サードパーティのディレクトリを Foxpass と同期する
さらに、グループ ホワイトリスト機能があり、Foxpass の使用を組織のサブセットに制限できます。これらの機能を有効にするには、まずグループ同期を有効にする必要があります。
注: ディレクトリ同期にはパスワードは含まれません。認証をサードパーティのディレクトリにも委任したい場合は、 パスワード委任 を確認してください。
ユーザー同期図
グループ同期図
ここでは、ディレクトリを Okta と同期するように Foxpass をセットアップする方法について説明します。
「管理者」、「ディレクトリ」、「ユーザーの追加」の下にあります。
ユーザーの詳細を追加し、「Save」をクリックします。
Add Person
「管理者」、「セキュリティ」、「管理者」の順に進みます。「Foxpass」ユーザーに読み取り専用の管理者権限を付与します。
ステップ 1 で作成した Foxpass ユーザーとして Okta にログインします。次に、 http://developer.okta.com/docs/api/getting_started/getting_a_token の指示に従って API キーを生成します。
Foxpass の「 同期 」ページに移動します。「Okta」タブをクリックします。ドロップダウン メニューの 1 つまたは両方から [はい] を選択し、Okta サイトの URL と生成した API キーを入力して [保存] をクリックします。
Okta 同期が構成されました
「今すぐ同期」ボタンをクリックします。 「同期が正常に開始されました」という成功メッセージが表示されます。 [OK] をクリックすると、下の図に示すようにボックスで同期ステータスを確認できます。
前回の同期は成功しました
これで、 [ユーザー] ページに同期されたユーザーが表示されるようになります。
Okta から同期されたユーザーを含むサンプル ユーザー ページ
グループの同期を有効にしている場合は、同期中にインポートされるグループを許可できます。これは、Foxpass で使用されているグループのサブセットのみをインポートしたい組織に役立ちます。グループ同期が有効になると、同期が許可されているグループ プレフィックスを追加するフィールドが表示されます。グループの同期プロセス中に、そのプレフィックスで始まらないグループは Foxpass と同期されません。
グループの同期を有効にしている場合は、特定のグループから許可されたユーザー リストを追加できます。これは、ディレクトリのサブセットのみに Foxpass へのアクセスを許可したい組織に役立ちます。グループの同期が有効になると、同期が許可されているグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのメンバーで はない ユーザーは、自動的に「非アクティブ」としてマークされます。
グループ同期を有効にしている場合は、特定のグループに属する許可されていないユーザーのリストを作成できます。これは、Foxpass へのアクセスを必要としないマシン アカウントまたはロール アカウントが多数ある組織に役立ちます。グループの同期が有効になると、同期から無視するグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのいずれかのメンバーであるユーザー は 、自動的に「非アクティブ」としてマークされます。
組織の Okta ディレクトリに、組織の別の部門のユーザーや、Foxpass で使用したくないフリーランサーが多数含まれている場合は、Okta 同期の ドメイン制限 機能を有効にすることができます。これにより、新しい非ドメイン ユーザーが Okta から Foxpass に同期されなくなります。
たとえば、会社のドメインが @example.comで、 @bigcorp.com に買収され、 Oktaディレクトリが統合された場合、この設定を有効にすると、 @example.com ユーザーのみが Foxpass と同期されます。これは、別の電子メール ドメインを持つ外部ユーザーにも適用されます。
このドキュメントでは、ディレクトリを Google Workspace と同期するように Foxpass を設定する方法について説明します。 注: これはディレクトリ情報のみを同期します。Foxpass アカウントで Google パスワードを使用するには、 Google IMAP / Foxpass パスワード委任 および Google LDAP / Foxpass パスワード委任 を確認してください。
Foxpass の「 同期 」ページに移動します。「Google」タブをクリックします。ドロップダウン メニューの 1 つから [はい] を選択し、[アカウントの認証] ボタンをクリックします。
ユーザー同期を承認する
その後、Google はデータへのオフライン アクセスを要求します。これは、Foxpass がディレクトリ データにアクセスするために必要です。「同意する」をクリックすると、Foxpass にリダイレクトされます。
アクセスを許可します
最初のセットが失敗した場合のバックアップとして、2 番目の資格情報のセットを追加することをお勧めします。同期を承認した管理者が退職し、Google アカウントが無効になった場合、最初の認証情報セットの失敗が発生します。別の管理者に Foxpass にログインしてもらい、[Authorize Account for Sync] ボタンをクリックして、別の資格情報セットを承認することができます。
ページの上部に緑色のチェックマークが表示されていれば、資格情報は問題ありません。
