FX取引高 世界第1位 GMOクリック証券 GMO

Active Directory連携

 

目次: 

1.Active Directory連携機能の概要

2.AD連携機能のメイン機能について

2-1)SKUIDユーザーの管理

①自動登録・自動無効化(仮削除)

②SKUIDグループの所属の制御

③ユーザー属性更新

④同期タイミングについて

⑤ユーザーの情報源について

2-2)SKUIDへのログイン

2-3)AD連携機能が一番発揮できる環境について

3.システムの仕組みについて

3-1)インストールするソフトウェアについて

3-2)インストール方法

①インストール前の確認・準備

②インストール手順 

③アンインストール手順

3-3)ユーザー同期設定

3-4)コネクターのログの確認

4.最後に

 

  

       

1.Active Directory連携機能の概要

 

お客様のActive Directory(以降AD)のユーザーデータを活用し、SKUIDユーザーの管理(作成、更新、無効化、SKUIDグループへの所属制御)が簡単に行える機能です。

また、ADのメールアドレスとパスワードでSKUIDにログインできる機能をあわせてご提供しています。

 AD に新規ユーザーが登録された際、または無効となった際に、SKUIDにこの情報が自動的に同期されますので、SKUID運用、ID管理の手間を大きく削減できます。

 

2.AD連携機能のメイン機能について

 

2-1)SKUIDユーザーの管理

①自動登録・自動無効化(仮削除)

AD側のユーザーが同期条件に該当したときに、SKUID側にこのユーザーが自動的に登録され、ユーザーがメールアドレスの確認を行うとすぐにSKUIDの利用ができるようになります。

同期条件を柔軟に指定が可能で、段階的にユーザー登録することが可能です。詳しくは、「ユーザー同期条件について」をご参照ください。

  • 同期条件に該当していたAD側のユーザーが、この条件に該当しなくなったとき、また、AD上で無効になると、SKUID上で対象ユーザーのSKUID利用ステータスが自動で「停止」になり、直ちにSKUIDの利用ができなくなります。
  • AD側でユーザーオブジェクトが無効にされずに物理的に削除されると、この処理の検知が行えず、SKUID上でユーザーのステータスが「停止」になりませんので、SKUID上でユーザーのステータスを「停止」とするためには、まずAD上でユーザーを無効にしていただく必要があります。(「停止」になったユーザーを削除する機能は近日リリース予定)

 

既存のSKUIDユーザーとADユーザーの紐づけについて

AD連携機能を導入する前に手動やCSVアップロードによって登録されたユーザーとAD側のユーザーの紐づけも可能です。既存のSKUIDユーザーと同期対象のADユーザーのメールアドレスが一致していれば、自動的に紐づけが行われます。既存のユーザーが同期対象のADユーザーに含まれていない場合、ADと紐づけされず今までのままの扱いが可能です(※)。

  • AD連携機能が導入されていても、手動またCSVアップロードによりADと紐づけのないのユーザーの作成が可能です。
  • ADとの初回同期時にAD内にあるメールアドレスのユーザーがすでにSKUIDにいた場合、ADのパスワード、または、もともと設定されていたSKUIDのパスワード両方でログインできる状態となります。SKUIDのパスワードを外したい場合には、パスワード認証のリストから対象ユーザーを外してください。

 

登録されたユーザーのメールアドレスの確認と招待処理について

AD連携機能によって登録されたユーザーにメールアドレスの確認とSKUIDへの招待という2つの目的で招待メールを送信する必要がありますが、送信タイミングは以下の2つから選べます。

  • 同期する時点でメールを送信する
  • 同期する時点ではメールを送信せず、任意のタイミングで管理者が管理者画面から未招待のユーザーへメールを送信する

 

 

「今はメンバーに招待メールを送信しない」をご選択された場合の招待メール送信方法

招待メールを送信する際は、管理ページの「 メンバー > ユーザー名 」から、「招待メール再送」をクリックし、招待メールを送信します。

 複数メンバーへまとめて招待メールを送信する際は、管理ページの「メンバー」のリストから「未招待」で抽出し、対象メンバーのチェックボックスをチェックします。下に表示される「招待メール送信」をクリックすること招待メールが送信されます。 

 

②SKUIDグループの所属の制御

同期条件でADのセキュリティグループとSKUIDグループの紐づけを行うことで、ユーザーのSKUIDグループへの所属の制御ができます。AD側でユーザーがセキュリティグループに所属すると、自動的に紐づけ先のSKUIDグループ内に登録されます。また、AD側のセキュリティグループから外されたとき、SKUID上でも紐づけ先のグループを外れます(※)。

