つながりも強いので、何かあった時に米国本社と連携しやすいというのもOneLoginを選んだ理由として大きかったです。株式会社アカツキはどんな会社ですか?モバイルゲームを中心に事業を展開してきた会社ですが、ここ数年ではアウトドアレジャーなどのリアルな体験を提供するライブエクスペリエンス事業も展開しています。デジタルとリアルと領域は違うのですが、「エンターテインメント」をキーワードに様々な取り組みを行なっています。本社以外にも国内、海外に子会社があります。利用人数的には1,000人弱ですが、対応範囲を広げることで今後もう少し増える想定があります。OneLogin導入経緯IDaaSサービス比較と選定ポイントアカツキではSSOだけではなくIAM機能を持つサービスを探していました。この機会に改めて様々なサービスと比較検討しました。One、AmazonのSSOサービス、GoogleのSSOサービスなどです。※1)といったIAM機能を必須と考えると必然的にサービスは絞られました。SAMLとForm認証の両方に対応しているもののみ比較対象に入れ、ディレクトリ連携やProvisioningも機能として重要だろうなと考えていました。Oneは除外しました。最後まで比較検討したのはoktaでした。Directoryとの連携で大きな不具合が発生したんですが、自力では解決不可能なものでした(サポートが内部で対応しないと修正できないもの)。ここでの解決までのフローを経験する中で、本番で問題が発生したときの不安が高くなりました。あと一番の違いは日本語のサポートがあるかないかでした。日本で採用するとなると重要なポイントになりますよね。自分達でマニュアルを見ながら進める必要があるので、ペンティオさんの日本語でのマニュアルが整備されているのはよかったです。選定するサービスに日本語のマニュアルなどがなく英語のマニュアルだけだと、導入時はよくても運用の引き継ぎなどでハードルが上がる部分がでてきてしまいます。それでも進めていけるスタッフを雇うというのもひとつの解決策ではありますが、やはり日本語技術サポートと日本語マニュアルの充実といった点でOneLoginがいいだろうということになりました。つながりも強いので、何かあったときに米国本社と連携しやすいというのも大きかったです。開発者向けアプリ導入にまず手をつけました。テスト導入はこのあたりの小規模ユーザー数のアプリからはじめました。Suiteといったアプリ導入に進んでいきました。エンジニアがSSOのメリットを理解してくれると、その後の展開がやりやすいです。彼らは環境をよくするものに対して敏感なので全社展開する上で味方になってもらえます。Slackアプリ導入については最初少し手間取りました。Google認証で利用していたのですが、Google認証を外してOneLoginに切り替えようとすると、Slackの仕様でユーザーに勝手にリセットメールが飛んでしまうということがありました。そのため、サイレントに切り替えができないという問題がありました。Google認証を停止してパスワード認証だけにして、それからもう一度パスワード認証からSAML認証に切り替え作業を行うことにしました。SuiteのSAML切り替えは問題なくスムーズにできましたが利用者側には少し混乱が発生しました。同期させるようにしていました。Suiteは仕様上パスワードを変更すると勝手にログアウトされてしまうので、スマホなどの再設定も発生し、ユーザー側に作業の手間が発生してしまったという事象はありました。SAML認証の切り替えだけの場合と、認証切り替えと同時にProvisioning設定する場合とでは、エンドユーザーに発生する挙動が異なる場合があるのですね。(長谷川)OneLogin導入以前にディレクトリはありませんでした。Directoryを準備しました。Directoryとの連携構築は特に問題はありませんでしたね。今はAWS上に冗長構成で2台あり、OneLoginと連携しています。AzureADへ環境を移行することを考えています。Suite、Slack、Salesforce、TeamSpirit、AWSです。365もいずれ導入する予定で、直近ではZoomも対応させました。社内へのIDaaS導入説明や操作手順案内については基本的に自分がひとりでやりました。導入のマニュアルや手順書を作成して既存の社員に配布案内しました。新規で入社した人に関しては総務にマニュアルを渡して操作や説明をお願いしています。社内マニュアルをかなり頑張って充実させたので、自分はOneLoginアカウントの新規作成だけ作業しています。新しく入社した人のアプリケーションアカウント作成や必要な説明は、入社の案内をする総務や人事のメンバーがやっています。スムーズに問題なく運用できています。Form-base認証アプリケーション私が思うにどの会社でもコーポレート部門ではForm-base認証(ID・パスワードでの認証方式)アプリの利用は多いですよね。アスクル、Amazon、楽天などコーポレート部門が使用する購入や管理系のサービスは20~30種あります。総務では航空チケット予約、名刺の発注、人事では採用系クラウドサービスも利用します。今はどんな業務でもクラウドサービスになっているのでかなりのアプリ数があります。OneLoginへのアプリ登録希望はわざわざ募ったのではなく、もともと共有アカウントの共有シートがあったのでそれを見て情報システム部が登録しました。※2)の設定でやっています。ロール:複数アプリケーションの利用権限を一括設定するための複数アプリのまとまり例えば総務で使うアプリは総務ロールに割り当てておき、総務のメンバーにこのロールを設定する、という様な手法です。このやり方だと会社共有アカウントを利用するユーザーにいちいちパスワードを伝える必要もないし、変更時の通知も不要なのでとても便利です。新しいメンバーが増えてもロールに割り当てるだけで即数10個のサービスを利用可能になります。