本記事では、OneLoginからGoogle Workspaceへのユーザープロビジョニングの設定手順をご案内します。前提条件や注意事項をはじめ、連携設定の有効化・無効化手順、エラー発生時のトラブルシューティングまでを解説します。
OneLogin から Google Workspace へのユーザープロビジョニング導入により、従業員の入社・退社手続きの自動化、アプリケーションを横断したユーザー管理の効率化を実現し、セキュリティの強化とコスト削減に貢献します。
目次
前提条件
- OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Google Workspace をご契約中であること（すべてのプランが対象です）
- Google Workspace における 特権管理者権限 をお持ちであること
- OneLogin と Google WorkspaceとのSAML認証設定が済んでいること
注意事項
- Google Workspaceのトライアルアカウントの場合はプロビジョニングができません
- Google Workspaceのライセンス数が不足している場合のユーザープロビジョニング
Google Workspaceのライセンス数が不足している場合の挙動はGoogle Workspaceの設定や購入方法により異なります。（*ペンティオで確認している限り）- 直販（Googleからクレジットカード支払いでの購入の場合）
- 自動購入を設定している場合
購入済みのサブスクリプションのユーザー数が不足している場合には、プロビジョニングすると自動で追加購入されます - 自動購入を設定していない場合
購入済みのサブスクリプションの範囲だけでアクティベートされます
- 自動購入を設定している場合
- 代理店（代理店から購入している場合）
- ユーザープロビジョニングの際にGoogleのどのライセンスが付与されるかはGoogle Workspaceの設定や契約方法に依存しますので、詳細はGoogleまたはGoogleの販売パートナーへお問い合わせください
- 直販（Googleからクレジットカード支払いでの購入の場合）
ユーザープロビジョニングの設定
- OneLoginに管理者でログインし、管理 を開きます
- Applications > Applications を開きます
- ［Add App］をクリックします
-
Google Workspace - SSO Profiles と検索し、該当コネクタを選択します
- ［Save］をクリックします
-
Configuration タブに移動し、API Connection の［Authenticate］をクリックしてAPI接続を行います
-
Google Workspace - SSO Profiles をクリックします
- Googleのログイン画面に遷移しますので、Google Workspaceの 特権管理者 のメールアドレスまたは電話番号を入力します
- ［次へ］をクリックします
-
特権管理者 のパスワードを入力します
- ［次へ］をクリックします
- OneLoginがお客様のGoogle Workspaceテナントに対して、下記のアクセスを行うことを承認するために［続行］をクリックします
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択します
* 現在、OneLoginにログインしている管理者アカウントがロールに含まれていることを確認してください
-
Provisioning タブに移動し、 Workflow の Enable provisioning にチェックを入れます
-
プロビジョニング実行時に管理者承認を必須とするかどうかを設定します
Require admin approval before this action is performed で必要に応じてチェックを入れてくださいチェックボックス項目 Google Workspace側でのアカウントの動作 Create user ユーザーを作成 Delete user ユーザーを削除 Update user ユーザーを更新 Create user にチェックを入れると、OneLoginで新規ユーザーが作成された際、Google Workspaceにアカウントが自動作成される前に管理者の承認が必要になります。
承認ステップを挟むと、承認待ちによるプロビジョニング遅延やSSO不可の原因となるため、特別な運用要件がない限りはチェックを外して自動連携させる運用を推奨します。
* アカウントの誤削除を防ぐ目的で、Delete user のみにチェックを入れて削除時のみ管理者承認を必須とする運用もあります
-
When users are deleted in OneLogin… で、OneLogin側でユーザーが削除もしくはロールから外された際の、Google Workspace側でのアカウントの動作を選択します
*削除するアカウントのデータ移行を行う場合などは Suspend を選択し、OneLoginで削除されたユーザーのGoogle Workspaceアカウントは残しておくことを推奨しますプルダウンから選択 Google Workspace側でのアカウントの動作 Delete アカウントを削除 Suspend アカウントを停止 Do Nothing アカウントに対し何もしない
-
When user accounts are suspended in OneLogin... でOneLogin側でユーザーが停止された時の、Google Workspace側での動作を選択します
プルダウンから選択 Google Workspace側でのアカウントの動作 Do Nothing アカウントに対し何もしない Suspend アカウントを停止
-
Configuration タブに移動し、Application details の Provision Entitlements にチェックして［Save］をクリックします
-
Users タブに移動し、管理者承認が必要な場合、 Pending をクリックします
* デフォルトでは、ユーザーにGoogle Workspaceのライセンスは付与されません
* OneLoginユーザーと既存のGoogle Workspaceユーザーの紐付けは、Emailの一致によって行われています。両サービス間のメールアドレスが一致していることをご確認ください
- ［Approve］をクリックします
-
Provisioning State が Provisioned となったことを確認します
ユーザープロビジョニングの設定は以上です。
ユーザープロビジョニングの無効化
- OneLoginに管理者でログインし、管理 を開きます
- Applications > Applications を開きます
- ご利用中の Google Workspace - SSO Profiles を検索し、該当コネクタを選択します
-
Provisioning タブに移動し、Workflow の Enable provisioning のチェックを外します
- チェックボックスが外れていることを確認し、［Save］をクリックします
ユーザープロビジョニングの無効化は以上です。
トラブルシューティング
- Provisioning Stateが Failed と表示される
Failed と表示された場合は、プロビジョニングの処理に失敗しています。Failed をクリックすることで、エラー原因（Reason）が表示されます。その内容を確認し、連携パラメータや設定値を修正してください。
* 以下のように API 接続が切れている場合は、Configuration> API Connectionの［Authenticate］をクリックして API 接続の再認証を行ってください