  • この際、SKUIDグループに割り当てられていたアプリのご利用ができなくなり、このアプリに設定していたクレデンシャルの情報が削除されますので、ご注意ください。

 

③ユーザー属性更新

AD側でユーザーオブジェクトの属性が変わった場合、SKUID上にも該当する属性が更新されます。更新対象の項目は以下の通りになります。

姓、名、メールアドレス、部署、電話番号、郵便番号、都道府県、市区町村、番地

 

④同期タイミングについて

自動登録・自動無効化(仮削除)、SKUIDグループの所属制御、ユーザー属性更新の処理は、リアルタイムではありません。数十分から数時間程度かかりますのであらかじめご承知おきください(時間は設定によって異なります)。

 

⑤ユーザーの情報源について

AD連携機能によって登録されたユーザー、またADと紐づけされたユーザーについて、AD側の情報がマスタになり、SKUIDでこのユーザーの以下の制御が不可になります。

  • 属性変更
  • 無効化・削除
  • SKUIDグループへの所属制御

上記の制御が必要な場合、AD側の情報の更新、グループへの所属制御の場合には同期設定の更新をお願いします。

 

2-2)SKUIDへのログイン

AD連携がしているユーザーは、ADのメールアドレスとADのパスワードを利用して、SKUIDにログインができます。

ADのパスワードはSKUIDで一切保存されません。毎回ログイン時にADに認証の問い合わせを行いますので、常に現行のADパスワードでのログインとなります。

SKUIDパスワードの設定について

ADパスワードによるログイン以外、別途SKUIDパスワードの設定も可能です。お客様の ADに接続ができなくなったときに、SKUIDにログインができないことを防ぐためです。通常、管理者だけがSKUIDパスワードとADパスワード両方の認証を可能にし、一般のユーザーはADパスワードの認証だけを許可し、運用するのがおすすめのやり方ですが、ADのパスワードでログインができなくなった場合などには、すべてのユーザーにSKUIDパスワードの設定を許可することができます。

ユーザーにSKUIDパスワードを許可した際、ユーザーのメールアドレス宛にSKUIDパスワード設定案内メールが送信されます。

手動やCSVアップロード、AD連携機能によって、ユーザーが登録されるタイミングでSKUIDパスワードを割り当てて、設定案内メールを自動送信するか、SKUIDパスワードを割り当てしないか設定が可能です。 

 

2-3)AD連携機能が一番発揮できる環境について

AD連携機能はお客様のAD環境の情報に依存しています。以下の条件が揃っているとAD連携機能の設定や利用がもっともスムーズになります。

  • 同期対象のすべてのユーザーにファストネーム、ラストネーム、メールアドレスが同じ属性として設定されている
  • 同じメールアドレスが設定されているユーザーは2つ以上存在しない
  • ユーザーが所属部署に応じてセキュリティグループに参加している(※)
    • 現在、セキュリティグループ単位のみで同期条件の設定が可能ですが、OU単位で連携する機能をリリースする予定です。ご希望のお客さまは弊社営業窓口までご連絡ください。

 

.システムの仕組みについて

 

お客様にとって、最も手間がかからない導入と運用の方法を目的とし、AD連携機能の設計・実装をしています。SKUIDのAD連携機能の特徴は以下の通りです。

  • お客様の環境に外部から接続をしない。
  • AD に対して読み込みだけを行い、書き込みは一切行わない。管理者の権限も不要。
  • 導入するのに、特殊な知識やソフトウェアは不要(ADの管理者が数時間以内に導入できる前提)

 

3-1)インストールするソフトウェアについて

AD連携機能を実現するために、お客様の環境に弊社開発のコネクターをインストールし、弊社への環境に接続を許可する必要があります。

インストールする環境についての注意事項

  • 対象のOSは、Windows Server 2008 R2 / 2012 R2 / 2016(日本語版、英語版とも)。
  • お客様の環境から以下2つのアウトバウンドの接続を可能にする必要があります。
    • プロトコルTCP/DNS a-mq-ad.services.sku.id/ポート5671
    • プロトコルTCP/DNS b-mq-ad.services.sku.id/ポート5671
  • 現在、プロキシ経由の接続は対応しておりませんので、直接接続が可能な環境でなければなりません。
  • インストール先のPCは、常に稼働しているドメインに参加しているWindowsマシンでなければなりません。ドメインコントローラーのマシンにインストールするのが一般的です。(消費するメモリは256MB未満です。)
  • 設定ブラウザはGoogle Chromeにて進めてください。

