トラスト・ログイングループへの所属制御)が簡単に行える機能です。ADのメールアドレスとパスワードでトラスト・ログインにログインできる機能をあわせてご提供しています。新規ユーザーが登録された際、または無効となった際に、トラスト・ログインにこの情報が自動的に同期されますので、トラスト・ログイン運用、ID管理の手間を大きく削減できます。(仮削除)AD側のユーザーが同期条件に該当したときに、トラスト・ログイン側にこのユーザーが自動的に登録され、ユーザーがメールアドレスの確認を行うとすぐにトラスト・ログインの利用ができるようになります。同期条件を柔軟に指定が可能で、段階的にユーザー登録することが可能です。詳しくは、「ユーザー同期条件について」をご参照ください。同期条件に該当していたAD側のユーザーが、この条件に該当しなくなったとき、また、AD上で無効になると、トラスト・ログイン上で対象ユーザーのトラスト・ログイン利用ステータスが自動で「停止」になり、直ちにトラスト・ログインの利用ができなくなります。AD側でユーザーオブジェクトが無効にされずに物理的に削除されると、この処理の検知が行えず、トラスト・ログイン上でユーザーのステータスが「停止」になりませんので、トラスト・ログイン上でユーザーのステータスを「停止」とするためには、まずAD上でユーザーを無効にしていただく必要があります。既存のトラスト・ログインユーザーとADユーザーの紐づけについてAD連携機能を導入する前に手動やCSVアップロードによって登録されたユーザーとAD側のユーザーの紐づけも可能です。既存のトラスト・ログインユーザーと同期対象のADユーザーのメールアドレスが一致していれば、自動的に紐づけが行われます。既存のユーザーが同期対象のADユーザーに含まれていない場合、ADと紐づけされず今までのままの扱いが可能です。AD連携機能が導入されていても、手動またCSVアップロードによりADと紐づけのないのユーザーの作成が可能です。ADとの初回同期時にAD内にあるメールアドレスのユーザーがすでにトラスト・ログインにいた場合、ADのパスワード、または、もともと設定されていたトラスト・ログインのパスワード両方でログインできる状態となります。トラスト・ログインのパスワードを外したい場合には、パスワード認証のリストから対象ユーザーを外してください。同期条件でADのセキュリティグループとトラスト・ログイングループの紐づけを行うことで、ユーザーのトラスト・ログイングループへの所属の制御ができます。AD側でユーザーがセキュリティグループに所属すると、自動的に紐づけ先のトラスト・ログイングループ内に登録されます。AD側のセキュリティグループから外されたとき、トラスト・ログイン上でも紐づけ先のグループを外れます。この際、トラスト・ログイングループに割り当てられていたアプリのご利用ができなくなり、このアプリに設定していたクレデンシャルの情報が削除されますので、ご注意ください。3ユーザー属性更新AD側でユーザーオブジェクトの属性が変わった場合、トラスト・ログイン上にも該当する属性が更新されます。(仮削除)、トラスト・ログイングループの所属制御、ユーザー属性更新の処理は、リアルタイムではありません。数十分から数時間程度かかりますのであらかじめご承知おきください(時間は設定によって異なります)。上記の制御が必要な場合、AD側の情報の更新、グループへの所属制御の場合には同期設定の更新をお願いします。2-2)トラスト・ログインへのログインAD連携がしているユーザーは、ADのメールアドレスとADのパスワードを利用して、トラスト・ログインにログインができます。ADのパスワードはトラスト・ログインで一切保存されません。毎回ログイン時にADに認証の問い合わせを行いますので、常に現行のADパスワードでのログインとなります。トラスト・ログインパスワードの設定についてADパスワードによるログイン以外、別途トラスト・ログインパスワードの設定も可能です。ADに接続ができなくなったときに、トラスト・ログインにログインができないことを防ぐためです。通常、管理者だけがトラスト・ログインパスワードとADパスワード両方の認証を可能にし、一般のユーザーはADパスワードの認証だけを許可し、運用するのがおすすめのやり方ですが、ADのパスワードでログインができなくなった場合などには、すべてのユーザーにトラスト・ログインパスワードの設定を許可することができます。ユーザーにトラスト・ログインパスワードを許可した際、ユーザーのメールアドレス宛にトラスト・ログインパスワード登録メールが送信されます。パスワード認証」の「メンバー登録時に自動でパスワード認証を割り当てる」の設定はデフォルトでオンになっています。トラスト・ログインのパスワードではログインしない運用とする場合は、こちらをオフに変更ください。2-3)AD連携機能が一番発揮できる環境についてAD連携機能はお客様のAD環境の情報に依存しています。以下の条件が揃っているとAD連携機能の設定や利用がもっともスムーズになります。現在はセキュリティグループ単位で同期条件の設定が可能ですが、OU単位で同期する機能もリリース予定です。ご希望のお客さまは弊社営業窓口までご連絡ください。3.