> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/keeperpam/jp/secrets-manager/integrations/sailpoint-iiq-connector.md).
# SailPoint IIQ Connector
SailPoint IdentityIQコネクターによるKeeperボルトのアイデンティティおよびアクセス管理
***
IdentityIQとKeeperコマンダーサービスモード間の接続を確認 Keeper組織で利用可能なロールの一覧表示 Keeper組織で利用可能なチームの一覧表示 Keeper組織で利用可能なノードの一覧表示 レコードとその権限の一覧表示 フォルダとその権限の一覧表示 Keeperで変更された名前を既存のエンタイトルメントに反映し、Keeperに存在しなくなったエンタイトルメントを削除 Keeper組織のユーザーをIdentityIQ上に一覧表示 ユーザーを既存のKeeperボルトエンタイトルメントへマッピング 単一アカウントの更新 Keeperに存在しなくなったユーザーのアカウントを削除 IdentityIQからユーザーを招待し、各ユーザーにKeeperボルトをプロビジョニング IdentityIQでユーザーの名前、役職、メールアドレスを更新 IdentityIQのエンタイトルメント割り当てでロール、チーム、ノードを割り当て IdentityIQのレコードおよびフォルダエンタイトルメントのプロビジョニングでレコードとフォルダを共有 IdentityIQ経由でKeeperボルトへのアクセスを有効化または無効化 アカウントを削除。sailpoint-app-setup で構成した対象ユーザーへKeeperボルトを移管したあと、該当するKeeperアカウントを削除 /health
```
Docker起動前にローカルの `config.json` を削除し、同一のデバイストークンによる競合を避けます。Dockerコンテナ側の構成はKSM経由で読み込まれます。
#### IdentityIQアプリケーション用の値 .zip
keeper-iiq-connector-.zip.sha256
```
4. ZIPファイルをIdentityIQサーバー (またはコンテナ) にコピーし、ZIPファイルのあるディレクトリでターミナルを開きます。
ZIPには以下が含まれます。
| パス | 用途 |
| ---------------------------------------------------- | ------------------------------------------------- |
| `lib/keeper-iiq-connector-.jar` | コネクター |
| `web/define/applications/KeeperAttributesForm.xhtml` | アプリケーション設定ページ |
| `config/Keeper.xml` | コネクターのレジストリエントリ (アプリケーションタイプ **Keeper Security**) |
| `config/Keeper-Application.xml` | **Keeper Security** アプリケーションとそのメール相関を作成 |
| `config/Keeper-Tasks.xml` | **Keeper Security** アプリケーションの集約タスク |
| `config/Keeper-Entitlement-Refresh.xml` | エンタイトルメント集約がKeeperで変更された名前を反映する際に使用するルール |
| `install.sh` | コネクター、アプリケーションタイプ、アプリケーション、タスクを1回の実行でインストール |
| `uninstall.sh` | コネクター、そのアプリケーション、タスク、アプリケーションタイプを削除 |
***
## IdentityIQへのコネクターのインストール ` は `WEB-INF` を含むIdentityIQのウェブアプリケーションディレクトリを指します。
| IdentityIQの稼働環境 | 一般的な `` |
| ---------------- | ------------------------------------------------------------------- |
| Linux上のTomcat | `/webapps/identityiq` (例: `/opt/tomcat/webapps/identityiq`) |
| Windows上のTomcat | `\webapps\identityiq` |
| 公式Tomcatコンテナイメージ | `/usr/local/tomcat/webapps/identityiq` (コンテナ内) |
ディレクトリを確認するには、`iiq.properties` を探し、2階層上へ移動します。
```bash
find / -path "*WEB-INF/classes/iiq.properties" 2>/dev/null
# /opt/tomcat/webapps/identityiq/WEB-INF/classes/iiq.properties
# -> is /opt/tomcat/webapps/identityiq
```
### オプションA: インストールスクリプト (Linux / macOS)
```
スクリプトは、1回の実行で以下を行います。
1. 以前のバージョンをバックアップし、jarと設定ページをコピーします。
2. **Keeper Security** アプリケーションタイプと **Keeper Entitlement Refresh** ルールを登録します。
3. メール相関付きの **Keeper Security** アプリケーションを作成します。同じ名前のアプリケーションがすでにある場合は、その設定を保持します。
4. 3つの集約タスクを作成または更新します。
| オプション | 説明 |
| -------------------- | ------------------------------------------------------------- |
| `-d ` | IdentityIQのウェブアプリケーションディレクトリ (必須) |
| `-a "My Keeper App"` | 別のアプリケーション名を使用 |
| `-n` | ファイルとアプリケーションタイプのみインストールし、アプリケーションとタスクはスキップ。クラスター内のほかのサーバーで使用 |
インストール後、アプリケーションサーバーを再起動します。以下は、その例です。
```bash
sudo systemctl restart tomcat
```
### オプションB: コンテナ (Docker) で稼働するIdentityIQ :/opt/
docker exec -it bash
cd /opt
jar xf keeper-iiq-connector-*.zip