 

3-2)インストール方法

①インストール前の確認・準備

セキュリティグループの所属

同期対象のユーザーはセキュリティグループの単位で決まりますので、ユーザーが対象のセキュリティグループに所属していることをご確認ください。同期条件に指定されたセキュリティグループ、またその配下のグループのすべてのユーザーが同期対象になります。

メールアドレスが重複していないこと

同期対象のユーザーの中に同じメールアドレスが設定されているユーザーオブジェクトは2つ以上存在していないことをご確認ください。二つの同じメールアドレスが存在している場合、同期時にエラーとなります。

必須項目

以下の項目は、SKUIDでは必須になっているため、同期対象のユーザーオブジェクトに存在しなければなりません。

姓、名、メールアドレス

LDAPクエリーを実施するADユーザーの作成

コネクターがお客様の環境でLDAPクエリーを実行するときに、ADユーザーとしてクエリーを実行します。ユーザー権限が「読み込み権限」のみのユーザーを作成してください。

   ※ ユーザーを作成の注意事項

  1. 初期パスワードの変更が不要のオプションにする必要があります。
  2. 定期的パスワードの変更が有効にされると、パスワードが変更される都度にSKUID上で同期設定の変更も必要になります。

 

②インストール手順

1.AD連携機能のお申し込み完了後、AD設定が行えるようになります。

管理者画面(設定 > Active Directory連携 > 「設定」ボタン)から

1)コネクター設定ファイル

2)コネクター自体のファイル

をダウンロードします。 

 

2.コネクターのファイルはZIPファイルになっていますので、インストール先のマシンの空白や日本語の文字が入っていないパスに展開します。展開先のディレクトリは以下となります。

 

3.コネクター設定ファイルを展開されたファイルと同じディレクトリにコピーします。

※ コネクター設定ファイルにはSKUIDコネクターが利用するクレデンシャルが含まれています。誰もがアクセスできる場所には置かないなど、お取り扱いには十分ご注意ください。 

 

4.install.batファイルをダブルクリックして、コネクターをインストールします。 

※ *.bat系ファイルがダブルクリックで起動しない場合、インストール先のフォルダーをCMDで開き、対象の*.batファイルを実行してください。 

 

 

5.コネクターはWindows サービスとしてインストールされるので、Services 管理ツールを開いて、「SKUID AD Connector」サービスを開始させます。 

 

6.SKUIDの管理画面からコネクターが正常に接続できたことを確認します。 

※ 数分経っても、コネクター一覧にコネクターの記録が現れない場合、インストール先のPCからプロキシ経由なしで、[a-mq-ad.services.sku.id]と[b-mq-ad.services.sku.id]に[TCPポート5671]で接続が可能なことをご確認ください。そのうえでコネクター一覧にコネクターの情報が表示されない場合、コネクターのインストール先のディレクトリの[logsディレクトリ]を圧縮して、弊社サポート窓口までお問い合わせください。

※ コネクターが10分毎に、ハートビートメッセージを送信しています。10分以上経っても、ハートビートが来ない場合、コネクターのステータスが異常です。

※コネクターの冗長化について

1つのマシンに対し1つのコネクターをインストールできます。冗長構成にする場合は、複数マシンにコネクターを同じ手順でインストールしてください。

 

③アンインストール手順

1.Services 管理ツールを開いて、「SKUID AD Connector」サービスを停止させます。 

 

2.インストール先のディレクトリにあるuninstall.batを実行すると、Windows サービスがアンインストールされます。そのあと、インストール先のディレクトリを削除してください。 

 

3-3)ユーザー同期設定

コネクターをインストールして、接続が確認できた後、ユーザー同期設定が行えます。ユーザー同期設定では、同期対象のADセキュリティグループに加えて、お客様のドメイン、LDAP接続情報、セキュリティグループとSKUIDグループの紐づけの設定が行えます。

 

  1. AD 連携画面を開きます。
  2. ユーザー同期設定を開きます。


  3. 初期状態でユーザー同期設定画面は以下のように表示されます。

 

