本記事では、OneLogin（IdP）から Google Workspace（SP）へのユーザープロビジョニングの設定手順をご案内します。前提条件、プロビジョニングの有効化、チームの割り当て、動作確認、プロビジョニングの自動化および無効化までの各操作をご説明します。
OneLogin から Google Workspace へのユーザープロビジョニング導入により、従業員の入社・退社手続きの自動化、アプリケーションを横断したユーザー管理の効率化を実現し、セキュリティの強化とコスト削減に貢献します。
目次
前提条件
- OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Google Workspaceをご契約であること（すべてのプランが対象です）
- Google Workspace における 特権管理者権限 をお持ちであること
注意事項
- Google Workspaceのトライアルアカウントの場合はプロビジョニングが出来ません
- Google Workspaceのライセンス数が不足している場合のユーザープロビジョニング
Google Workspaceのライセンス数が不足している場合の挙動はGoogle Workspaceの設定や購入方法により異なります。（*ペンティオ株式会社で確認している限り）- 直販（Googleからクレジットカード支払いでの購入の場合）
- 自動購入を設定している場合
購入済みのサブスクリプションのユーザー数が不足している場合には、プロビジョニングすると自動で追加購入されます - 自動購入を設定していない場合
購入済みのサブスクリプションの範囲だけでアクティベートされます
- 自動購入を設定している場合
- 代理店（代理店から購入している場合）
- ユーザープロビジョニングの際にGoogleのどのライセンスが付与されるかはGoogle Workspaceの設定や契約方法に依存しますので、詳細はGoogleまたはGoogleの販売パートナーへお問い合わせください
- 直販（Googleからクレジットカード支払いでの購入の場合）
ユーザープロビジョニングの設定
- OneLoginに管理者でログインし、管理 を開きます
- Applications > Applications を開きます
- ［Add App］をクリックします
-
G Suite と検索し、該当コネクタを選択します
- ［Save］をクリックします
- Configuration > Application details > Domain に Google Workspace のプライマリドメイン名を入力します
例：onelogin.jp
- Configuration > API Connection > G suite OAuth の［Authenticate］をクリックしてAPI接続を行います
-
G Suite をクリックします
- Google Workspaceアカウント選択画面が表示されるので、SAML連携する環境の管理者アカウントを選択します
-
OneLogin.comがGoogleアカウントへのアクセスをリクエストしています という確認画面が表示されます。確認して［許可］をクリックします
- Access > RolesでGoogle Workspaceを割り当てるロールを選択し、［Save］します
*現在、OneLoginにログインしている管理者アカウントがロールに含まれていることを確認してください
- Provisioning > Workflowの Enable provisioning にチェックを入れます
- プロビジョニングする際に、管理者に承認をとるかどうかを選択します
Provisioning > Require admin approval before this action is performed で必要に応じてチェックを入れてください
例）Create User にチェックを入れると、OneLoginで新しくユーザーが作成された際、プロビジョニングでGoogle Workspaceにも自動で新規ユーザーを作成するには、管理者の承認が必要になります
(参照：参考)
*ペンティオでは、初回設定時のみチェックを入れて、設定完了後はチェックを入れないことをオススメします
-
Provisioning > When users are deleted in OneLogin… で、OneLogin側でユーザーが削除もしくはロールから外された際の、Google Workspace側でのアカウントの動作を選択します
*削除するアカウントのデータ移行を行う場合などは［Suspend］を選択し、OneLoginで削除されたユーザーのGoogle Workspaceアカウントは残しておくことをおすすめします。プルダウンから選択 Google Workspace側でのアカウントの動作 Delete 自動でアカウントを削除 Do Nothing アカウントに対し何もしない Suspend 自動でアカウントの停止
-
Provisioning > When user accounts are suspended in OneLogin... でOneLogin側でユーザーが停止された時の、Google Workspace側での動作を選択します
プルダウンから選択 Google Workspace側でのアカウントの動作 Do Nothing アカウントに対し何もしない Suspend 自動でアカウントの停止
- Configuration > Application detailsの Provision Entitlements にチェックして［Save］します
手順13においてチェックを入れていないお客様は手順17と手順18は飛ばしてください。
-
Userタブを開き、プロビジョニングを開始します
・Google Workspace に存在しないユーザーを、プロビジョニングによって自動生成する方法1. 手順13において、プロビジョニングの実行に管理者の承認が必要な設定をしている場合、ユーザーは Pending ステータスになります
※デフォルトでは、ユーザーにGoogle Workspaceのライセンスは付与されません
2. プロビジョニングを承認するにはユーザー名をクリックして［Approve］をクリックします
3. 以下のように、Provisioning State が ✅ Provisioned となったことを確認します
4. Google Workspace側で、ユーザーが自動で生成されていれば、プロビジョニングは成功です・Google Workspace に存在するユーザーを、プロビジョニングによってOneLoginと連携する方法
1. 手順13において、プロビジョニングの実行に管理者の承認が必要な設定をしている場合、ユーザーは Pending ステータスになります
※この紐付けは、Google WorkspaceのユーザーのメールアドレスとOneLogin側のユーザーの Email の一致によって行われています。メールアドレスとEmailが一致していることを確認してから、プロビジョニングを行ってください
2. プロビジョニングを承認するにはユーザー名をクリックして［Approve］をクリックします
3. 以下のように、Provisioning State が ✅ Provisioned となったことを確認しますユーザープロビジョニングの設定は以上です。
（参考）
手順13で設定したProvisioning > Require admin before the action in performed のチェック欄では、全てのチェックを外すことを弊社では推奨しております。チェックが入っている項目に関して、ユーザープロビジョニングをする際に 管理者の承認 という1ステップが入るため、管理者が承認するのを忘れていると、プロビジョニングが実行されずユーザーがSSOできないといった問題が発生します。そのため、このチェックを外すことで、管理者の承認がなくてもユーザープロビジョニングを行えるようにすることを推奨しております。
※OneLogin側でユーザーを削除した際に、Google Workspace側のユーザーも自動で削除されてしまうのを防ぐために、Delete User だけにチェックを入れることで、アカウント削除の際に管理者の承認を求めるようにする場合もあります。
ユーザープロビジョニングの無効化
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ご利用中の Google Workspace を検索し、該当コネクタを選択します
- Provisioning > Workflowの Enable provisioning のチェックを外します
- チェックボックスが外れていることを確認してから［Save］します
- 成功のバナーが表示されればプロビジョニング解除完了です
補足
-
SAML連携前のロール選択にご注意ください
SAML連携の設定の手順12でロールを割り当てる際に、Google Workspaceのユーザーも含まれるロールを設定した場合、Google Workspaceのアカウントを持たないユーザーのOneLoginのポータルページにGoogle Workspaceのアプリアイコンが表示されますので、ご注意ください。
ロールが割りあたっているため、下画像の様にアプリアイコンが表示されます。
Google Workspaceをクリックすると、下記のようなエラーが発生します
Google Workspaceのアプリアイコンをポータルサイトにおいて非表示にします
Google Workspaceの管理画面を開きます
Info > Portal > Visible in portal を変更します
Visible in portal が赤色に変わったら、［Save］します
以上の手順でポータルサイトでアプリのアイコンが非表示になります
ポータルサイトを開いて、アプリアイコンが非表示になったことを確認します
＃トラブルシュート
- ［Pending］をクリックした際、Failed と表示される
［Pending］をクリックした際、Failed と表示された場合、プロビジョニングが何らかの原因で失敗していることになります。［Failed］をクリックすることで、原因が表示されますので、原因をもとにパラメータなどをご確認ください