チュートリアル:自動ユーザー プロビジョニング用に OpenText Directory Services を構成する

  • [アーティクル]

このチュートリアルでは、自動ユーザー プロビジョニングを構成するために OpenText Directory Services と Microsoft Entra ID の両方で行う必要がある手順について説明します。 構成すると、Microsoft Entra ID で、Microsoft Entra プロビジョニング サービスを使って、OpenText Directory Services に対するユーザーおよびグループのプロビジョニングおよびプロビジョニング解除が自動的に行われます。 このサービスが実行する内容、しくみ、よく寄せられる質問の重要な詳細については、「Microsoft Entra ID による SaaS アプリへのユーザー プロビジョニングとプロビジョニング解除の自動化」を参照してください。

サポートされる機能

  • OpenText Directory Services でユーザーを作成する
  • アクセスが不要になったユーザーを OpenText Directory Services から削除する
  • Microsoft Entra ID と OpenText Directory Services の間でユーザー属性の同期を維持する
  • OpenText Directory Services でグループとグループ メンバーシップをプロビジョニングする
  • OpenText Directory Services にシングル サインオンする (推奨)

前提条件

このチュートリアルで説明するシナリオでは、次の前提条件目があることを前提としています。

手順 1:プロビジョニングのデプロイを計画する

  1. プロビジョニング サービスのしくみを確認します。
  2. プロビジョニングの対象となるユーザーを決定します。
  3. Microsoft Entra ID と OpenText Directory Services の間でマップするデータを決定します。

手順 2: Microsoft Entra ID によるプロビジョニングをサポートするように OpenText Directory Services を構成する

Note

以下の手順は、OpenText Directory Services のインストールに適用されます。 OpenText CoreShare または OpenText OT2 のテナントには適用されません。

  1. 専用の機密 OAuth クライアントを作成します。

  2. 長いアクセス トークンの有効期間を設定します。

    アクセストークンの有効期間

  3. リダイレクト URL は指定しないでください。 それらは必要ありません。

  4. OTDS により、クライアント シークレットが生成されて表示されます。 クライアント ID とクライアント シークレットを安全な場所に保存します。

    クライアント シークレット

  5. Microsoft Entra ID から同期するユーザーとグループのパーティションを作成します。

    パーティション ページ

  6. 同期する Microsoft Entra のユーザーとグループに使用するパーティションで作成した OAuth クライアントに管理者権限を付与します。

    • [パーティション] -> [アクション] -> [管理者の編集]

    管理者ページ

  7. シークレット トークンを取得し、Microsoft Entra ID で構成する必要があります。 これには、任意の HTTP クライアント アプリケーションを使用できます。 OTDS に含まれる Swagger API アプリケーションを使用して取得する手順を下に示します。

    • Web ブラウザーで、{OTDS URL}/otdsws/oauth2 にアクセスします。
    • /token にアクセスし、右上にあるロック アイコンをクリックします。 前に取得した OAuth クライアント ID とシークレットを、それぞれユーザー名とパスワードとして入力します。 [承認] をクリックします。

    承認ボタン

  8. grant_type として client_credentials を選択し、 [実行] をクリックします。

    [実行] ボタン

  9. 応答内のアクセス トークンは、Microsoft Entra ID の [シークレット トークン] フィールドで使用する必要があります。

    Access Token

Microsoft Entra アプリケーション ギャラリーから OpenText Directory Services を追加して、OpenText Directory Services へのプロビジョニングの管理を開始します。 SSO 用に OpenText Directory Services を以前に設定している場合は、同じアプリケーションを使用できます。 ただし、統合を初めてテストするときは、別のアプリを作成することをお勧めします。 ギャラリーからアプリケーションを追加する方法の詳細については、こちらを参照してください。

手順 4:プロビジョニングの対象となるユーザーを定義する

Microsoft Entra プロビジョニング サービスを使うと、アプリケーションへの割り当てや、ユーザーやグループの属性に基づいて、プロビジョニングされるユーザーのスコープを設定できます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合、以下の手順を使用して、ユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合、こちらで説明されているスコープ フィルターを使用できます。

  • 小さいところから始めましょう。 全員にロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当て済みユーザーとグループに設定される場合、これを制御するには、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てます。 スコープがすべてのユーザーとグループに設定されている場合は、属性ベースのスコープ フィルターを指定できます。

  • 追加のロールが必要な場合は、アプリケーション マニフェストを更新して新しいロールを追加できます。

手順 5: OpenText Directory Services への自動ユーザー プロビジョニングを構成する

このセクションでは、Microsoft Entra ID でのユーザー割り当てやグループ割り当てに基づいて、TestApp でユーザーが作成、更新、無効化されるように Microsoft Entra プロビジョニング サービスを構成する手順について説明します。

