OneLoginでのプロビジョニング

OneLoginを利用したSAML 2.0認証およびSCIMプロビジョニング

概要

Keeperエンタープライズは、OneLoginと統合でき、SCIM (System for Cross-Domain Identity Management) プロトコルによるユーザーの自動プロビジョニングに対応しています。SCIMは、IDプロバイダ (OneLoginなど) とサービスプロバイダ (Keeperなど) の間でユーザープロビジョニングを自動化するオープンスタンダードです。

OneLoginでSSO/SAML 2.0を使用してユーザーを認証する場合は、先にKeeper SSOコネクトをインストールして構成してください。 SSOコネクトのセットアップガイドは以下をご参照ください。

クラウドSSOコネクトオンプレミスSSOコネクト

SAML 2.0でユーザーを認証せず、SCIMのみでプロビジョニングする場合は、以下のSCIMのみの構成に進んでください。

IDサービスにOneLoginをご利用の組織の場合、簡単にKeeperをユーザーに展開できるため、手動によるプロビジョニングは不要となります。OneLoginでKeeperエンタープライズへの自動プロビジョニングが有効となっている場合、OneLoginで作成、変更、削除されたユーザーは、Keeperでも自動的に追加、編集、削除されるようになります。

Keeperエンタープライズではユーザーのプロビジョニングやデプロイに加えて、OneLoginを使用したゼロ知識でのSAML 2.0準拠の認証を備えており、スムーズなアクセスが可能となります。

KeeperエンタープライズをOneLoginに統合することで、あらゆる規模の組織でパスワードや機密情報を暗号化ボルト (保管庫) 内に保護できるようになります。SSOにKeeperエンタープライズを統合することで、以下のようなサイバーセキュリティで不可欠なセキュリティ面と機能面での弱点を克服できます。

非SAMLアプリケーションやウェブサイト用に強力なパスワードを生成し保護
完全なエンドツーエンドな暗号化を備えたゼロ知識セキュリティアーキテクチャの実装
SSH鍵、デジタル証明書などの認証情報を保管
組織全体 (全メンバーの使用するデバイス、ウェブサイト、アプリケーション、システム) でパスワードコンプライアンスやポリシーに基づいたアクセス管理を適用
金融、ビジネス、ソーシャルメディア、その他重要サービス向け共有パスワードを管理

ユーザー暗号化キーはKeeper SSOコネクトで動的に生成され、インストール済みサーバーに暗号化して保存されます。これにより、組織はデジタルボルトの暗号化・復号化に使用する暗号化キーを管理できます。

SSO+SCIMの構成 - アプリケーションコネクタ

OneLoginは、カタログにKeeperアプリケーションが組み込まれており、SSOとSCIMの両方の統合に対応しています。

OneLoginの統合手順は、OneLoginをご参照ください。SSO統合とSCIM接続の手順を取り扱っています。

API ConnectステータスがEnabled (有効) になった後、Provisioning (プロビジョニング) セクションに移動し、Enable provisioning (プロビジョニングを有効にする) にチェックを入れます。

アプリケーションにユーザーを追加

ユーザーをOneLoginのKeeper Password Managerコネクタに追加する方法は複数あります。ユーザーアカウントにアプリケーションを追加する方法、ロールにユーザーを追加する方法、またはOneLoginアプリケーションの [Access] (アクセス) セクションからロールをアプリケーションに追加する方法があります。ユーザー追加後、SCIMからKeeperへリクエストを送信するには、Keeper Password ManagerアプリケーションコネクタのUsers (ユーザー) セクションでPending (保留中) ステータスをクリックしてユーザーを承認します。ユーザーのOneLoginプロファイルのApplication (アプリケーション) セクションからPending (保留中) ステータスをクリックしても承認できます。[Approve] (承認) をクリックすると、OneLoginからKeeperへユーザーがプロビジョニングされます。

ユーザーのステータスはPending (保留中) からProvisioned (プロビジョニング済み) に変わります。

OneLoginロールとKeeperチームのマッピングを有効にする

Parameters (パラメータ) セクションのOptional Parameters (オプションパラメータ) でGroups (グループ) をクリックします。Edit Fields Group (グループフィールドの編集) ポップアップでInclude in User Provisioning (ユーザープロビジョニングに含める) を選択します。

[Save] (保存) をクリックし、Group (グループ) のステータスがEnabled (有効) に変わっていることを確認します。次に、アプリケーションコネクタのRules (ルール) セクションに移動し、[Add Rule] (ルールの追加) をクリックします。

ルールに「Create Team from Role」 (ロールからチームを作成) などの名前を付けます。 &#xNAN;[Actions] (アクション) セクションのプルダウンでSet Groups in Keeper Password Manager (Keeper Password Managerのグループを設定) を選択します。続けてプルダウンからrole (ロール) を選択 (または検索) し、マッチする値として .* を入力します。

「.*」は、任意の文字が存在しないか任意の回数繰り返される部分に一致する正規表現です。検索を特定のロールに絞り込むには、正規表現を変更します。検索結果が一致しない場合はOneLoginにお問い合わせください。

SCIMのみの構成

SCIMのみの構成の場合は、OneLogin SCIMの手順をご参照ください。

アプリケーションのConfiguration (構成) ページで、以下のSCIM JSONテンプレートを使用します (Keeperのユーザー名は有効なメールアドレスである必要があります)。

{
    "schemas": [
        "urn:scim:schemas:core:1.0"
    ],
    "userName": "{$user.email}",
    "displayName": "{$user.display_name}"
}

管理コンソールで、SCIMベースのURLとSCIMベアラートークンを取得します。

Custom Headers (カスタムヘッダ) セクションに次の行を追加します。

Content-Type: application/scim+json

プロビジョニングを有効にした後、構成は以下の画像のように表示されます。

クラウドSSOコネクト:

SCIMを使用したチームとロールのマッピング

チームとロールのマッピングでは、ロールを個々のユーザーではなくチーム全体に割り当てます。各チームには、ロール適用ポリシーで異なる要件や制限を設定できます。

通常、OneLoginなどのSCIMを使用するIDプロバイダは、ユーザーのチームへの割り当てに対応していますが、カスタムロールの割り当ては、ユーザー単位でのみ行われます。SCIMを使用してプロビジョニングされたチームやユーザーには、デフォルトのロールが適用されますが、SCIMでプロビジョニングされたチームを、別の事前定義されたロールにマッピングすることはできません。チームとロールをマッピングすることで、既存のIDプロバイダを使用してカスタムロールの割り当てが可能なチームにユーザーを直接割り当てることができます。

固有のグループ名

OneLoginには、SCIMシステムとのタイミングの問題があり、複数のリクエストを同時に送信し、同一のグループが作成される場合があります。通常、Keeper側では、Group Name (グループ名) が同一であっても新規グループの作成を受け入れます。

重複したグループ名による問題に遭遇した場合は、Keeperサポートまでご連絡ください。SCIM接続にフラグを設定し、固有のグループ名を強制できます。

SCIMインスタンスで固有のグループ名を強制するには、Keeperサポートまでお問い合わせください。

SCIMでプロビジョニングされたチームはすぐには作成されず、「Pending Queue」 (保留キュー) に入ってから承認が確定します。

チームとユーザーの承認についてはチームとユーザーの承認をご参照ください。

前へCloudGateでのプロビジョニング

次へMicrosoft AD FSでのプロビジョニング

最終更新 2 か月前