4.「ドメイン追加」をクリックして、同期設定を行います。

項目名

必須

説明

同期間隔

差分同期が行われる間隔。デフォルトで30分。

ドメイン(お客様のドメインについての基本情報

ドメイン

お客様のドメイン名。例:globalsign.com

ドメインコントローラー

×

お客様の環境にインストールするコネクターがDNSからドメインコントローラーを自動的に選択していますが、具体的にドメインコントローラーを設定したい場合、こちらにご入力ください。

例:dc1.example.com

プロトコル

お客様の環境で利用可能なプロトコル。なお、自己署名証明書を使うLDAPSは利用不可です。

ポート

プロトコルに応じて、ポートを設定します。大抵の場合、デフォルトの389の値で結構です。

読み取り権限のあるADユーザー

このセクションでは、LDAPの接続用のクレデンシャルを設定します

userBase

LDAPクエリーを実施するADユーザーのベース。

例:DC=globalsign,DC=com

userDn

LDAPクエリーを実施するADユーザーの識別名、又はuserPrincipalName。基本的に識別名を指定すれば稼働可能ですが、お客様の環境によって識別名ではなく、userPrincipalNameを指定する必要があります。詳しくは、「コネクターのログの確認」セクションをご覧ください。

・識別名の例:

CN=SKUID User,DC=globalsign,DC=com

・userPrincipalNameの例:

skuid.user@globalsign.com

userPassword

LDAPクエリーを実施するADユーザーのADパスワード

同期条件

このセクションではAD のセキュリティグループとSKUIDグループの紐づけを行います。

名前

同期条件のラベル。適当なわかりやすい値で構いません。

同期元のADドメインユーザーグループ

×

このトグルをONにすると、ドメインすべてのユーザーが同期対象になります。

同期元のADセキュリティグループ

同期対象のADのセキュリティグループです。このグループに所属しているすべてのユーザー、およびこのグループにネストされているグループのすべてのユーザーが同期対象となります。

複数のセキュリティグループの指定が可能です。

同期先のSKUIDグループ

この同期条件で同期対象となったユーザーを所属させるSKUID内のグループを指定します。複数のSKUIDグループの指定が可能です。既存のSKUID内グループからの選択になりますので、事前にSKUIDでグループを設定しておく必要がありますしてください。

同期するAD属性

ADのユーザーオブジェクトの属性とSKUIDのユーザーの属性のマッピングを行います。各項目に対して、複数の属性の設定が可能です。最初の空白ではない値が利用されます。

ユーザーの名に該当するユーザーオブジェクトの属性。例:givenName

ユーザーの姓に該当するユーザーオブジェクトの属性。例:sn

メールアドレス

ユーザーのメールアドレスに該当するユーザーオブジェクトの属性。例:mail

部署

×

ユーザーの部署に該当するユーザーオブジェクトの属性。

電話番号

×

ユーザーの電話番号に該当するユーザーオブジェクトの属性。

郵便番号

×

ユーザーの郵便番号に該当するユーザーオブジェクトの属性。

都道府県

×

ユーザーの都道府県に該当するユーザーオブジェクトの属性。

市区町村

×

ユーザーの市区町村に該当するユーザーオブジェクトの属性。

番地

×

ユーザーの番地に該当するユーザーオブジェクトの属性。

すべての項目を正しく入力した後、保存ボタンをクリックします。そこからユーザーの同期が始まります。同期対象のユーザー数によりますが、同期にはしばらく時間かかります(500ユーザーの場合、1時間ぐらいで完了いたします)。

※注意

同期中に保存ボタンを繰り返し押すと同期に失敗する場合あります。

 

3-4)コネクターのログの確認

ユーザー同期が想定通りに行えていない場合、まずはコネクターのログを確認する必要があります。ログはコネクターのインストール先ディレクトリにあるlogsというディレクトリに保存されています。プログラムのログとなりますので、お客様側で分析が行えない場合には、弊社へお問い合わせください。その際にはログのご提供をお願いしております。

 

※既知のエラーと対応方法

エラー内容:

「ユーザー同期設定」画面で設定を保存し、時間がたってもユーザーの同期が開始されず、かつログに「AcceptSecurityContext error, data 52e」エラーが出力されます。

修正方法:

「ユーザー同期設定」画面の「読み取り権限のあるADユーザー」セクションのuserDn入力欄に、識別名ではなくuserPrincipalName を指定してください。

 

 4.最後に

 

AD連携機能の設定につきましてご不明点等ございましたら、弊社サポートセンターまでお問い合わせください。無料トライアルによる検証の場合には新規ご相談窓口(03-6370-6601)までお問い合わせください。

