JumpCloudとOneLoginとの統合

JumpCloudとOneLoginも、1Passwordがホストする自動プロビジョニングで接続します。1Password側の作業はどちらも同じで、SCIMのURLとベアラートークンを発行してIDプロバイダーのアプリに入れるだけです。違うのはIDプロバイダー側の作りです。JumpCloudはユーザーグループをアプリに結びつけると人とグループの両方が同期され、OneLoginはロールを1Passwordのグループに対応付けます。OneLoginでは、削除したときの動作と表示名の並び順にも注意が要ります。このページでは、2つに共通する準備、JumpCloudでのアプリケーションの追加と設定、OneLoginでのアプリケーションの追加と接続、OneLoginでのプロビジョニングの有効化、稼働後に確かめることを説明します。

2つに共通する準備

作業する人は、1Password側で所有者か管理者グループに属している必要があります。既存のメンバーのメールアドレスのドメインは、全て許可ドメインに入れておきます。gmail.comのような公開ドメインは登録できません。

1Password側の操作は次の通りです。

1. 1Password.comにサインインし、サイドバーの統合を選びます。
2. ユーザープロビジョニングのセクションで、JumpCloudかOneLoginを選びます。
3. ホスト型プロビジョニングをセットアップする操作を選びます。
4. 表示されたSCIMのURLとベアラートークンを1Passwordのアイテムとして保存し、次に進みます。
5. この画面を開いたまま、IDプロバイダーの作業に移ります。

IDプロバイダーに入れるのはSCIMのURLで、1Passwordのサインインアドレスではありません。どちらのIDプロバイダーでも、末尾にスラッシュを付けないでください。

JumpCloudにアプリケーションを追加する

JumpCloud Administrator Portalで次の順に進めます。

1. サイドバーのAccessにあるSSO Applicationsを選びます。
2. Add New Applicationを選び、1Passwordを検索します。
3. 結果から1Passwordを選び、Nextを選びます。表示名は1Password Businessなど、後から用途が分かるものにします。
4. Bookmark URLに、1Passwordのサインインアドレス（https://example.1password.comなど）を入れます。
5. Save Applicationを選び、続けてConfigure Applicationを選びます。

JumpCloudで接続とグループを設定する

アプリケーションのIdentity Managementタブで接続を設定します。

1. Enable management of User Groups and Group Membership in this applicationがオンになっていることを確かめます。
2. Configuration Settingsを開き、Base URLにSCIMのURL、Token Keyにベアラートークンを貼り付けます。
3. Updateを選びます。

続けてUser Groupsタブで、1Passwordに同期するグループにチェックを入れて保存します。チェックを入れたグループの人が1Passwordに作られ、グループも同じ名前で作られます。

後から対象を変えるときも、このタブでチェックを付け外しします。グループの中の人を変えるには、グループを選んでUsersから付け外しします。同期を止めるには、アプリケーションでDeactivate IdM connectionを選び、確定して保存します。

OneLoginにアプリケーションを追加して接続する

OneLoginの管理画面で次の順に進めます。

1. Applications and ResourcesからAdd Appを選びます。
2. 1Password Businessを検索して選び、Saveを選びます。
3. アプリケーションのConfigurationを開きます。
4. SCIM Base URLにSCIMのURL、SCIM Bearer Tokenにベアラートークンを貼り付けます。URLはhttpsで始まっている必要があります。
5. Enableを選び、Saveを選びます。

OneLoginでプロビジョニングを有効にする

アプリケーションのサイドバーでProvisioningを開きます。

1. Enable provisioningをオンにします。
2. 管理者の承認を求める3つのチェックは外したままにします。チェックを入れると、その操作はOneLogin側で承認されるまで1Passwordに送られません。
3. 削除や割り当ての解除のときの動作はSuspendを選びます。
4. OneLoginで一時停止したときの動作もSuspendを選びます。
5. Saveを選びます。

退職者のデータを後から取り出せるように、1Password側は一時停止にとどめ、削除は期間を置いてから1Password側で行います。

既定の対応付けでは、表示名が{firstname} {lastname}のマクロで作られます。日本人の名前は名、姓の順に並ぶので、姓を先にしたい場合はこの対応付けを変えてください。1Passwordのグループへの同期はOneLoginのロールで行い、サイドバーのRulesでロールの割り当ての規則を作ります。

稼働後に確かめること

既存の1Passwordのメンバーは、メールアドレスが一致すればIDプロバイダーのユーザーと紐づきます。一致しない人には招待が改めて届くので、開始の前にアドレスをそろえてもらいます。2日たっても受け入れていない人にはリマインドが届きます。

2つのIDプロバイダーの違いをまとめると、次の通りです。

観点	JumpCloud	OneLogin
対象の決め方	アプリに結びつけたユーザーグループ	アプリへのアクセス権とロール
1Passwordのグループの元	ユーザーグループ	ロール
注意する設定	グループ管理のスイッチ	承認のチェック、削除時の動作、表示名のマクロ

1Passwordに既にあるグループをIDプロバイダーから管理したい場合は、1Password側で管理対象のグループに加えます。人やグループが作られない場合は、1Password側の統合からホスト型プロビジョニングを開き、IDプロバイダーとの同期のスイッチがオンになっているかを確かめます。