本記事では、ディレクトリ連携を使用して、Microsoft Entra ID（旧Azure AD）からOneLoginへのユーザー同期する手順をご案内します。同期はAPI接続により6時間ごとに自動実行され、手動での同期やユーザーの招待方法もご説明します。
本機能を利用すると、従来Entra IDに登録されていたユーザーを OneLogin に同期するために必要となっていたオンプレミスのActive DirectoryとEntra ID Connectを利用した構成が不要となり、純粋なCloud to Cloudのディレクトリ連携が可能となります。
目次
注意事項
- オンプレミスのActive DirectoryとOneLoginをディレクトリ連携させる場合とは異なり、現在のところEntra IDの資格情報を利用したOneLoginへのログインはサポートしておりません。OneLoginへのログインは、OneLoginがパスワードほかすべての認証を管理します
ただしTrusted IdP（=TIDP）機能を併用することで、OneLoginの認証をEntra IDにSAML2.0を利用して委任することは可能です。TIDPの設定手順は ユーザー認証をMicrosoft Entra IDに委任するTrusted IdP設定手順 を参照ください。TIDPの設定支援は有償のプロフェッショナルサポートサービスとなります - OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかをご契約のお客様で、OneLogin からMicrosoft 365へのユーザープロビジョニング設定をされているユーザー様は、双方向に同期処理が発生し競合する可能性がございますので本設定はお控えください
前提条件
- OneLoginのライセンスプラン が SSO（1ディレクトリまで）, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- 連携対象となるEntra IDテナントの ユーザー管理者 または アプリケーション管理者 以上の権限を持つアカウントを所有していること
ディレクトリ連携の設定
1. Entra ID側の操作
- Microsoft Entra 管理センターにテナントの管理者でサインインします
- Entra ID > ⓘ 概要 に移動し、テナント ID をクリップボードへコピーします
2. OneLogin側の設定
- OneLoginに管理者でログインし、管理 を開きます
- Users > Directories を開きます
- ［New Directory］をクリックします
-
Microsoft Entra ID の［Choose］をクリックします
- 任意のディレクトリ名を入力し、［Save］をクリックします
-
Microsoft Entra ID Tenant ID に 1. Entra ID側の操作 で取得した テナント ID を貼り付け、［Save］をクリックします
- ［Authorize］をクリックします
- 組織のサインイン ページに移動するので、Entra IDテナントの管理者でサインインします
-
組織の代理として同意する にチェックを入れ、［承諾］をクリックします
-
Directory successfully authorized! と表示されることを確認します
-
Directory Attributes タブに移動し、以下のような対応関係になるように変更し［Save］をクリックします
Directory Field OneLogin Field userPrincipleName emailやusernameなど
3. ユーザーの手動同期
［User］>［Directories］より、連携したディレクトリを選択して詳細画面を開き、右上の［More Actions］>［Synchronize Users］を選択して同期を行えます。
*現在の仕様では、ユーザー同期は6時間ごとに自動的に行われますが、今後のアップデートによりユーザーのリアルタイム同期が可能となります。
4. ユーザーの招待
本連携方法は、OneLoginがAPIによりEntra IDのユーザー情報を取得するものですが、APIが提供するユーザー情報にはパスワードが含まれないため、ユーザーがOneLoginにサインインするには追加されたユーザーに管理者側でパスワードを付与する必要があります。
同期ユーザーにパスワードを付与するには、OneLogin管理者が招待メールをユーザーの登録メールアドレスに送信してユーザーがパスワードを登録する、もしくは、OneLogin管理者がユーザーのパスワードを直接設定します。
詳細は以下の記事をご参照ください。
ディレクトリ連携の設定は以上です。
トラブルシュート
- 同期したアカウントからOneLoginにログインできない
→ログインする際のユーザー名はテナントのメールアドレスを入力してください
→Entra ID上の同期対象ユーザーのIDには「名前」、「ユーザープリンシパル名」だけではなく「名」、「姓」も登録してください - OneLoginの［Directories］で表示される左側のユーザーの数が0人となっている
→Entra ID連携では、ユーザー認証をAD側は担わず、左側のユーザーの数はADで認証するユーザーの数を表示しているため、「0」となります