 

以上

 

Active Directory連携

 

目次: 

1.Active Directory連携機能の概要

2.AD連携機能のメイン機能について

2-1)SKUIDユーザーの管理

①自動登録・自動無効化(仮削除)

②SKUIDグループの所属の制御

③ユーザー属性更新

④同期タイミングについて

⑤ユーザーの情報源について

2-2)SKUIDへのログイン

2-3)AD連携機能が一番発揮できる環境について

3.システムの仕組みについて

3-1)インストールするソフトウェアについて

3-2)インストール方法

①インストール前の確認・準備

②インストール手順 

③アンインストール手順

3-3)ユーザー同期設定

3-4)コネクターのログの確認

4.最後に

 

  

       

1.Active Directory連携機能の概要

 

お客様のActive Directory(以降AD)のユーザーデータを活用し、SKUIDユーザーの管理(作成、更新、無効化、SKUIDグループへの所属制御)が簡単に行える機能です。

また、ADのメールアドレスとパスワードでSKUIDにログインできる機能をあわせてご提供しています。

 AD に新規ユーザーが登録された際、または無効となった際に、SKUIDにこの情報が自動的に同期されますので、SKUID運用、ID管理の手間を大きく削減できます。

 

2.AD連携機能のメイン機能について

 

2-1)SKUIDユーザーの管理

①自動登録・自動無効化(仮削除)

AD側のユーザーが同期条件に該当したときに、SKUID側にこのユーザーが自動的に登録され、ユーザーがメールアドレスの確認を行うとすぐにSKUIDの利用ができるようになります。

同期条件を柔軟に指定が可能で、段階的にユーザー登録することが可能です。詳しくは、「ユーザー同期条件について」をご参照ください。

  • 同期条件に該当していたAD側のユーザーが、この条件に該当しなくなったとき、また、AD上で無効になると、SKUID上で対象ユーザーのSKUID利用ステータスが自動で「停止」になり、直ちにSKUIDの利用ができなくなります。
  • AD側でユーザーオブジェクトが無効にされずに物理的に削除されると、この処理の検知が行えず、SKUID上でユーザーのステータスが「停止」になりませんので、SKUID上でユーザーのステータスを「停止」とするためには、まずAD上でユーザーを無効にしていただく必要があります。(「停止」になったユーザーを削除する機能は近日リリース予定)

 

既存のSKUIDユーザーとADユーザーの紐づけについて

AD連携機能を導入する前に手動やCSVアップロードによって登録されたユーザーとAD側のユーザーの紐づけも可能です。既存のSKUIDユーザーと同期対象のADユーザーのメールアドレスが一致していれば、自動的に紐づけが行われます。既存のユーザーが同期対象のADユーザーに含まれていない場合、ADと紐づけされず今までのままの扱いが可能です(※)。

  • AD連携機能が導入されていても、手動またCSVアップロードによりADと紐づけのないのユーザーの作成が可能です。
  • ADとの初回同期時にAD内にあるメールアドレスのユーザーがすでにSKUIDにいた場合、ADのパスワード、または、もともと設定されていたSKUIDのパスワード両方でログインできる状態となります。SKUIDのパスワードを外したい場合には、パスワード認証のリストから対象ユーザーを外してください。

 

登録されたユーザーのメールアドレスの確認と招待処理について

AD連携機能によって登録されたユーザーにメールアドレスの確認とSKUIDへの招待という2つの目的で招待メールを送信する必要がありますが、送信タイミングは以下の2つから選べます。

  • 同期する時点でメールを送信する
  • 同期する時点ではメールを送信せず、任意のタイミングで管理者が管理者画面から未招待のユーザーへメールを送信する

 

 

「今はメンバーに招待メールを送信しない」をご選択された場合の招待メール送信方法

招待メールを送信する際は、管理ページの「 メンバー > ユーザー名 」から、「招待メール再送」をクリックし、招待メールを送信します。

 複数メンバーへまとめて招待メールを送信する際は、管理ページの「メンバー」のリストから「未招待」で抽出し、対象メンバーのチェックボックスをチェックします。下に表示される「招待メール送信」をクリックすること招待メールが送信されます。 

 

②SKUIDグループの所属の制御

同期条件でADのセキュリティグループとSKUIDグループの紐づけを行うことで、ユーザーのSKUIDグループへの所属の制御ができます。AD側でユーザーがセキュリティグループに所属すると、自動的に紐づけ先のSKUIDグループ内に登録されます。また、AD側のセキュリティグループから外されたとき、SKUID上でも紐づけ先のグループを外れます(※)。