cd keeper-iiq-connector-*/
sh ./install.sh -d
exit
docker restart
```
{% hint style="info" icon="pencil-line" %}
コンテナに `unzip` がない場合は、上記のようにJDKの `jar` ツールを使用します。`jar` は実行権限を保持しないため、スクリプトは `sh` で起動します。`` がマウントされたボリューム上にない場合、コンテナを再作成するとjarと設定ページが失われます。
{% endhint %}
### オプションC: 手動インストール (Windowsまたはその他のOS) /WEB-INF/lib` から古い `keeper-iiq-connector*.jar` を削除します。
3. `lib/keeper-iiq-connector-.jar` を `/WEB-INF/lib/` にコピーします。
4. `web/define/applications/KeeperAttributesForm.xhtml` を `/define/applications/` にコピーします。
5. アプリケーションサーバーを起動します。
6. **Gear icon → Global Settings → Import from File** に移動し、以下のファイルを順番にインポートします。
1. `config/Keeper.xml`
2. `config/Keeper-Entitlement-Refresh.xml`
3. `config/Keeper-Application.xml`
4. `config/Keeper-Tasks.xml`
`iiq console` (Windowsでは `iiq.bat console`) でもインポートできます。
```
cd /WEB-INF/bin
iiq console
> import /full/path/to/config/Keeper.xml
> quit
```
{% hint style="info" icon="pencil-line" %}
jarは `WEB-INF/lib` に配置する必要があります。アプリケーションの `connector-classpath` 経由で読み込むだけでは不十分です。アプリケーション定義ページはコネクタークラスを直接読み込むため、見つからない場合は空白のまま表示されます。
{% endhint %}
***
## アプリケーション構成
```
スクリプトは、すべての **Keeper Security** アプリケーション (アカウント、エンタイトルメント、タスクを含む)、メール相関、**Keeper Entitlement Refresh** ルール、アプリケーションタイプ、コネクターファイルを削除します。クラスター内のほかのサーバーでは、`WEB-INF/lib/keeper-iiq-connector-*.jar` と `define/applications/KeeperAttributesForm.xhtml` を削除してください。集約で作成されたアイデンティティは保持されます。アカウントのないアイデンティティを削除するには、**Prune Identity Cubes** を実行します。
## トラブルシューティングとログ &goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
{% endhint %}
## エンタイトルメントの割り当て
エンタイトルメントは、以下の手順でアクセスリクエストを通じて割り当てます。
1. **\[Manage User Access]** に移動し、アクセスが必要なアイデンティティを選択します。
2. Keeperのエンタイトルメント (チーム、ロール、ノード、フォルダ、レコード) を検索し、リクエストに追加します。
3. リクエストを送信します。承認されると、コネクターがユーザーのKeeperアカウントにエンタイトルメントをプロビジョニングします。
### プロビジョニングの動作
| 操作 | Keeperでの動作 |
| ---------------------------- | --------------------------------------------------------------------------------------------- |
| **Create** | 名前、ノード、役職、リクエストされたロールとチームを指定してユーザーを招待する。ユーザーは、Keeperの招待を承認するまで `Invited` のまま |
| **Update** | ノード、ロール、チームの変更を適用し、続いてフォルダ共有、レコード共有、最後にメールアドレスの変更を適用する。失敗はそれぞれリクエストに報告され、ほかの変更は引き続き実行される |
| **Folder permission change** | ユーザーは共有フォルダごとに1つの権限レベルを持つ。新しいレベルをリクエストすると、現在のレベルが置き換えられる |
| **Record rights** | `CE` または `CS` のレコードエンタイトルメントを削除すると、その権限のみが削除され、読み取り専用アクセスは残る。共有を完全に削除するには、`RO` エンタイトルメントを削除する |
| **Record ownership (`OW`)** | IdentityIQからは付与も削除もできない。所有権はKeeperボルトで変更する |
| **Email change** | Keeperのエイリアス昇格を使用する。新しいアドレスがプライマリメールになる |
| **Disable / Enable** | Keeperユーザーをロックまたはロック解除する |
| **Delete** | `sailpoint-app-setup` で構成した移管先にユーザーのボルトを移管したあと、ユーザーを削除する |
***
## アップグレードとアンインストール
**アップグレード:** 新しいZIPを、最初のインストールと同じ方法でインストールします。アプリケーション、その設定、集約済みのデータは保持され、`install.sh` がタスクを更新します。すべてのIdentityIQサーバーでアプリケーションサーバーを再起動します。
{% hint style="info" icon="pencil-line" %}
既存のKeeperアプリケーションに、古いコネクターjarを指す `connector-classpath` エントリがある場合は、そのエントリと古いjarを削除してください。削除しないと、IdentityIQが古いコネクターを読み込み続けます。
{% endhint %}
**アンインストール:** Keeper側は変更されません。アンインストールスクリプトを実行し、アプリケーションサーバーを再起動します。
```bash
cd keeper-iiq-connector-*/
./uninstall.sh -d