RipplingとSCIM Bridgeを接続し、1Passwordの人とグループを自動で管理する手順です。Ripplingは自動プロビジョニングに対応していないため、接続にはSCIM Bridgeを使います。SCIM Bridgeの置き場所は、自社の基盤とRippling側の自動ホスティングの2つから選べます。手順はほぼ同じですが、scimsessionファイルを誰が持つかが変わるので、先に決めておく必要があります。このページでは、Ripplingでできること、SCIM Bridgeをどこでホストするか、1Password側の準備、Rippling側での接続、属性とグループの設定、開始した後の動きを説明します。
Ripplingでできること
Ripplingで行った操作は、1Password側で次のように反映されます。
| Ripplingでの操作 | 1Password側の結果 |
|---|---|
| 人を作る | 1Passwordにも人が作られ、招待が届く |
| 属性を変える | 対応付けた1Passwordの属性が変わる |
| 人を無効にする、1Passwordへのアクセスを外す | アカウントが一時停止される |
| グループの所属を変える | 1Passwordのグループの所属が変わる |
| TeamsやDepartmentsをグループに対応付ける | そのメンバーが1Passwordのグループに出入りする |
1PasswordのグループはRipplingの画面から選べるようになります。サインインの方法は変わりません。アカウントの完全な削除は、一時停止の後に1Password側で行います。
SCIM Bridgeをどこでホストするか
自動ホスティングを選ぶと、デプロイの作業はRipplingに任せられます。その代わりに、scimsessionファイルとベアラートークンをRipplingに渡します。この2つは組み合わせるとアカウントの情報にアクセスできるもので、ほかの接続では誰にも渡さない扱いです。
| 観点 | 自社の基盤 | Ripplingの自動ホスティング |
|---|---|---|
| デプロイの作業 | 自社で行う | Ripplingに任せる |
scimsessionファイルを持つ者 | 自社だけ | 自社とRippling |
| 用意するもの | クラウドの基盤、DNS、運用の担当 | 1Password側のクレデンシャルだけ |
SCIM Bridgeを選ぶ利点は、鍵を扱う処理が自社の環境にしかないことです。自動ホスティングは、その役割をRipplingに預ける選択になります。人事の情報を既にRipplingに預けていて、同じ水準で任せていいと判断できるなら、自動ホスティングが現実的です。預けられない場合は、デプロイ先の選択と構成に従って自社の基盤にデプロイします。
【注意】 どちらを選んでも、
scimsessionファイルとベアラートークンをRippling以外に渡してはいけません。社内の手順書やチャットに貼らず、1Passwordのアイテムとしてだけ保管してください。
1Password側で準備する
自動ホスティングを使う場合は、Ripplingの作業の前にクレデンシャルを作ります。
- 1Password.comにサインインし、サイドバーの
統合でRipplingを選びます。 - 以前に作ったプロビジョニングの統合の詳細が表示された場合は、統合を無効にしてからやり直します。
- 画面の案内に従ってセットアップを済ませ、
scimsessionファイルとベアラートークンを1Passwordのアイテムとして保存します。
自社の基盤にデプロイする場合は、デプロイと1Passwordとの接続まで先に済ませます。そのうえで、統合のプロビジョニングの画面で、ユーザーとグループのプロビジョニングがオンになっていることを確かめます。
Rippling側で接続する
Ripplingにサインインし、次の順に進めます。
Add New Appを選び、1Passwordを検索して選びます。- 1Passwordのアプリケーションのページで
Connect Accountを選びます。 I'm the 1Password admin, I'll install itを選びます。- 自動ホスティングにする場合は、
Yes, set up auto-hosting.を選びます。SCIM session fileにscimsessionファイルをドラッグし、1Password bearer tokenにベアラートークンを入れてUploadを選びます。
scimsessionファイルとベアラートークンをRipplingに渡す（画像は英語表示）自社の基盤にデプロイした場合は、No, don't set up auto-hosting. I will host the SCIM bridge myself.を選び、SCIM BridgeのURLとベアラートークンを入れます。1Password SCIM Bridge URLには、SCIM BridgeのURL（https://scim.example.comなど）を入れます。1Passwordのサインインアドレスではありません。
どちらの場合も、次の手順へ進むボタンを選び、画面の案内に従ってRipplingの設定を終えます。
属性とグループを設定する
接続が済んだら、1Passwordのアプリケーションのページで3つの設定を行います。
属性の同期の設定
SettingsのAttribute mappingを開き、Editを選びます。Display Nameの属性のCadenceをOn user creation and updatesに変えます。これで、作成時だけでなく更新のたびに属性が送られ、メールアドレスの変更も1Passwordに届くようになります。
対象者の範囲
1Passwordに誰を作るかは、Access RulesのEditで決めます。最初は情報システム部門など少人数に絞り、招待と確認が流れることを確かめてから広げます。
グループの対応付け
TeamsやDepartmentsのメンバーを1Passwordのグループに入れるには、Groupsタブでグループの横のEditを選び、TeamやDepartmentの名前を入れてConfirmを選びます。1Passwordに既にあるグループを同期させたい場合は、1Password側でプロビジョニングの管理対象のグループに加えます。以前にSCIM Bridgeで同期していたグループは、必ず選び直してください。選び漏れると、同じ名前のグループが重複して作られることがあります。
開始した後の動き
プロビジョニングを始めると、1Passwordの既存のメンバーは、メールアドレスが一致するRipplingの人に紐づきます。一致しない人には招待が改めて届くので、始める前にアドレスを変えてもらってください。
参加した人は、SCIM Bridgeが5分以内に自動で確認します。確認待ちが続く場合の対処は運用、更新、トラブル対応で扱います。
Ripplingからの招待は期限切れになりません。受け入れないまま2日たつと、催促のメールが届きます。手動の招待のように5日で消えることはないので、割り当てを誤った人への招待も残り続けます。対象者の範囲を広げたときは、招待の画面で未参加の人を確かめる習慣をつけてください。
人やグループが1Passwordに反映されない場合は、まず1Password側でユーザーとグループのプロビジョニングがオンになっているかを確かめます。