Active Directory - Advancedタブ内の各項目について

OneLogin と Active Directory の連携における詳細な設定により、効率的なユーザー管理とセキュリティ強化が可能となります。

目次

• Advencedタブの確認
• Advencedタブの各項目について

Advencedタブの確認

1. OneLoginに管理者でログインし、管理 を開きます
   
   
    
2. Users > Directories を開きます
   
   
    
3. ［Active Directory］を選択します
   
   
    
4. Advanced タブに移動します
   

Advencedタブの確認は以上です。

Advencedタブの各項目について

1. Base DN
   *デフォルト: 空欄
   
   ユーザーを検索するルートのエントリを指定することができます。この機能を使用すると、大規模なディレクトリと同期する際、同期にかかる時間を短縮できる可能性があります。
    
2. Mappings
   *デフォルト: 有効、推奨設定: 有効
   
   Active Directoryから登録されたユーザーが、マッピングの対象になるかどうかを選択することができます。この機能をONにすると、Active Directoryから登録されたユーザーもマッピングの対象となります。
    
3. Stage users
   *デフォルト: 無効、推奨設定: 無効
   
   Active Directoryから登録されたユーザーが、管理者に承認される必要があるかどうかを選択することができます。この機能を有効にし、新規ユーザーをActiveDirectoryに登録すると、管理者は reject | approve のどちらかを選択することができるようになります。
   
    
4. Sync User Status from Active Directory
   *デフォルト: 無効、推奨設定: 有効
   
   Active Directory上のユーザーステータスと、OneLogin上のユーザーステータスを同期させるかどうかを選択することができます。本機能をONにすると、Active Directory上で無効にしたユーザーは、OneLogin上でも自動で無効になります。
    
5. Ignore computed user access control
   
   グループポリシーに基づいてユーザーステータスを決める際、msDS-User-Account-Control-Computedという属性を使用するかどうかを選択することができます。この機能を有効にすると、msDS-User-Account-Control-Computedという属性は無視されます。
    
6. Enable Smart Password
   *デフォルト: 無効、推奨設定: 無効
   
   ディレクトリが複数あった場合、ディレクトリ間でOneLoginを通じてユーザーのパスワードを同期するかどうかを選択することができます。本機能を有効にすると、このディレクトリでは、ユーザーパスワードが上書きされるようになります。
    
7. Enable auto-switch sync failover
   *デフォルト: 無効、推奨設定: 有効
   
   何らかの原因で、同期していたADCインスタンスと通信ができなくなった際に、自動的に待機システムに接続するかどうかが選択できます。本機能を有効にすると、ADCインスタンスと通信できなくなった際、待機システムに接続するようになります。
    

8. Login username attribute
   *デフォルト: Email、推奨設定: sAMAccountName
   

   OneLoginのusernameとして、Active Directory上のどのパラメータを取り扱うかを選択することができます。注: usernameとしてEmailを選択している状態で、Active Directoryで電子メールを登録していないユーザーを同期させようとすると、OneLogin上にユーザーが登録されません。これは、「 usernameとしてActive Directory上のEmailを使用する」という設定であるにもかかわらず、Active Directory上ではEmailが空欄となっているため、OneLoginにユーザーを登録する際に必要な情報であるusernameが空欄となってしまうために起こる現象です。逆にこれを利用し、電子メールがActive Directory上に登録されているユーザーのみを、OneLoginに登録する、ということも可能です。

   OneLoginでのパラメータ名	Active Directoryでのパラメータ名
   userPrincipalName	ユーザーログイン名
   Email	電子メール
   sAMAccountName	ユーザーログオン名（Windows 2000 より前）

    

9. Exporting Users
   *デフォルト: 無効、推奨設定: 無効
   
   OneLoginからActive Directoryへとユーザー情報を同期させるかどうかが選択できます（Unlimitedプラン、Professionalプランのみ）。本機能を有効にすると、OneLoginからActive Directoryへと、ユーザー情報を同期させることができるようになりますが、通常はOFFにすることを推奨します。
    

10. Deleted users in AD...
    *デフォルト: are unaffected in OneLogin、推奨設定: are deleted in OneLogin
    
    Active Directory上で削除されたユーザーが、OneLogin上でどうなるかを選択することができます。are unaffected in OneLogin の状態で、Active Directory上からユーザーを削除した場合、削除されたユーザーはOneLoginにログインすることができませんが、ライセンスは消費する状態となります。

    項目	機能
    are unaffected in OneLogin	Active Directory上で削除されたユーザーは、OneLogin上では何の影響もありません（ライセンス消費あり）
    are suspended in OneLogin	Active Directory上で削除されたユーザーは、OneLogin上では失効状態となります（ライセンス消費なし）
    are deleted in OneLogin	Active Directory上で削除されたユーザーは、OneLogin上でも削除されます

     

11. Enforce OneLogin password expiration policies
    *デフォルト: 有効、推奨設定: 無効
    
    OneLoginのポリシーにおけるパスワードの有効期限を、Active Directoryでのパスワードの有効期限よりも優先するかどうかを選択することができます。本機能を有効にしている状態で、Active Directoryのパスワードの有効期限よりも先に、OneLoginのポリシーで設定したパスワードの有効期限が切れた場合、パスワードの変更が必要となります。また、Active Directoryのパスワードの有効期限が切れている場合も、パスワードの変更が必要となります。

    Active Directoryでのパスワード有効期限	OneLoginでのパスワード有効期限	パスワードの変更
    期限内	期限内	不要
    期限内	期限切れ	必要
    期限切れ	期限内	必要
    期限切れ	期限切れ	必要

    パスワードの有効期限は、該当ポリシーの Password タブから確認可能です
    
     

12. Check users status before authenticating the user.
    *デフォルト: 有効、Active DirectoryとOneLoginの間で、ユーザーステータスを同期していない場合の推奨設定: 有効
    
    Active Directoryへと認証要求を送信する前に、OneLogin上でのユーザーステータスを確認するかどうかを選択することができます。この機能をONにすると、OneLogin上で無効状態となっているユーザーの認証要求はActive Directoryへ送信されません。
     
13. Do not write user status back to Active Directory
    *デフォルト: 無効、Active DirectoryとOneLoginの間で、ユーザーステータスを同期していない場合の推奨設定: 有効
    
    OneLogin上でのユーザーステータスをActive Directoryに同期させるかどうかを選択することができます。本機能を有効にすると、OneLoginのユーザーステータスは、Active Directoryへと同期されないようになります。