システムの仕組みについてお客様にとって、最も手間がかからない導入と運用の方法を目的とし、AD連携機能の設計・実装をしています。トラスト・ログインのAD連携機能の特徴は以下の通りです。お客様の環境に外部から接続をしない。対して読み込みだけを行い、書き込みは一切行わない。導入するのに、特殊な知識やソフトウェアは不要(ADの管理者が数時間以内に導入できる前提)3-1)インストールするソフトウェアについてAD連携機能を実現するために、お客様の環境に弊社開発のコネクターをインストールし、弊社への環境に接続を許可する必要があります。2016(日本語版、英語版とも)。お客様の環境から以下2つのアウトバウンドの接続を可能にする必要があります。b-mq-ad.services.sku.id/ポート5671現在、プロキシ経由の接続は対応しておりませんので、直接接続が可能な環境でなければなりません。インストール先のPCは、常に稼働しているドメインに参加しているWindowsマシンでなければなりません。ドメインコントローラーのマシンにインストールするのが一般的です。(消費するメモリは256MB未満です。Chromeにて進めてください。同期対象のユーザーはセキュリティグループの単位で決まりますので、ユーザーが対象のセキュリティグループに所属していることをご確認ください。同期条件に指定されたセキュリティグループ、またその配下のグループのすべてのユーザーが同期対象になります。メールアドレスが重複していないこと同期対象のユーザーの中に同じメールアドレスが設定されているユーザーオブジェクトは2つ以上存在していないことをご確認ください。二つの同じメールアドレスが存在している場合、同期時にエラーとなります。以下の項目は、トラスト・ログインでは必須になっているため、同期対象のユーザーオブジェクトに存在しなければなりません。姓、名、メールアドレスLDAPクエリーを実施するADユーザーの作成コネクターがお客様の環境でLDAPクエリーを実行するときに、ADユーザー(システムアカウント)としてクエリーを実行します。ユーザー権限が「読み込み権限」のみのユーザーを作成してください。初期パスワードの変更が不要のオプションにする必要があります。このADユーザーは専用のユーザー(システムアカウント)を作成してください。既存のユーザーを再利用した場合、検索対象のグループに入っていると検索に失敗します。定期的パスワードの変更が有効にされると、パスワードが変更される都度にトラスト・ログイン上で同期設定の変更も必要になります。2インストール手順1.AD連携機能のお申し込み完了後、AD設定が行えるようになります。「設定」ボタン)から1)コネクター設定ファイル2)コネクター自体のファイルをダウンロードします。2.コネクターのファイルはZIPファイルになっていますので、インストール先のマシンの空白や日本語の文字が入っていないパスに展開します。展開先のディレクトリは以下となります。3.コネクター設定ファイルを展開されたファイルと同じディレクトリにコピーします。コネクター設定ファイルにはトラスト・ログインコネクターが利用するクレデンシャルが含まれています。誰もがアクセスできる場所には置かないなど、お取り扱いには十分ご注意ください。4.install.batファイルをダブルクリックして、コネクターをインストールします。*.bat系ファイルがダブルクリックで起動しない場合、インストール先のフォルダーをCMDで開き、対象の*.batファイルを実行してください。Connector」サービスを開始させます。6.トラスト・ログインの管理画面からコネクターが正常に接続できたことを確認します。数分経っても、コネクター一覧にコネクターの記録が現れない場合、インストール先のPCからプロキシ経由なしで、[a-mq-ad.services.sku.id]と[b-mq-ad.services.sku.id]に[TCPポート5671]で接続が可能なことをご確認ください。そのうえでコネクター一覧にコネクターの情報が表示されない場合、コネクターのインストール先のディレクトリの[logsディレクトリ]を圧縮して、弊社サポート窓口までお問い合わせください。コネクターが10分毎に、ハートビートメッセージを送信しています。10分以上経っても、ハートビートが来ない場合、コネクターのステータスが異常です。※コネクターの冗長化について1つのマシンに対し1つのコネクターをインストールできます。冗長構成にする場合は、複数マシンにコネクターを同じ手順でインストールしてください。Connector」サービスを停止させます。サービスがアンインストールされます。そのあと、インストール先のディレクトリを削除してください。3-3)ユーザー同期設定コネクターをインストールして、接続が確認できた後、ユーザー同期設定が行えます。ユーザー同期設定では、同期対象のADセキュリティグループに加えて、お客様のドメイン、LDAP接続情報、セキュリティグループとトラスト・ログイングループの紐づけの設定が行えます。Chromeでご対応ください。その他のブラウザはサポート対象外となります。ユーザー同期設定を開きます。初期状態でユーザー同期設定画面は以下のように表示されます。4.「ドメイン追加」をクリックして、同期設定を行います。