Microsoft Entra ID で OpenText Directory Services の自動ユーザー プロビジョニングを構成するには、次のようにします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します

    [エンタープライズ アプリケーション] ブレード

  3. アプリケーション一覧で [OpenText Directory Services] を選択します。

    アプリケーション一覧の OpenText Directory Services のリンク

  4. [プロビジョニング] タブを選択します。

    [プロビジョニング] タブ

  5. [プロビジョニング モード] を [自動] に設定します。

    [プロビジョニング] タブの [自動]

  6. [管理者資格情報] セクションで、OpenText Directory Services のテナント URL を入力します。

    • 不特定のテナント URL : {OTDS URL}/scim/{partitionName}
    • 特定のテナント URL : {OTDS URL}/otdstenant/{tenantID}/scim/{partitionName}

  7. 手順 2 で取得したシークレット トークンを入力します。 [接続テスト] をクリックして、Microsoft Entra ID から OpenText Directory Services に接続できることを確認します。 接続できない場合は、OpenText Directory Services アカウントに管理者アクセス許可があることを確認してから、もう一度試します。

    トークン

  8. [通知用メール] フィールドに、プロビジョニングのエラー通知を受け取るユーザーまたはグループの電子メール アドレスを入力して、 [エラーが発生したときにメール通知を送信します] チェック ボックスをオンにします。

    通知用メール

  9. [保存] を選択します。

  10. [マッピング] セクションの [Synchronize Microsoft Entra users to OpenText Directory Services] (Microsoft Entra ユーザーを OpenText Directory Services に同期する) を選択します。

  11. [属性マッピング] セクションで Microsoft Entra ID から OpenText Directory Services に同期されるユーザー属性を確認します。 [Matching](照合) プロパティとして選択されている属性は、更新処理で OpenText Directory Services のユーザー アカウントの照合に使用されます。 照合する対象の属性を変更する場合は、OpenText Directory Services API で、その属性に基づいたユーザーのフィルター処理がサポートされていることを確認する必要があります。 [保存] ボタンをクリックして変更をコミットします。

    属性 Type
    userName String
    active Boolean
    displayName String
    title String
    emails[type eq "work"].value String
    preferredLanguage String
    name.givenName String
    name.familyName String
    name.formatted String
    addresses[type eq "work"].formatted String
    addresses[type eq "work"].streetAddress String
    addresses[type eq "work"].locality String
    addresses[type eq "work"].region String
    addresses[type eq "work"].postalCode String
    addresses[type eq "work"].country String
    phoneNumbers[type eq "work"].value String
    phoneNumbers[type eq "mobile"].value String
    phoneNumbers[type eq "fax"].value String
    externalId String
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:employeeNumber String
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department String
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:manager リファレンス

  12. [マッピング] セクションの [Synchronize Microsoft Entra groups to OpenText Directory Services] (Microsoft Entra グループを OpenText Directory Services に同期する) を選択します。

  13. [属性マッピング] セクションで Microsoft Entra ID から OpenText Directory Services に同期されるグループ属性を確認します。 [Matching](照合) プロパティとして選択されている属性は、更新処理で OpenText Directory Services のグループの照合に使用されます。 [保存] ボタンをクリックして変更をコミットします。

    属性 Type
    displayName String
    externalId String
    members リファレンス

  14. スコープ フィルターを構成するには、スコープ フィルターのチュートリアルの次の手順を参照してください。

  15. OpenText Directory Services に対して Microsoft Entra プロビジョニング サービスを有効にするには、[設定] セクションで [プロビジョニング状態] を [オン] に変更します。

    プロビジョニングの状態を [オン] に切り替える

  16. [設定] セクションの [スコープ] で目的の値を選択して、OpenText Directory Services にプロビジョニングするユーザーやグループを定義します。

    プロビジョニングのスコープ

  17. プロビジョニングの準備ができたら、 [保存] をクリックします。

    プロビジョニング構成の保存

この操作により、 [設定] セクションの [スコープ] で定義したすべてのユーザーとグループの初期同期サイクルが開始されます。 初期サイクルは後続の同期よりも実行に時間がかかります。後続のサイクルは、Microsoft Entra のプロビジョニング サービスが実行されている限り約 40 分ごとに実行されます。

手順 6:デプロイを監視する

プロビジョニングを構成したら、次のリソースを使用してデプロイを監視します。

  1. プロビジョニング ログを使用して、正常にプロビジョニングされたユーザーと失敗したユーザーを特定します。
  2. 進行状況バーを確認して、プロビジョニング サイクルの状態と完了までの時間を確認します。
  3. プロビジョニング構成が異常な状態になったと考えられる場合、アプリケーションは検疫されます。 検疫状態の詳細については、こちらを参照してください。

その他のリソース

次のステップ