  • この際、SKUIDグループに割り当てられていたアプリのご利用ができなくなり、このアプリに設定していたクレデンシャルの情報が削除されますので、ご注意ください。

 

③ユーザー属性更新

AD側でユーザーオブジェクトの属性が変わった場合、SKUID上にも該当する属性が更新されます。更新対象の項目は以下の通りになります。

姓、名、メールアドレス、部署、電話番号、郵便番号、都道府県、市区町村、番地

 

④同期タイミングについて

自動登録・自動無効化(仮削除)、SKUIDグループの所属制御、ユーザー属性更新の処理は、リアルタイムではありません。数十分から数時間程度かかりますのであらかじめご承知おきください(時間は設定によって異なります)。

 

⑤ユーザーの情報源について

AD連携機能によって登録されたユーザー、またADと紐づけされたユーザーについて、AD側の情報がマスタになり、SKUIDでこのユーザーの以下の制御が不可になります。

  • 属性変更
  • 無効化・削除
  • SKUIDグループへの所属制御

上記の制御が必要な場合、AD側の情報の更新、グループへの所属制御の場合には同期設定の更新をお願いします。

 

2-2)SKUIDへのログイン

AD連携がしているユーザーは、ADのメールアドレスとADのパスワードを利用して、SKUIDにログインができます。

ADのパスワードはSKUIDで一切保存されません。毎回ログイン時にADに認証の問い合わせを行いますので、常に現行のADパスワードでのログインとなります。

SKUIDパスワードの設定について

ADパスワードによるログイン以外、別途SKUIDパスワードの設定も可能です。お客様の ADに接続ができなくなったときに、SKUIDにログインができないことを防ぐためです。通常、管理者だけがSKUIDパスワードとADパスワード両方の認証を可能にし、一般のユーザーはADパスワードの認証だけを許可し、運用するのがおすすめのやり方ですが、ADのパスワードでログインができなくなった場合などには、すべてのユーザーにSKUIDパスワードの設定を許可することができます。

ユーザーにSKUIDパスワードを許可した際、ユーザーのメールアドレス宛にSKUIDパスワード設定案内メールが送信されます。

手動やCSVアップロード、AD連携機能によって、ユーザーが登録されるタイミングでSKUIDパスワードを割り当てて、設定案内メールを自動送信するか、SKUIDパスワードを割り当てしないか設定が可能です。 

 

2-3)AD連携機能が一番発揮できる環境について

AD連携機能はお客様のAD環境の情報に依存しています。以下の条件が揃っているとAD連携機能の設定や利用がもっともスムーズになります。

  • 同期対象のすべてのユーザーにファストネーム、ラストネーム、メールアドレスが同じ属性として設定されている
  • 同じメールアドレスが設定されているユーザーは2つ以上存在しない
  • ユーザーが所属部署に応じてセキュリティグループに参加している(※)
    • 現在、セキュリティグループ単位のみで同期条件の設定が可能ですが、OU単位で連携する機能をリリースする予定です。ご希望のお客さまは弊社営業窓口までご連絡ください。

 

.システムの仕組みについて

 

お客様にとって、最も手間がかからない導入と運用の方法を目的とし、AD連携機能の設計・実装をしています。SKUIDのAD連携機能の特徴は以下の通りです。

  • お客様の環境に外部から接続をしない。
  • AD に対して読み込みだけを行い、書き込みは一切行わない。管理者の権限も不要。
  • 導入するのに、特殊な知識やソフトウェアは不要(ADの管理者が数時間以内に導入できる前提)

 

3-1)インストールするソフトウェアについて

AD連携機能を実現するために、お客様の環境に弊社開発のコネクターをインストールし、弊社への環境に接続を許可する必要があります。

インストールする環境についての注意事項

  • 対象のOSは、Windows Server 2008 R2 / 2012 R2 / 2016(日本語版、英語版とも)。
  • お客様の環境から以下2つのアウトバウンドの接続を可能にする必要があります。
    • プロトコルTCP/DNS a-mq-ad.services.sku.id/ポート5671
    • プロトコルTCP/DNS b-mq-ad.services.sku.id/ポート5671
  • 現在、プロキシ経由の接続は対応しておりませんので、直接接続が可能な環境でなければなりません。
  • インストール先のPCは、常に稼働しているドメインに参加しているWindowsマシンでなければなりません。ドメインコントローラーのマシンにインストールするのが一般的です。(消費するメモリは256MB未満です。)
  • 設定ブラウザはGoogle Chromeにて進めてください。