「今すぐ同期」ボタンをクリックします。「同期が正常に開始されました」というメッセージが表示されます。
グループの同期を有効にしている場合は、同期中にインポートされるグループの許可リストを作成できます。これは、Foxpass で使用されているグループのサブセットのみをインポートしたい組織に役立ちます。グループ同期が有効になると、許可リストに追加するグループ プレフィックスを追加するフィールドが表示されます。グループの同期プロセス中に、そのプレフィックスで始まらないグループは Foxpass と同期されません。
グループの同期を有効にしている場合は、特定のグループに属する許可されたユーザーを追加できます。グループ同期は、ディレクトリのサブセットのみが Foxpass にアクセスできるようにしたい組織に役立ちます。グループの同期が有効になると、許可されているグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのメンバーで はない ユーザーは、自動的に「非アクティブ」としてマークされます。
グループ同期を有効にしている場合は、特定のグループに属する許可されていないユーザーのリストを作成できます。これは、Foxpass へのアクセスを必要としないマシン アカウントまたはロール アカウントが多数ある組織に役立ちます。グループの同期が有効になると、同期から無視するグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのいずれかのメンバーであるユーザーは 、自動的に「非アクティブ」としてマークされます。
これは、パスワード検証を OneLogin に委任するように Foxpass をセットアップする方法を説明しています。
次の手順に従って、「ユーザーの読み取り」API 資格情報ペアを作成します:
https://developers.onelogin.com/api-docs/1/getting-started/working-with-api-credentials
「クライアント シークレット」と「クライアント ID」をコピーします。
Foxpass の「 同期 」ページに移動します。「OneLogin」タブをクリックします。ドロップダウン メニューの 1 つまたは両方から [はい] を選択し、前の手順でコピーした API 資格情報を入力して、使用する米国 (US) または欧州 (EU) のエンドポイントを選択します。
オプションで、グループ同期中に OneLogin グループの代わりに OneLogin ロールを Foxpass に同期できます。グループ同期を有効にした後、[グループではなく OneLogin ロールを同期する] チェックボックスをオンにするだけで準備完了です。
グループの同期を有効にしている場合は、同期中にインポートされるグループのリストを許可できます。これは、Foxpass で使用されているグループのサブセットのみをインポートしたい組織に役立ちます。グループ同期が有効になると、許可リストに追加するグループ プレフィックスを追加するフィールドが表示されます。グループの同期プロセス中に、そのプレフィックスで始まらないグループは Foxpass と同期されません。
グループの同期を有効にしている場合は、特定のグループに属する許可されたユーザーを追加できます。これは、ディレクトリのサブセットのみに Foxpass へのアクセスを許可したい組織に役立ちます。グループの同期が有効になると、許可されているグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのメンバーで はない ユーザーは、自動的に「非アクティブ」としてマークされます。
グループの同期を有効にしている場合は、特定のグループに属する許可されていないユーザーのリストを作成できます。これは、Foxpass へのアクセスを必要としないマシン アカウントまたはロール アカウントが多数ある組織に役立ちます。グループの同期が有効になると、同期から無視するグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのいずれかのメンバーであるユーザーは 、自動的に「非アクティブ」としてマークされます。
ここでは、ディレクトリを Office 365 と同期するように Foxpass をセットアップする方法について説明します。
Foxpass の「 同期 」ページに移動します。「Office 365」タブをクリックします。ドロップダウン メニューの 1 つから [はい] を選択し、[アカウントの認証] ボタンをクリックします。次に、Office 365 は、Foxpass がディレクトリ データにアクセスするために必要な、データへのオフライン アクセスを要求します。
「ユーザー同期用のアカウントを承認」をクリックします
[同意する] をクリックすると、Foxpass にリダイレクトされます。ページの上部に緑色のチェックマークが表示されていれば、資格情報は問題ありません。
「同意する」をクリックします
管理者権限に関する注意
Foxpass を同期するには、Office 365 管理者権限の特定のセットが必要です。 グローバル管理者 ロールが最適ですが、 クラウド アプリケーション管理 者ロールと ユーザー管理者 ロールを同時に割り当てることができる最小限のロール セットを割り当てたいと考えています。
最初のセットが失敗した場合のバックアップとして、2 番目の資格情報のセットを追加することをお勧めします。これは、同期を承認した管理者が退職し、Office 365 アカウントが無効になっている場合に発生する可能性があります。別の管理者に Foxpass にログインしてもらい、[Authorize Account for Sync] ボタンをクリックして、別の一連の資格情報を承認することができます。
