本記事では、OneLogin（IdP）から Google Workspace（SP）へのグループプロビジョニングの設定手順をご案内します。
OneLogin から Google Workspace へのグループプロビジョニング導入により、従業員の入社・退社手続きの自動化、アプリケーションを横断したユーザー管理の効率化を実現し、セキュリティの強化とコスト削減に貢献します。
*事前に Google Workspace - ユーザープロビジョニング が設定済みである必要がございます。
目次
注意すべきこと
- Google Workspaceにおいて、Groupの変更などユーザー情報を変更した場合、GUIの画面上に反映されるまでに約24時間かかる場合があることに注意してください。
- Groupのプロビジョニングをしている場合に、Google Workspaceの管理コンソール上で、絶対に手作業でGroupの所属情報を変更しないでください。変更した場合は回復不能なコンフリクトを起こす可能性があります。
Google Workspace上に存在するグループにユーザーを追加する
本ドキュメントでは、例としてGoogle Workspace上の 第一営業部 というグループに Test User1 というOneLogin上のユーザーを追加します。第一営業部 というグループは今からユーザーを追加するためユーザーは所属していません
❐Google Workspace上の 第一営業部 というグループのメンバー一覧
❐OneLogin上のGoogle Workspaceアプリのユーザー一覧（Test User1）
- Google内の組織やGroupに関する最新情報を取得するために、Provisioning > Entitlementsの ［Refresh］ をクリックします
- Parameters > Optional ParametersでGroupsが Disabled になっていることを確認し、Disable をクリックします
- プロビジョニングにおいてGroupをParameterとして使用するために Include in User Provisioning にチェックを入れ、［Save］します
- Parameters > Groupsが ✔Enabled になっていることを確認します
- Groupに関する条件を設定します
Rules > ［Add Rule］をクリックします
- New mappingというポップアップが表示されますので、項目設定します
・Name：Ruleの名前をつけます（例：第一営業部）
- Conditionsを設定します
ConditionsとはRuleをどのユーザーに割り当てるのかをRoleやEmailを用いて設定する項目です
例えば、第一営業部というRoleのユーザーに割り当てる場合は、下記のように設定します
＊Conditionsを設定しない場合は全ユーザーにRuleが適用されます
1. 一番左の項目で、何を用いてユーザーを指定するのかを選択します
今回の場合はロールを用いてユーザーを指定したいので、Roles を選択します
2. 真ん中の項目で include か do not include を選択します
今回の場合は、 include を選択します
3. 一番右の項目で対象のロールを選択します
今回の場合は 第一営業部 を選択します
以上でConditionsの設定は完了です
- Actionsを設定します
Actions : Conditionsで選択したユーザーを、どのグループに追加するかを選択する項目です
- Actionsの左上の項目で Set Groups in GoogleWorkspace を選択します
- Actionsの右上の項目で From Existing にチェックを入れます
- Actionsの左下の項目で、ユーザーを追加するグループを選択します
今回の場合は、第一営業部を選択します
- ［Add］をクリックします
以上でActionsの設定は完了です
- Actionsの左上の項目で Set Groups in GoogleWorkspace を選択します
- グループが追加されたことを確認し、［Save］します
- Ruleが作成されたことを確認し［Save］します
以上でRuleの作成は完了です
- More Actions > ［Reapply entitlement mappings］をクリックします
- ［OK］をクリックします
- Provisioning > WorkflowのUpdate userにチェックが入っている場合はUsersを開きます
チェックが入っていない場合は手順16を参照してください
- Users > user > Provisioning Stateが Pending になっていることを確認し、［Pending］をクリックします
- ［Approve］をクリックします
- Provisioning Stateが Provisioned に変わったら［Save］します
- Google Workspaceの第一営業部のページにTest User1が追加されていることを確認します
以上で、Google Workspace上に存在するグループにユーザーを追加する作業は完了です
＃Google Workspace上にグループを作成し、ユーザーを追加する
ここでは例として、Google Workspace上に development, sales, planning 3つのグループをOneLoginを用いて新規作成し、Rulesを用いて、developmentに 田中 太郎 , Salesに 山田 花子 , planningに 永田 一郎 を追加します。
❐Google Workspace上のグループ一覧（現時点では、development, sales, planning は存在していない）
- OneLoginで、GoogleWS_{GoogleWS上に作成したいグループの名前} というロールを作成します今回は development, sales, planning の3グループを作成するため、作成するのは GoogleWS_development, GoogleWS_sales, GoogleWS_planning となります
