapply entitlement mappings］を選択します
ポップアップが表示されるため、［OK］をクリックします
Parameters タブに移動し、［Groups］をクリックします
Include in User Provisioning にチェックを入れます
［Save］をクリックします

ユーザープロビジョニングの設定は以上です。

ユーザープロビジョニングの動作確認

1. ユーザーの作成

Users タブに移動し、対象ユーザーの Pending をクリックします
［Approve］をクリックします
Provisioning State が Provisioned に変化することを確認します
1Password の［人］に移動し、プロビジョニングを行なったユーザーが作成されているかを確認します
任意のグループ割り当てを設定した場合、対象ユーザーの名前をクリックします
設定したグループに所属していることを確認します

2. ユーザーの停止

ここではOneLoginのユーザーの停止することで、1Passwordのユーザーも停止する設定手順をご紹介いたします。前提条件として 2. OneLogin側の設定手順15 にて［Suspend］を選択している必要があります。また、OneLogin側でのユーザーの停止以外にもユーザーの削除やロールの取り消しにより、1Password側のユーザーを停止できます。