Azure 条件付きアクセス ポリシーを有効にしている場合は、Foxpass のサーバーからの要求が許可されていることを確認してください。
Azure AD で作成されたグループは、Microsoft の Graph API から同期されません。さらに、電子メールのないグループ ( セキュリティ グループなど ) は、既定では Foxpass と同期されません。 このドキュメント を読んで、さまざまな種類の Office 365 グループの詳細を確認してください。
グループが同期で機能するかどうかわからない場合は、 Microsoft Graph API エクスプローラー の [グループ] セクションにある [組織内のすべてのグループ] エンドポイントを使用して、グループが API エンドポイントから返され、メール送信があるかどうかを確認します。それに関連付けられたアドレス。
電子メールが関連付けられていないセキュリティ グループまたはその他の Office 365 グループを同期する場合は、グループ同期を構成した後、[同期] ページで [ 電子メールなしでグループを同期] 機能を有効にします。
グループの同期を有効にしている場合は、同期中にインポートされるグループのリストを許可できます。これは、Foxpass で使用されているグループのサブセットのみをインポートしたい組織に役立ちます。グループ同期が有効になると、許可リストに追加するグループ プレフィックスを追加するフィールドが表示されます。グループの同期プロセス中に、そのプレフィックスで始まらないグループは Foxpass と同期されません。
グループの同期を有効にしている場合は、特定のグループに属する許可されたユーザーを追加できます。これは、ディレクトリのサブセットのみに Foxpass へのアクセスを許可したい組織に役立ちます。グループの同期が有効になると、許可されているグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのメンバーで はない ユーザーは、自動的に「非アクティブ」としてマークされます。
グループの同期を有効にしている場合は、特定のグループに属する許可されていないユーザーのリストを作成できます。これは、Foxpass へのアクセスを必要としないマシン アカウントまたはロール アカウントが多数ある組織に役立ちます。グループの同期が有効になると、同期から無視するグループをマークするフィールドが表示されます。グループの同期プロセス中に、これらのグループのいずれかのメンバーであるユーザーは 、自動的に「非アクティブ」としてマークされます。
指定したグループ内のユーザーを非アクティブ化する
このドキュメントでは、LDAP ディレクトリを Foxpass と同期する方法について段階的なガイドを提供します。同期プロセスにより、Foxpass 内でのシームレスなユーザー プロビジョニング、プロビジョニング解除、およびグループ メンバーシップ管理が保証され、LDAP ディレクトリで行われた変更が反映されます。
前提条件
LDAP サーバーの詳細: アドレス、バインド DN、バインド パスワード。
LDAP でユーザーとグループを検索するためのベース DN。
ステップ
- Foxpass の同期ページに移動します。
- 「LDAP」タブをクリックします。
「LDAP」タブをクリックします
- ユーザーを同期するには、「はい」をクリックします。
ユーザー同期: ユーザーを LDAP と自動的に同期しますか?
ユーザーを同期する「はい」を選択します
-
LDAP URI、ベース DN、バインド ユーザー、およびバインド パスワードを入力します。他のエントリはオプションであり、ユースケースに応じて入力できます。必要に応じて、 「 LDAP プロトコル」として「OpenLDAP」または「Active Directory」を選択します。
-
「保存」をクリックします
LDAPの詳細を入力します
LDAP同期
-
「今すぐ同期」ボタンをクリックします。確認ダイアログが表示されます。
同期が正常に開始されました
-
「OK」をクリックします。
-
「LDAP 同期情報」で同期ステータスを確認します。
グループ同期を有効にしている場合は、同期中にインポートされるグループを許可できます。これは、Foxpass で使用されるグループのサブセットのみをインポートする必要がある組織に役立ちます。グループ同期が有効になると、同期を許可するグループ プレフィックスを追加するフィールドが表示されます。グループ同期プロセス中、そのプレフィックスで始まらないグループは Foxpass と同期されません。
グループ同期が有効になっている場合は、特定のグループから許可されたユーザーのリストを追加できます。これは、ディレクトリのサブセットのみに Foxpass へのアクセスを許可したい組織にとって便利です。グループ同期を有効にすると、同期を許可するグループをマークするフィールドが表示されます。グループ同期プロセス中、これらのグループのメンバーではないユーザーは自動的に「非アクティブ」としてマークされます。
グループ同期を有効にしている場合は、特定のグループに属する許可されていないユーザーのリストを取得できます。これは、Foxpass にアクセスする必要のない多数のマシン アカウントまたはロール アカウントを持つ組織に役立ちます。グループ同期を有効にすると、同期から無視するグループをマークするフィールドが表示されます。グループ同期プロセス中、これらのグループのいずれかのメンバーであるユーザーは自動的に「非アクティブ」としてマークされます。
