俺です。

モデン情シスアドベントカレンダー2018です。
１日は３２時間あるからまだ12/19だぞと思っていたら世間一般的に日付が変わるギリギリのエントリでした。反省。

さて、孤軍奮闘しているAtlassianな管理者を、会社組織の一員として迎えるTipsです。
Confluence Server Editionを例としています。

会社でAtlassian製品運営してるけど、User Provisioningはポチポチするとか、
登録情報を内部データベースに持つとかAtlassian人が一気に増えたらどーすんの腱鞘炎になるよ。
ということでAtlassian JIRAやConfluenceにはLDAP(Active Directory)連携機能があります。

ナニができるのか

全てADのユーザーとグループで制御できるようになります。
Confluenceユーザー管理職人を社内に登用する必要がなくなります。
最高。

ユーザー登録と削除
ログイン
グループ登録
グループへのConfluence権限関連付け

ConfluenceでのADグループ連携実装例

ConfluenceのAD連携機能の標準フィルターでは、ベースDNのcn=Person全て登録するフィルタになっており、
購入したライセンス数を超えるAtlassian人を創造してしまうことが考えられます。

そこでAD上のユーザーとグループを以下条件でフィルタ登録する例を記載します。
記載するフィルタ構文は以下ベースDNとしています。
ベースDN: ou=oreno,dc=corp,dc=co,dc=jp

AD連携のフィルタ条件

ConfluenceUsersグループに登録されたユーザーをConfluence一般利用者権限でアクセスさせたい
ConfluenceAdminsグループに登録されたユーザーをConfluence管理者権限でアクセスさせたい

フィルター例

ユーザーフィルター

memberOfがConfluenceUsersまたはConfluenceAdminsに所属するPersonのsAMAccountNameを抽出します。

(&(objectCategory=Person)(sAMAccountName=*)(|(memberOf=cn=ConfluenceUser,ou=oreno,dc=corp,dc=co,dc=jp)(memberOf=cn=ConfluenceAdmins,ou=oreno,dc=corp,dc=co,dc=jp)))

グループフィルター

ADのグループ名がConfluenceから始まるものをConflunenceのグループとして抽出します。

(&(objectCategory=Group)(name=Confluence*))

Confluenceに連携したグループへmemberof登録

ユーザーメンバーシップの属性を使用 は グループのメンバーを探す場合 にチェックを付けます。

これでADに登録するだけでConfluenceの利用者を制御することができます。
最高。