 

3-2)インストール方法

①インストール前の確認・準備

セキュリティグループの所属

同期対象のユーザーはセキュリティグループの単位で決まりますので、ユーザーが対象のセキュリティグループに所属していることをご確認ください。同期条件に指定されたセキュリティグループ、またその配下のグループのすべてのユーザーが同期対象になります。

メールアドレスが重複していないこと

同期対象のユーザーの中に同じメールアドレスが設定されているユーザーオブジェクトは2つ以上存在していないことをご確認ください。二つの同じメールアドレスが存在している場合、同期時にエラーとなります。

必須項目

以下の項目は、SKUIDでは必須になっているため、同期対象のユーザーオブジェクトに存在しなければなりません。

姓、名、メールアドレス

LDAPクエリーを実施するADユーザーの作成

コネクターがお客様の環境でLDAPクエリーを実行するときに、ADユーザーとしてクエリーを実行します。ユーザー権限が「読み込み権限」のみのユーザーを作成してください。

   ※ ユーザーを作成の注意事項

  1. 初期パスワードの変更が不要のオプションにする必要があります。
  2. 定期的パスワードの変更が有効にされると、パスワードが変更される都度にSKUID上で同期設定の変更も必要になります。

 

②インストール手順

1.AD連携機能のお申し込み完了後、AD設定が行えるようになります。

管理者画面(設定 > Active Directory連携 > 「設定」ボタン)から

1)コネクター設定ファイル

2)コネクター自体のファイル

をダウンロードします。 

 

2.コネクターのファイルはZIPファイルになっていますので、インストール先のマシンの空白や日本語の文字が入っていないパスに展開します。展開先のディレクトリは以下となります。

 

3.コネクター設定ファイルを展開されたファイルと同じディレクトリにコピーします。

※ コネクター設定ファイルにはSKUIDコネクターが利用するクレデンシャルが含まれています。誰もがアクセスできる場所には置かないなど、お取り扱いには十分ご注意ください。 

 

4.install.batファイルをダブルクリックして、コネクターをインストールします。 

※ *.bat系ファイルがダブルクリックで起動しない場合、インストール先のフォルダーをCMDで開き、対象の*.batファイルを実行してください。 

 

 

5.コネクターはWindows サービスとしてインストールされるので、Services 管理ツールを開いて、「SKUID AD Connector」サービスを開始させます。 

 

6.SKUIDの管理画面からコネクターが正常に接続できたことを確認します。 

※ 数分経っても、コネクター一覧にコネクターの記録が現れない場合、インストール先のPCからプロキシ経由なしで、[a-mq-ad.services.sku.id]と[b-mq-ad.services.sku.id]に[TCPポート5671]で接続が可能なことをご確認ください。そのうえでコネクター一覧にコネクターの情報が表示されない場合、コネクターのインストール先のディレクトリの[logsディレクトリ]を圧縮して、弊社サポート窓口までお問い合わせください。

※ コネクターが10分毎に、ハートビートメッセージを送信しています。10分以上経っても、ハートビートが来ない場合、コネクターのステータスが異常です。

※コネクターの冗長化について

1つのマシンに対し1つのコネクターをインストールできます。冗長構成にする場合は、複数マシンにコネクターを同じ手順でインストールしてください。

 

③アンインストール手順

1.Services 管理ツールを開いて、「SKUID AD Connector」サービスを停止させます。 

 

2.インストール先のディレクトリにあるuninstall.batを実行すると、Windows サービスがアンインストールされます。そのあと、インストール先のディレクトリを削除してください。 

 

3-3)ユーザー同期設定

コネクターをインストールして、接続が確認できた後、ユーザー同期設定が行えます。ユーザー同期設定では、同期対象のADセキュリティグループに加えて、お客様のドメイン、LDAP接続情報、セキュリティグループとSKUIDグループの紐づけの設定が行えます。

 

  1. AD 連携画面を開きます。
  2. ユーザー同期設定を開きます。


  3. 初期状態でユーザー同期設定画面は以下のように表示されます。

 