これらを総合的に見て、会社保有アプリのForm-base認証は業務担当者個人ごとのアカウント管理よりOneLoginで共有アカウント管理する方が運用が楽になるのでやったほうがいいと思います。※3)で一部自動化しています。弊社は例外対応が多いので所属だけでは利用するアプリを決めて分けきれないという部分があります。Directoryから伝わってくる情報だけでは決められず、アプリ利用を個別に判断をする必要があります。この判断や実際の割り当て作業はOneLoginで操作するようにしています。共有アカウントのアプリをチーム内の誰が使うかといったところに関しては情報システム部では管理していません。これはロールベースで権限を移譲しているので会社の規模が大きくなるほど利便性を実感しています。このように弊社はロールとアプリは、ロール管理者とアプリ管理者を特権管理者以外に別に立てる管理設計にしています。することで共有アカウントを誰が利用するかという細かな部分に関して部門の責任者に任せられるようになります。必要な権限を現場に適切に移譲し、特権だけ情報システム部が持っているという形がこれからのアカウント管理かもしれませんね。(長谷川)そうですね。アカツキの文化というのもありますけどね。アカツキは中央集権というよりは、共通化しないといけない部分だけ共通化し、それぞれの業務が最適化できるよう一定の自由度を持つというスタンスです。取り組む業種が多岐にわたるので、それぞれの業種によって使うサービスや運用の文化も異なります。自由度を持たすことがスピード感を生み出しているのだと思います。このため、それぞれのチームのリーダーの権限が強いんです。情報システム部としては「管理はこうしてね」というベースとしてOneLoginは準備しますが、部門やチーム内の管理はチームに権限を移譲するということにしています。いちいち面倒見きれないですし、そのほうがお互いの工数削減にもなりますしね。Authentication(リスクベース認証)を利用しています。vLDAPはSSHのユーザー判定に使っています。開発・検証メンバーのデータベースへの接続や、踏み台サーバーへの接続におけるSSHのセッションを張るときのユーザー認証に使っています。これは社内の開発・検証のメンバーが使用しています。一部メンバーのVPN認証でも使っています。VPN機能で実現しています。VPN機器がvLDAPに問い合わせをして認証判定するという使い方はたいへんうまく動作しています。ネットワーク機器へのログインでもLDAP認証で管理画面に入る使い方をしています。vLDAPは複数の目的で活用いただいているということですね。Authentication(リスクベース認証)は全員が使っています。※4」かOTPかどちらかを選択できるようにして利用しています。Protectを推奨しているのですが、社員のスマートフォンは会社支給端末ではないため、私物に会社用のアプリを入れたくないとか、スマホとなんでも結びつけたくないという人もいるので、秘密の質問という選択肢も残しています。どちらも戸惑うことなく利用はできています。Risk」に設定しています。Risk」に設定して使っていたのですが、同じ場所からのログインでも何回もOTPリクエストが出てくるなという感じでした。Risk」に途中で変更しました。Risk」にするなどの調整は行っています。今後も運用状況を見ながら調整していくことになると思います。アカツキ様ではOneLoginの様々な機能を有効に活用されていますね。Toolkitを利用して、自社開発システムのユーザー認証が必要なものはSAML認証で判定するようにしています。Documentを見ながらやっています。今はまだ1つのサービスだけですが「ユーザー認証が必要なものがあればSAML化しようね」というのがエンジニアとの共通認識になっているので、これからも進めていくつもりです。OneLogin利用についてOneLoginへのリクエストOneLoginを使いながらいつも気づいたことはメモしています。メモを見ると管理画面に関するリクエストが多いですね。管理画面が直感的でないと感じているので、見直して欲しいです。管理画面を見ればなんとなく操作が想像できるという画面になると尚良いですね。管理画面の作りが操作に直結するものでないと、運用を引き継ぐときに非常にハードルが高くなります。ここは是非改善してほしいと米国にも強く要望をだしています。それから細かい事ですが、自社で使用するロールがたくさんあるので検索できるようになってほしいです。プロフィール画像の設定はGravatarなどと連携設定できるようになるといいなと思います。あとはLDAPのOTP設定がONかOFFかしか選べないので利用サービス単位で細かく設定できるといいですね。これらの細かい使い勝手を上げてもらえると嬉しいです。OneLogin検討企業様へのアドバイスこれから導入を考えている企業へのアドバイスをお願いします。(長谷川)いくら細かく設計しても使ってみないとOneLoginの良さはわからないので、とにかくスモールスタートしてみるのがいいと思います。一部で導入して実際に使ってみてから全体に拡大する、といった流れが良いのではないかと思います。アカツキの考え方からはそれるものですが、社内のシステムを統制する必要がある企業でこそ活用できるのではないかと思っています。弊社のように部門の自由度をなるべく高くもたせるような企業の方が設計や運用は難しくなると思います。ペンティオについてペンティオさんには、OneLoginで分からないことがあればサポートで調べていただいたり、米国に問い合わせてもらえるという安心感もありますし、日本語で対応していただけるのが良いですね。場合によっては手順を図も使って詳細に回答いただいたり、マニュアルを作成いただいたり、手厚くやっていただいて助かっています。本日は非常に中身の濃いお話をありがとうございました。今後も先輩導入企業としてのアドバイス発信をお願いします。03-5925-8850。