LoginSignup
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 3 years have passed since last update.

@gustolove(hattori t)

【AzureAD】Workplace by facebookとのSSO及びユーザープロビジョニング

Posted at

WorkplaceとSSOとユーザプロビジョニングを構成してみました。
参考になればと思います

workplaceの登録

workplaceの登録にはworkplaceのトップページから作成できます。
ただし、ドメイン毎にテナントを持っており、他のテナントに登録されているドメインだと作成ができません。

image.png
メールアドレスを入れると、登録したメールアドレスにworkplaceからメールが届き、アカウントをアクティブ化すればテナントの最初のユーザーとして登録できます。
image.png
初回登録時はトライアルで30日間アドバンスモードが使用できます。
アドバンス以上でないとSSOが出来ないので注意が必要です。
image.png

ドメインの認証

Workplaceはドメイン毎にテナントで管理されていて、ドメインの認証をすることで
ドメインの所有権を持つ形になります。（ほかのworkplaceテナントが同じドメイン名で登録できなくする）
ドメインの認証をさせないと、SSOができませんので、まずドメインの認証をおこないます。

設定から[メールドメイン］を選択します。
image.png
今回はメールアドレスの認証でおこなってみます。アドレスは選択式だったのでhostmasterのアドレスあてに送付しました。
image.png
image.png
選択したメールアドレスに認証コードが届きますので、そのコードを入力すると
ドメイン認証がされます。
image.png
メールアドレスの認証がされました
image.png

SSOの設定

SSOの設定に移ります。
まずworkplaceのURLとなる会社のサブドメインを決めます。
ここでは以下のように設定してみました。
image.png

SSOの設定はセキュリティタブの認証タブから設定が出来ます。[+新しいSSOプロバイダーを追加］します
image.png

こちらの設定を埋めていきます。

image.png
image.png

AzureAD側の設定
AzureADにログインし、workplaceのアプリを登録します。
エンタープライズアプリケーションの画面で、Workplaceで検索し、[追加］をクリックします
image.png

概要から[シングルサインオンの設定］をクリック
image.png
[SAML]をクリックします
image.png

識別子→workplaceのオーディエンスURLを入力
応答URL→workplaceの受信者のURLを入力
サインオンURL→ログイン用のURLを入力
image.png

それと連携にはユーザーの登録が必要ですので、アプリの画面からユーザとグループを選択し割りあてておきます。
image.png

これでAzuere側の設定が完了です。
続いて、workplace側の設定をするために、以下の情報を取得しておきます
シングルサインオンの設定画面から　証明書(base64）をダウンロードしておきます。

image.png
それとログインURLとAzureAD識別子をメモ帳等に貼り付けておきます。

image.png

workplcae側の設定に戻り、AzureADから取得した設定値を入力します
SSOプロバイダー名　→適当な名前
SAMLURL　→AzureADのログインURL
SAML発行元URL　→AzureAD識別子
SAML証明書　→ダウンロードした証明書をテキスト等で開き内容をすべてコピペ
image.png

入力後[TESTSSO]をクリックします
image.png

無事SSOが出来ました。
image.png
※テストをしないとSSOの登録ができないので気を付けてください↓
image.png

ユーザープロビジョニング

続いてユーザープロビジョニングを実施してみます。
workplaceでは　ユーザプロビジョニングすると、新規ユーザーはworkplaceのデフォルトグループに所属されます。
これをユーザーがworkplace登録時にマーケティングチームに参加させてみようと思います。
グループを分けることで、workplace参加時に例えばデフォルトグループは全員公開にして、他のグループはグループに参加している人しか見れないようにする等が可能になります。

workplace側グループの設定

右側の[…]から管理グループを選択
image.png
[管理オプション]を選択
image.png
[グループ設定]を選択
image.png
自動メンバーシップ[メンバールール]を設定
image.png
ここでは役職に営業が含まれたらマーケティングチームに属するように
設定してみました。
image.png

Microsoft GraphでAzureADのユーザー属性を見てみます。
役職は"jobTitle": "営業部長"となっていました。
AzureADでのjobTitleがworkplaceの役職に
プロビジョニングされれば、マーケティングチームに所属されるはずです。
image.png

プロビジョニングの設定

ではプロビジョニングの設定をしてみます。

AzureADのworkplaceアプリ画面でプロビジョニングタブを選択し、
プロビジョニングモードを手動にします
image.png
管理者資格情報で[承認する]をクリックする
image.png
以下の画面が表示されるので、[workplaceに追加］をクリックします。
image.png

そうするとworkplace側にプロビジョニングのアプリが作成されます。
image.png
この統合を使用して追加された人をその都度workplaceに自動的に招待します
をONにします。
image.png
※workplaceへの参加は以下のような設定ができます。
上記はユーザーがプロビジョニングされたタイミングで、招待メールを送る設定をしています
image.png
プロビジョニングするユーザーを追加します。
ここではtestuserを追加しました
image.png
プロビジョニング開始ボタンをクリックします
image.png
無事Workplace側に追加されました。
image.png
プロビジョニングされると、ユーザーに招待メールが送られます
join your teamをクリックします
image.png
Azureのアカウントでログインします。
image.png
登録するをクリックします。
image.png
無事プロビジョニングされたユーザーでSSOできました
image.png
マーケティングチームにも追加されています。
image.png
ユーザーの役職が営業部長になっています。無事プロビジョニングされてますね。
image.png

まとめ

無事SSOとユーザープロビジョニングをすることができました。
認証連携はそこまで難しくなかったのですが、workplace側の仕組みをある程度理解しておく必要があると感じました
以上です。

0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?