rela1470のブログスマートフォン用の表示で見るrela1470のブログrela1470がブログです。2019-12-11KyashがOneLoginを選んだ理由Kyashでは9月からIDaaSであるOneLoginを導入しました。導入から3ヶ月が経過し、現時点でほぼすべての社内認証をOneLoginに統一することが出来ました!今回は、なぜOneLoginにしたのか、使い勝手等を含めお伝えできればと思います。すごくヨイショしている記事になってしまったんですが、お金はもらってません!!!!!笑www.onelogin.com公式HPにも取り上げて頂き、ありがとうございます!実は前職でもかなり使い込んでおり、OneLoginは思い入れのあるプロダクトです。日本代表の福見さんと代理店であるペンティオさんにかなりのお力添えを頂きました。day11になります。day6でも述べましたが、まず第一にPCのディレクトリ管理をすることが目標でした。KyashのPCはMacが8割強という割合になっていて、またOffice365も全員が使っているわけではありません。Directoryは時期尚早だと判断しました。MacのADバインド、それは地獄という記事その他の比較対象として、OktaとJumpCloudがありました。価格の割に出来ることが少ない(あくまで主観です!)のと、日本代理店のサポートが足りていないと感じた(あくまで主観です!!)ため、今回は見送りました。Desktopで構築することにしたのでした。Desktopについては、また来週のブログで触れようと思います。簡略化した構成図Kyashでは全てのサービスの親ディレクトリをOneLoginに統一しています。後述しますが、Google認証も広義的にはOneLogin認証の一部(Googleの認証周りは全てOneLoginにリダイレクトされるため)とみなしています。社員番号が登録されていたら正社員、職種名にEngineerとあったらエンジニア...というふうにマッピング設定をしており、基本的には入社時に1度だけ必要な情報を登録するだけで、その他の属性は自動で付与されます。属性に紐付いたアプリが自動で使用できるようになります多彩なエンドポイント一言でディレクトリを統一したと言っても、なかなか人類は統一規格を実現できません。そこでOneLoginは多彩なエンドポイントを持っていて、そこが売りの一つになっています。12月時点でちょうど100アプリ登録されています!SAML優先度1位です。この世のサービス全てが早くSAMLに統一されてほしい。Suite、Zendesk等、アカウント数が多く、独自管理が大変なものを優先して対応しました。プロビジョニングSAML認証はログインだけに対応しているアプリと、プロビジョニングに対応しているアプリがあり、プロビジョニングはほんっっっっっっとうに便利です。新しい社員が入社した際には、OneLoginのアカウントを作成するだけで自動的にアカウントが作成されていきます。Suite側のライセンス数が心許ないので、意図的にApproveダイアログを挟んでいます休職や退職の際も自動でサスペンドや削除が出来るため、Unlimitedプラン限定ですが、非常に魅力的な機能だと思います。Suiteに関してはほぼ全ての情報をプロビジョニングで管理しており、例えばGoogleグループもOneLoginの管理下においています。OneLoginとGoogleグループで同期その他の情報ももちろん連動していますRADIUS優先度2位です。Meraki)の認証に利用しています。WindowsもMacも設定手順が煩雑でしんどい思いをしていました。www.onelogin.comやっとプロファイルなしで接続できるように...!EAP-PEAP/MS-CHAPv2はMac,Winどちらともがデフォルトで対応しており、ユーザーの特別対応が必要ない、わかりやすいUIでWi-Fiが提供できるようになりました。merakiのダッシュボード上でも誰の端末なのかが一目瞭然に!JumpCloudにもRADIUS機能はあり、EAP-PEAP/MSCHAPv2も対応しているそうです。Oktaは自分でサーバーを用意するのかな?vLDAP優先度3位です。使用にはvLDAPオプションの契約が必要になります。Desktop)で使用しています。Snipe-ITのLDAP設定画面。癖もありませんただ、エンドポイントがパブリックになっておらず、サポート宛にIP制限解除の申請を掛けなくてはいけないのがちょっと面倒です。tokuyama-san!)あと検索になかなか時間がかかります。バインドユーザー用に生パスワードを各サービスに保存する必要があるため、セキュリティリスクを考え、ユーザー検索しか出来ないアカウントを専用で用意しています。ライセンス1個消費です。書きましたが、現実問題としてLDAPにしか対応していないプロダクトは多々あるので、あると便利です。API優先度4位です。developers.onelogin.com単品ではまだKyashでは使用していませんが、前職だと、既存の社内アプリのユーザー作成部分をこのAPIに置き換えました。このAPIも、検索になかなか時間がかかります。ログインを実装したとしたら、肌感で2〜3秒くらい。単品では、と言いましたが、GASでKibelaのAPIと接続しているものがあります。KibelaのSAML連携が先日リリースされましたが、まだ出たばかりなので機能不足感があり、グループの管理もできません。そこで、自作でAPIを接続するようなことをやっていたりします。...ってSaaS、よくありますよね。SuiteはOneLoginの傘下に入っているため、実質的にOneLoginで認証している!...ということになります。Googleログインを押してもOneLoginに転送されますただし直接ユーザーデータにアクセスできるわけではないので、アクセスコントロールが不十分な感は否めませんが、自前のユーザー登録をさせる仕組みよりはマシですね。自動発行パスワードSAMLもGoogleログインも出来ないけど、全社員に使わせたいサイトなどに使います。ユーザー名、自動発行させたパスワードをCSVでOneLoginにアップロードし、覚えさせます。ユーザーはOneLogin経由でログインすることによって、生パスワードを知ることなく利用が可能です。個別パスワードパスワードの設定が管理者では出来ず、ユーザーに任せるパターンもあります。管理者側は箱だけ用意しておき、各自でIDとパスワードを登録してもらう管理者側で、ユーザーが登録したパスワードを閲覧することが(もちろん閲覧をしたログが残るので悪さはできません!)でき、強度等のチェックも行えます。共有アカウント個別アカウントも仕様上用意出来ない場合に限り、共有アカウントでのログインを登録します。Extensionを通じてログインするのですが、1Password等と比べると誤爆率が高いため、あまり率先して使いたいというわけではありません。Connectもありました。developers.onelogin.comまとめエンドポイントの話でかなり長くなってしまいました...!以上、色々なエンドポイントをOneLoginが用意してくれているおかげで、なんとか統一できているよというお話でした。今後ともOneLoginを愛していきます!!!!!!あ、投げ銭はこちらです。relaあと宣伝です。635,592円ずっとほしいなーと思っているが、おかねがなくて買えないので...2019-06-15改めて8年7ヶ月を振り返る。(退職エントリ補完)退職エントリで思い出が爆発したので、8年7ヶ月を改めて振り返...2019-06-15新卒で8年7ヶ月勤めた会社を退職しました。新卒で入社し、8年7ヶ月(ながい)勤めた株式会...2017-03-29インストールメモ:Snipe-IT会社のほうでブログかきました。月別アーカイブ参加グループインターネットはてなブログをはじめよう!rela1470さんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。