4.「ドメイン追加」をクリックして、同期設定を行います。

項目名

必須

説明

同期間隔

差分同期が行われる間隔。デフォルトで30分。

ドメイン(お客様のドメインについての基本情報

ドメイン

お客様のドメイン名。例:globalsign.com

ドメインコントローラー

×

お客様の環境にインストールするコネクターがDNSからドメインコントローラーを自動的に選択していますが、具体的にドメインコントローラーを設定したい場合、こちらにご入力ください。

例:dc1.example.com

プロトコル

お客様の環境で利用可能なプロトコル。なお、自己署名証明書を使うLDAPSは利用不可です。

ポート

プロトコルに応じて、ポートを設定します。大抵の場合、デフォルトの389の値で結構です。

読み取り権限のあるADユーザー

このセクションでは、LDAPの接続用のクレデンシャルを設定します

userBase

LDAPクエリーを実施するADユーザーのベース。

例:DC=globalsign,DC=com

userDn

LDAPクエリーを実施するADユーザーの識別名、又はuserPrincipalName。基本的に識別名を指定すれば稼働可能ですが、お客様の環境によって識別名ではなく、userPrincipalNameを指定する必要があります。詳しくは、「コネクターのログの確認」セクションをご覧ください。

・識別名の例:

CN=SKUID User,DC=globalsign,DC=com

・userPrincipalNameの例:

skuid.user@globalsign.com

userPassword

LDAPクエリーを実施するADユーザーのADパスワード

同期条件

このセクションではAD のセキュリティグループとSKUIDグループの紐づけを行います。

名前

同期条件のラベル。適当なわかりやすい値で構いません。

同期元のADドメインユーザーグループ

×

このトグルをONにすると、ドメインすべてのユーザーが同期対象になります。

同期元のADセキュリティグループ

同期対象のADのセキュリティグループです。このグループに所属しているすべてのユーザー、およびこのグループにネストされているグループのすべてのユーザーが同期対象となります。

複数のセキュリティグループの指定が可能です。

同期先のSKUIDグループ

この同期条件で同期対象となったユーザーを所属させるSKUID内のグループを指定します。複数のSKUIDグループの指定が可能です。既存のSKUID内グループからの選択になりますので、事前にSKUIDでグループを設定しておく必要がありますしてください。

同期するAD属性

ADのユーザーオブジェクトの属性とSKUIDのユーザーの属性のマッピングを行います。各項目に対して、複数の属性の設定が可能です。最初の空白ではない値が利用されます。

ユーザーの名に該当するユーザーオブジェクトの属性。例:givenName

ユーザーの姓に該当するユーザーオブジェクトの属性。例:sn

メールアドレス

ユーザーのメールアドレスに該当するユーザーオブジェクトの属性。例:mail

部署

×

ユーザーの部署に該当するユーザーオブジェクトの属性。

電話番号

×

ユーザーの電話番号に該当するユーザーオブジェクトの属性。

郵便番号

×

ユーザーの郵便番号に該当するユーザーオブジェクトの属性。

都道府県

×

ユーザーの都道府県に該当するユーザーオブジェクトの属性。

市区町村

×

ユーザーの市区町村に該当するユーザーオブジェクトの属性。

番地

×

ユーザーの番地に該当するユーザーオブジェクトの属性。

すべての項目を正しく入力した後、保存ボタンをクリックします。そこからユーザーの同期が始まります。同期対象のユーザー数によりますが、同期にはしばらく時間かかります(500ユーザーの場合、1時間ぐらいで完了いたします)。

※注意

同期中に保存ボタンを繰り返し押すと同期に失敗する場合あります。

 

3-4)コネクターのログの確認

ユーザー同期が想定通りに行えていない場合、まずはコネクターのログを確認する必要があります。ログはコネクターのインストール先ディレクトリにあるlogsというディレクトリに保存されています。プログラムのログとなりますので、お客様側で分析が行えない場合には、弊社へお問い合わせください。その際にはログのご提供をお願いしております。

 

※既知のエラーと対応方法

エラー内容:

「ユーザー同期設定」画面で設定を保存し、時間がたってもユーザーの同期が開始されず、かつログに「AcceptSecurityContext error, data 52e」エラーが出力されます。

修正方法:

「ユーザー同期設定」画面の「読み取り権限のあるADユーザー」セクションのuserDn入力欄に、識別名ではなくuserPrincipalName を指定してください。

 

 4.最後に

 

AD連携機能の設定につきましてご不明点等ございましたら、弊社サポートセンターまでお問い合わせください。無料トライアルによる検証の場合には新規ご相談窓口(03-6370-6601)までお問い合わせください。

 

以上