- 手順1で作成したロールにユーザーを割り当てます。今回は、田中 太郎に GoogleWS_development、山田 花子に GoogleWS_sales、永田 一郎に GoogleWS_planning を割り当てます
- Google内の組織やGroupに関する最新情報を取得するために、Provisioning > Entitlementsの ［Refresh］ をクリックします
- Parameters > Optional ParametersでGroupsが Disabled になっていることを確認します
［Disabled］ をクリックします
- プロビジョニングにおいてGroupをParameterとして使用するために Include in User Provisioning にチェックを入れ、［Save］します
- Parameters > Groupsが ✔Enabled になっていることを確認します
- Groupに関する条件を設定します
Rules > ［Add Rule］をクリックします
- New mappingというポップアップが表示されますので、項目設定します
・Name：Ruleの名前をつけます（例：GoogleWS Groups）
- Conditionsを設定します
Conditions : Ruleを割り当てるユーザーの設定です
今回の場合は、GoogleWS_development, GoogleWS_sales, GoogleWS_planningの3つのロールに所属するユーザーを割り当てます
＊Conditionsを設定しない場合は全ユーザーにRuleが適用されます
- 一番左の項目で、何を用いてユーザーを指定するのかを選択します
今回の場合はロールを用いてユーザーを指定したいので、Roles を選択します
- 真ん中の項目で include か do not include を選択します
今回の場合は、 include を選択します
- 一番右の項目で対象のロールを選択します
今回の場合はまず、 GoogleWS_development を選択します
- GoogleWS_sales, GoogleWS_planning についても、手順1~3と同様に設定します
- Match all/any of the following conditions で、any を選択します
all : Conditionsの全てを満たすユーザーを割り当てる
any : Conditionsのうちいずれかを満たすユーザーを割り当てる
- 一番左の項目で、何を用いてユーザーを指定するのかを選択します
- Actionsを設定します
Actionsでは、Conditionsで割り当てられたユーザーに対して行う処理を設定します。今回は、Conditionsで選択したユーザーに割り当てるグループを設定します。例えば、各ロールの GoogleWS_ 以降の名前のグループにユーザーを割り当てる場合、下記のように設定します
- Actionsの一番左上の項目でGoogle Workspace上に何を設定するのかを決めます
今回はグループを設定するため、 Set Groups in Google Workspace を選択します
- OneLoginの情報に基づいてグループを作成するため、Map from OneLogin を選択します
- For each 以降は、Conditionsで割り当てられたユーザーのどの要素に基づいてグループを設定するかを定めます
今回はロールを使用するので、role を選択します
- matches 以降は、正規表現を使用して手順3で選択した要素の内容を指定します。ここで指定する内容が、Google Workspace上のグループ名となります
今回は、ロール名の GoogleWS_ 以降である、development, sales, planning をグループ名とするので、GoogleWS_([^,]+) と指定します
※ GoogleWS_([^,]+) と記入することにより、Conditionsで指定したGoogleWS_development, GoogleWS_sales, GoogleWS_planningという3つのロールの、development, sales, planningという部分を取り出しています
- Actionsの一番左上の項目でGoogle Workspace上に何を設定するのかを決めます
- 設定が完了したら、［Save］します
- Ruleが作成されたことを確認し、［Save］します
以上でRuleの作成は完了です
- More Actions > ［Reapply entitlement mappings］をクリックします
- ［OK］をクリックします
- Provisioning > WorkflowのUpdate userにチェックが入っているかを確認します
チェックが入っていない場合は手順18を参照してください
- Users > user > Provisioning Stateが Pending になっていることを確認し、［Pending］をクリックします
- Groupsが指定のグループになっていることを確認し、［Approve］をクリックします
※ ［Bulk approve ~ pending logins for the same app］ をクリックすると、全てのユーザーに対して Approveすることができます
- Provisioning Stateが Provisioned に変わったら［Save］します
- Google Workspaceの管理コンソールを開きます
development, sales, planning というグループが作成され、 田中 太郎, 山田 花子, 永田 一郎 というユーザーが追加されていることを確認します
❐Google Workspace上のグループ一覧
❐Google Workspace上のグループ（development）のユーザー情報
❐Google Workspace上のグループ（sales）のユーザー情報
❐Google Workspace上のグループ（planning）のユーザー情報