DUOでのプロビジョニング
DUOプラットフォームを利用したSAML 2.0認証およびSCIMプロビジョニング
概要
本ページでは、SCIMを使用したDUO自動プロビジョニングを取り扱います。設定を始める前に、まずリアルタイムなユーザー認証とジャストインタイム (JIT) プロビジョニングを実現するKeeperのSSOコネクトとDUOとの統合を有効にすることをお勧めします。
プロビジョニング機能
KeeperのDUO自動プロビジョニングは、以下の機能に対応しています。
Keeperでユーザーを作成
ユーザー属性を更新
ユーザーのアクティブ化または非アクティブ化 (Keeperでのロックまたはロック解除)
Keeperでチームを作成 (DUOグループから)
Keeperでロールを作成 (ロールマッピングプレフィックスを使用)
プロビジョニングされたチームやロールにユーザーを割り当て
ユーザーをプロビジョニングする場合、DUOディレクトリは単一のKeeperノードにマッピングされます。
要件
DUOを使用したKeeperのユーザープロビジョニングを設定するには、Keeper管理コンソールとDUO管理者アカウントへのアクセスが必要です。
設定手順
Keeper Security - Single Sign-Onアプリケーションの展開手順は、上記の要件で紹介したクラウドSSOコネクトガイドに記載されているため、本ページでは取り扱いません。
既存のKeeper Security - Single Sign-Onアプリケーションで、[Provisioning] (プロビジョニング) タブを開きます。
認証
[Provisioning] (プロビジョニング) の [Authentication] (認証) で、Authentication Mode (認証モード) を_Bearer Token_に切り替えます。
管理コンソールで、DUO SSOノードに移動し、SCIM用の新しいプロビジョニングメソッドを作成します。
次のパネルで、以下の操作を行います。
URLをコピーし、DUOのBase URL (ベースURL) フィールドに貼り付けます。
Token (トークン) を生成してコピーし、DUOのTokenフィールドに貼り付けます。
管理コンソールで [Next] (次へ) をクリックします。
Role Mapping Prefix (ロールマッピングプレフィックス) は後で設定できるため、ここでは無視してかまいません。詳しくは以下をご参照ください。
DUOで [Connect to Application] (アプリケーションに接続) をクリックします。SCIMプロビジョニングメソッドが正しく送信されていれば、成功のメッセージが表示されます。
属性マッピング
デフォルトでは、DUO SCIMはDUOのユーザー名をKeeperの名前とメールアドレスの両方として設定してユーザーを作成します。
SCIMで作成されるユーザー名をDUOの属性に一致させたい場合は、このパネルにdisplayNameマッピングを追加できます。
グループ
Groups (グループ) パネルでは、Keeperエンタープライズにプッシュするグループを指定できます。
Select groups (グループを選択): DUOディレクトリからグループを選択します。
Use groups with SSO access (SSOアクセスのあるグループを使用): シングルサインオンアプリケーションに割り当てられたグループを継承します。
Exclude group information (グループ情報を除外): 選択したグループのメンバーのみをインポートし、Keeperにチームを作成しません。
ユーザーの登録解除
次のパネルでは、ユーザーの登録解除の方法として以下の2つから選択します。
Deactivate Users (ユーザーを非アクティブ化)
Delete Users (ユーザーを削除)
Keeperでは、いずれを選択してもアクティブなユーザーが削除されることはなく、ロックのみが行われるため、この選択は実質的な意味を持ちません。
プロビジョニングサイクルの実行
[Save and Enable] (保存して有効化) をクリックするか、ページ上部のパネルで [Enable] (有効化) をクリックすると、DUOの自動プロビジョニングをすぐに有効にできます。有効にすると、新しい変更が加わるたびに自動的に更新とプッシュが行われます。プロビジョニングはいつでも無効化・有効化できます。
チームとユーザーの承認
Keeperのゼロ知識アーキテクチャにより、DUOによるチームおよびチームメンバーの割り当ては、管理者がKeeper管理コンソールにログインしているか、Keeperの自動化ツールが導入されている場合のみ適用されます。
管理者としてチームの承認を行う場合:
ユーザーまたはチームをKeeper管理コンソールにプッシュした後、ログインするか [完全同期] をクリックして処理を承認します。
チームの承認を自動化するツール:
SCIMを使用したチームとロールのマッピング
DUOの自動プロビジョニングは、プッシュグループをKeeperチームにマッピングします。チームごとに異なるKeeperロールを自動的に割り当てるには、「チームとロールのマッピング」機能を使用します。
上記の画像では、ロールマッピングプレフィックスがKeeper_role_に設定されています。この場合、以下のようになります。
Keeper_role_developersという名前のDUOグループは、KeeperチームとしてではなくKeeperロールとしてプロビジョニングされ、すべてのメンバーがそのロールに割り当てられます。developersという名前のDUOグループは、通常どおりKeeperチームとしてプロビジョニングされます。
この仕組みにより、DUOグループを使用してロールとチームを分離できます。
ベストプラクティスとトラブルシューティング
SCIMを使用する場合、Keeper側から割り当てを変更することは避けてください。すべての割り当てにおいて、DUOディレクトリを正としてください。DUOはKeeperエンタープライズ側での変更を検知できないため、Keeper側で割り当てを更新すると不整合が生じるおそれがあります。強くお勧めしません。
よくある問題
管理コンソールでSCIMプロビジョニングメソッドを保存する前に [Connect to application] (アプリケーションに接続) をクリックすると、テストは失敗します。トークンをコピーしてから [Next] (次へ) をクリックしてください。
Keeperユーザーはメールアドレスで識別されるため、DUOユーザーをKeeperアプリに割り当てる際は、
userNameにマッピングされた属性に有効なメールアドレスが含まれていることを確認してください。DUOからグループメンバーシップを同期すると、Keeperにチームメンバーシップが作成されますが、すぐには表示されません。プロビジョニングされたユーザーが実際のチームメンバーになるには、Keeperに登録して招待を受諾した後、Keeper管理者によるグループ加入の承認を受けるか、ウェブボルトにログインしている既存のKeeperチームメンバーによって自動承認される必要があります。
Keeperでユーザーやグループを削除して再作成すると、DUOがオブジェクトの以前のIDを保持しているため新しいIDを認識せず、DUO側でエラーが発生することがあります。この場合は、プロビジョニングを無効化してから再度有効化すると解決します。
最終更新