1Password - ユーザープロビジョニング – ペンティオヘルプセンター

本記事では、OneLogin（IdP）から 1Password（SP）へのSCIM ユーザープロビジョニングの設定手順をご案内します。前提条件、プロビジョニングの有効化、グループの割り当て、動作確認、プロビジョニングの自動化および無効化までの各操作をご説明します。

OneLogin から 1Password へのユーザープロビジョニング導入により、従業員の入社・退社手続きの自動化、アプリケーションを横断したユーザー管理の効率化を実現し、セキュリティの強化とコスト削減に貢献します。

また、SCIM Bridge を利用したユーザープロビジョニングから ホスト型ユーザープロビジョニング への移行は1Password - SCIM Bridgeからホスト型ユーザープロビジョニングへの移行をご覧ください。

*SCIM Bridge から SCIMを用いたホスト型ユーザープロビジョニング へ移行された場合、SCIM Bridge へのロールバックはできません。本番環境への適用につきましては、自己責任でご判断ください。

前提条件

OneLoginのライセンスプランが Professional または旧ライセンスプラン Unlimited のいずれかであること
OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
1Passwordの オーナーグループ または 管理者グループ に属していること
1Passwordのテナントのプランが Businessプラン であること
プロビジョニング対象ユーザーのメールドメインが gmail.com, icloud.com, outlook.com のようなフリーアドレスでないこと

ユーザープロビジョニングの設定

1. 1Password側の設定

ここではユーザープロビジョニングを行うための1Password側の設定を行います。

オーナーグループ または 管理者グループ に属しているユーザーで1Passwordにログインします
［統合］をクリックします
* SCIM Bridgeから移行する場合は、1Password - SCIM Bridgeからホスト型ユーザープロビジョニングへの移行をご覧ください
［ディレクトリ］をクリックします
ホスト型プロビジョニング > OneLogin を選択します
SCIM URL をクリップボードへコピーします
持参人トークン をクリップボードへコピーします
［1Passwordに認証情報を保存する →］をクリックします
認証情報を保存先となる保管庫を選択します
例）従業員
［保存］をクリックします
［完了 →］をクリックします

1Password側の設定は以上です。

2. OneLogin側の設定

OneLoginに管理者でログインし、管理を開きます
Applications > Applications を開きます
［Add App］をクリックします
1Password Business と検索し、該当コネクタを選択します
［Save］をクリックします
Configuration タブに移動し、SCIM Base URL に 1. 1Password側の設定手順5 で取得した SCIM URL を貼り付けます
SCIM Bearer Token に 1. 1Password側の設定手順6 で取得した 持参人トークン を貼り付けます
API Connection >［Enable］をクリックします
API Status が Enabled に変化したことを確認します
Access タブに移動し、割り当てたいユーザーが属するロールを選択します
Provisioning タブに移動し、Enable provisioning にチェックを入れ、［Save］をクリックします

ユーザープロビジョニングの設定は以上です。

3. 任意のグループへの割り当て

Users メニューから［Roles］を選択します
［New Role］をクリックします
任意のロール名を入力します
［Save］をクリックします
作成したロールを選択します
Users タブに移動し、［New Mapping］をクリックします
任意のマッピング名を入力します
Conditions を［Department］［equals］［営業部］に変更します
例）Departmentが営業部となっている全ユーザーに、1Password_Group_営業部ロールを割り当てる
Actionsを［Grant role］［1Password_Group_営業部］に変更します
例）1Password_Group_営業部をroleにセットする
［Save］をクリックします
［OK］をクリックします
［Reapply All Mappings］をクリックします
内容を確認し、［Continue］をクリックします
Users メニューから［Users］を選択します
対象ユーザーの Applications タブを開き、グループ割り当て用のRoleが割り当てられていることを確認します
Applications メニューの［Applications］をクリックします
2. OneLogin側の設定で作成したコネクタを選択します
Rules タブの［Add Rule］をクリックします
任意の Name を入力します
Conditions >［+］をクリックします
Conditions を［Roles］［include］［1Password_Group_営業部］のように設定します
Actions を下記のように設定します
［Set Groups in 1Password Business］　🔵 Map from OneLogin
　For each［role］with value that matches［1Password_Group_([^,]+)］
Actionsのマッチングを正規表現で表記すると、ユーザーに割り当てたRoleの正規表現に該当する部分がグループ名として抜き出されます
例）ロールが1Password_Group_営業部の場合、営業部 というグループが作成されます
［Save］をクリックします
［Save］をクリックします
［More Actions］から［Reapply entitlement mappings］を選択します
ポップアップが表示されるため、［OK］をクリックします
Parameters タブに移動し、［Groups］をクリックします
Include in User Provisioning にチェックを入れます
［Save］をクリックします

ユーザープロビジョニングの設定は以上です。

ユーザープロビジョニングの動作確認

1. ユーザーの作成

Users タブに移動し、対象ユーザーの Pending をクリックします
［Approve］をクリックします
Provisioning State が Provisioned に変化することを確認します
1Password の［人］に移動し、プロビジョニングを行なったユーザーが作成されているかを確認します
任意のグループ割り当てを設定した場合、対象ユーザーの名前をクリックします
設定したグループに所属していることを確認します

2. ユーザーの停止

ここではOneLoginのユーザーの停止することで、1Passwordのユーザーも停止する設定手順をご紹介いたします。前提条件として 2. OneLogin側の設定手順15 にて［Suspend］を選択している必要があります。また、OneLogin側でのユーザーの停止以外にもユーザーの削除やロールの取り消しにより、1Password側のユーザーを停止できます。

OneLoginに管理者でログインし、［管理］をクリックします
Users メニューから［Users］を選択します
削除対象のユーザーをクリックします
Active のトグルボタンをオフにします
［Save User］をクリックします
Applications タブに移動し、2. OneLogin側の設定で作成したコネクタの［Pending］をクリックします
［Approve］をクリックします
1Passwordの［人］にて、削除対象のユーザーの ステータス が サスペンド中 となっていることを確認します。

3. ユーザーの削除

ここでは1Passwordのユーザーを削除する手順をご紹介いたします。ユーザーの削除前に、2. ユーザーの停止を実施する必要があります。

削除対象のユーザーの左側のチェックボックスにチェックを入れます
［利用できる操作］をクリックします
［削除］をクリックします
ログインしている管理者のパスワードを入力します
［アカウントの削除］をクリックします
アカウントが削除されていることを確認します

ユーザープロビジョニングの動作確認は以上です。

ユーザープロビジョニングの自動化

Provisioning タブに移動し、自動実行したい操作のチェックを外し、［Save］をクリックします
More Actions > Reapply entitlement mappings を選択します
［OK］をクリックします
Users タブに移動し、全ユーザーの Provisioning State が Provisioned に変化していることを確認します