本記事では、ディレクトリ連携を使用して、Microsoft Entra ID（旧Azure AD）からユーザーをOneLoginへ同期する手順をご案内します。同期はAPI接続により6時間ごとに自動実行されるほか、リアルタイム同期を有効にすることで即時同期も可能です。また、手動での同期やユーザーの招待方法もご説明します。
本機能を利用すると、従来Entra IDに登録されていたユーザーを OneLogin に同期するために必要となっていたオンプレミスのActive DirectoryとEntra ID Connectを利用した構成が不要となり、純粋なCloud to Cloudのディレクトリ連携が可能となります。
目次
注意事項
- オンプレミスのActive DirectoryとOneLoginをディレクトリ連携させる場合とは異なり、現在のところEntra IDの資格情報を利用したOneLoginへのログインはサポートしておりません。OneLoginへのログインにおいては、OneLoginがパスワードをはじめとするすべての認証を管理します
ただしTrusted IdP（=TIDP）機能を併用することで、OneLoginの認証をEntra IDにSAML2.0を利用して委任することは可能です。TIDPの設定手順は ユーザー認証をMicrosoft Entra IDに委任するTrusted IdP設定手順 をご参照ください。TIDPの設定支援は有償のプロフェッショナルサポートサービスとなります - OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかをご契約のお客様で、OneLogin からMicrosoft 365へのユーザープロビジョニング設定をされているお客様は、双方向に同期処理が発生し競合する可能性がございますので本設定はお控えください
前提条件
- OneLoginのライセンスプラン が SSO（1ディレクトリまで）, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- 連携対象となるEntra IDテナントの ユーザー管理者 または アプリケーション管理者 以上の権限を持つアカウントを所有していること
ディレクトリ連携の設定
1. Entra ID側の操作
- Microsoft Entra 管理センターにテナントの管理者でサインインします
- Entra ID > ⓘ 概要 に移動し、テナント ID をクリップボードへコピーします
2. OneLogin側の設定
- OneLoginに管理者でログインし、管理 を開きます
- Users > Directories を開きます
- ［New Directory］をクリックします
-
Microsoft Entra ID の［Choose］をクリックします
- 任意のディレクトリ名を入力し、［Save］をクリックします
-
Microsoft Entra ID Tenant ID に 1. Entra ID側の操作の手順2 で取得した テナント ID を貼り付け、［Save］をクリックします
- ［Authorize］をクリックします
- 組織のサインイン ページに移動するので、Entra IDテナントの管理者でサインインします
-
Directory successfully authorized! と表示されたことを確認します
-
Directory Attributes タブに移動し、以下の対応関係になっている行の delete をクリックします
Directory Field OneLogin Field mail email
-
User Matching において、以下のような対応関係になるように変更します
Directory Field OneLogin Field userPrincipalName emailやusernameなど
-
Attribute Mapping において、以下のような対応関係になるように変更し、［Save］をクリックします
Directory Field OneLogin Field userPrincipalName emailやusernameなど
3. ユーザーの手動同期
- OneLoginに管理者でログインし、管理 を開きます
- Users > Directories を開きます
-
2. OneLogin側の設定の手順5 で作成したディレクトリを選択します
- More Actions > Synchronize Users をクリックします
-
Directory Synchronization has started と表示され、ユーザーの同期が開始されたことを確認します
* 標準では6時間ごとに自動同期が行われますが、リアルタイム同期を有効にすることで即時反映が可能です。設定方法は 4. リアルタイム同期 をご参照ください。
4. リアルタイム同期
Microsoft Entra IDからOneLoginへユーザーを同期する標準の間隔は6時間ですが、本設定を行うことでリアルタイムでユーザーを同期することができます。
- OneLoginに管理者でログインし、管理 を開きます
- Users > Directories を開きます
-
2. OneLogin側の設定の手順5 で作成したディレクトリを選択します
-
Enable real-time updates にチェックを入れ、［Save］をクリックします
5. ユーザーの招待
本連携ではAPI経由でEntra IDのユーザー情報を取得しますが、パスワード情報は含まれないため、同期されたユーザーがOneLoginへログインするには管理者側でパスワードを付与する必要があります。
同期ユーザーにパスワードを付与するには、OneLogin管理者が招待メールを送信してユーザー自身に登録してもらう方法と、管理者が直接パスワードを設定する方法の2種類があります。
詳細は以下の記事をご参照ください。
ディレクトリ連携の設定は以上です。
トラブルシュート
同期したアカウントからOneLoginにログインできない
- ログインする際のユーザー名には、ご自身のメールアドレスを入力してください
- Entra ID上の同期対象ユーザーのIDには表示名、ユーザープリンシパル名だけではなく 名、姓 も登録してください
OneLoginのDirectoriesで表示される左側のユーザーの数が0人となっている
- Entra ID連携ではEntra ID側でユーザー認証を行わないため、左側のEntra IDで認証するユーザー数は「0」と表示されます。実際の同期ユーザー数は右側の数値をご確認ください