本記事では、OneLogin と Active Directory をディレクトリ連携している環境において、OneLogin Active Directory Connectorがインストールされた複数のサーバー（以下、ADCインスタンス）をご利用の場合に、手動でユーザー同期を担うADCインスタンスを切り替える手順をご案内します。
目次
ADCインスタンスの役割とユーザー同期機能
OneLogin ADCには、ユーザー同期 と ユーザー認証 の2つの機能があります。
- ユーザー認証: 複数のADCインスタンスをOneLoginと連携・統合する際に、負荷分散を自動的に実行します。これにより、全てのADCインスタンスがActive状態を維持します。
- ユーザー同期: 複数のADCインスタンスをOneLoginと連携・統合する場合でも、ユーザー同期処理を実行するのは1台のADCインスタンスのみです。このインスタンスはプライマリインスタンスと呼ばれます。
ユーザー同期の仕組み
プライマリインスタンス自体がドメインコントローラである場合は、そのドメインコントローラが保持する情報をOneLoginへ同期します。一方、プライマリインスタンスがメンバーサーバーである場合は、接続・参照するドメインコントローラの情報をOneLoginへ同期します。
参照するドメインコントローラはActive Directoryの構成に依存しますが、通常はネットワーク上で最も近いドメインコントローラが選択されます。そのためADCインスタンスとなるメンバーサーバーは、ドメインコントローラと同一サイトのネットワーク上に設置するなど物理的な距離が近くなるよう設置することをお勧めいたします。ADCインスタンスとドメインコントローラ間のレイテンシーが大きい場合、OneLogin ADCのパフォーマンスに影響を及ぼす可能性がございます。
また複数台のドメインコントローラが存在するドメインでは、レプリケーションのタイミングにより管理者様が操作されたドメインコントローラからOneLogin ADCが参照するドメインコントローラにデータが反映されるまでのタイムラグによりリアルタイム同期とならない可能性がございます。
レプリケーション間隔はActive Directoryの仕様によりサイトごと標準的な時間が設定されており、カスタマイズによりお客様ごと異なる可能性がございます。即時反映を希望される場合はOneLogin ADCが参照するドメインコントローラ上でユーザーオブジェクトの情報をご変更頂くか、レプリケーションを強制実施するなどの操作をお願いいたします。
プライマリインスタンスの手動切り替えが必要なシーン
プライマリインスタンスの手動切り替えが必要なシーンは以下の通りです。
- セカンダリ以下のインスタンスに任意に切り替えたいとき
- プライマリインスタンスをメンテナンス等で電源OFFまたはオフラインにするとき
- プライマリインスタンスのADCをアンインストールして、セカンダリ以下のADCインスタンスにプライマリインスタンスを引き継がせたいとき
障害発生などによるインスタンス切り替えについては、手動切り替えだけでなく事前の自動フェイルオーバー設定を推奨いたします。
自動フェイルオーバーの設定
- OneLoginに管理者でログインし、管理 を開きます
- Users > Directories を開きます
-
Active Directory を選択します
-
Advanced タブに移動し、Enable auto-switch sync failover にチェックを入れ、［Save］をクリックします
自動フェイルオーバーの設定は以上です。
プライマリインスタンスの手動切り替え
次の手順によりプライマリインスタンスを別のADCインスタンスへ変更することが可能です。
-
Connector Instances タブに移動し、新たに同期元に指定したいインスタンスを選択します
*User Sync / Priority 列に ✓ が表示されているプライマリインスタンスが現在OneLoginにユーザー情報を同期しているインスタンスです。
-
User Synchronization を有効にします
- 内容を確認し、［Continue］をクリックします
- 10~20秒経過後、画面がConnector Instancesタブに自動で戻り、新たに同期元に設定したインスタンスに ✓ が表示されていることを確認します
プライマリインスタンスの手動切り替えは以上です。
プライマリインスタンス切り替え後のログ確認
プライマリインスタンス切り替え後、想定外のユーザー停止や削除が発生していないことをご確認ください。
- Activity > Events を開きます
- Active Directory との連携でOneLoginのユーザーが無効化されたログを確認したい場合、
User suspended in directory (82)イベントをフィルタします
- ログを確認し、想定外のユーザー無効化が発生していないことを確認します
- Active Directory との連携でOneLoginのユーザーが削除されたログを確認したい場合、
User deleted in directory (84)イベントをフィルタします
- ログを確認し、想定外のユーザー削除が発生していないことを確認します
プライマリインスタンス切り替え後のログ確認は以上です。