Entra ID が ID プロバイダの場合のネストされたグループの移行

グループを Active Directory から Workspace ONE UEM に同期すると、そのすべてのユーザーと、その下にネストされたグループに属するユーザーが同期されます。Workspace ONE UEM では、グループがフラット化され、すべてのユーザーが同期された最上位のグループに含まれます。ネストされたグループは、明示的に同期されない限り、Workspace ONE UEM に表示されません。

グループは Microsoft Entra ID と同じ方法で同期されません。Microsoft Entra ID はネストされたグループのプロビジョニングをサポートしていないため、グループをプロビジョニング アプリケーションに割り当てるだけでは、その下のすべての階層レベルのユーザーが Omnissa Identity Service および Workspace ONE UEM にプロビジョニングされることを期待することはできません。

Active Directory のネストされたグループの移行をサポートするために、Omnissa Identity Service は Entra ID の動的グループを使用したソリューションを提供します。Active Directory にネストされたグループがある場合、すべてのグループのユーザー メンバーを Omnissa Identity Service ディレクトリに引き継ぐには、移行の前提条件としてこの手順を実行する必要があります。

注：このトピックにおけるユーザーへの言及は、個別に同期されるユーザーではなく、グループのメンバーであるユーザーを指します。

プロセスの概要

1. 現在 Active Directory から Workspace ONE UEM に同期されているすべてのユーザーとグループが Active Directory から Entra ID に同期済みであることを確認します。

2. Active Directory から Workspace ONE UEM に直接同期されるすべてのグループのリストを作成し、その中のすべての親グループを特定します。親グループは、別のグループを含む任意のグループとして定義されます。

3. Workspace ONE UEM に直接同期されるすべての親グループについて、Entra ID で対応する動的グループを作成します。

   • グループの説明の distinguishedName 属性を使用して、動的グループを対応する Active Directory グループにマッピングします。
   • 対応する Active Directory グループと、その下にあるすべてのネストされたグループ（すべてのレベル）に属するユーザーが動的グループに含まれるように、動的ルールを設定します。ネストされたグループは、親グループを持つ任意のグループとして定義されます。

4. 動的グループをプロビジョニング アプリケーションに割り当てます。
   重要：動的グループのみを割り当てます。対応する Active Directory グループを割り当てないでください。両方のグループを割り当ててはなりません。

5. プロビジョニング アプリケーションに、Workspace ONE UEM に直接同期され、直接ユーザー メンバーシップのみを持つ（ネストされたグループがない）残りのセキュリティ グループを割り当てます。

例

この例では、グループ A は Active Directory から Workspace ONE UEM に直接同期され、そのユーザー、およびその下にあるすべてのネストされたグループのユーザーもデフォルトで Workspace ONE UEM に同期されます。Entra ID からプロセスをレプリケートするには、グループ A に対応する動的グループを作成し、グループ A 階層のすべてのユーザーが含まれるように動的ルールを設定します。

前提条件

• Entra ID の管理者ロールを持っていること。
• 現在 Active Directory から Workspace ONE UEM に同期されているすべてのユーザーとグループが Active Directory から Entra ID に同期済みであることを確認します。
• Workspace ONE UEM に直接同期されるすべてのグループのリストを作成し、その中のすべての親グループを特定します。また、各親グループの distinguishedName も書き留めます。

手順

1. Microsoft Entra 管理センターに管理者としてログインします。

2. [グループ] > [すべてのグループ] ページに移動します。

3. [新しいグループ] をクリックして、Workspace ONE UEM に直接同期される親グループの 1 つに対応する動的グループを作成します。

4. 新しいグループに以下の情報を入力します。

   • [グループ タイプ]：[セキュリティ] を選択します。

   • [グループ名]：グループの名前を入力します。

   • [グループの説明]：次の情報を入力して、動的グループを対応する Active Directory グループにマッピングします。

   <urn:ietf:params:scim:schemas:extension:ws1b:2.0:Group:distinguishedName:ADgroupDN> additionalDescription
   

   ここで、ADgroupDN は対応する Active Directory グループの distinguishedName で、additionalDescription はグループの説明です。

   例：

   <urn:ietf:params:scim:schemas:extension:ws1b:2.0:Group:distinguishedName:CN=ACME-Users,CN=Users,DC=acm,DC=admin,DC=dc,DC=acmecorp,DC=com> This group contains all the admin users.
   

   

   • [メンバーシップ タイプ]：[動的ユーザー] を選択し、[動的クエリの追加] リンクをクリックして動的グループ ルールを指定します。

   1. [動的メンバーシップ ルール] ページで、[ルール構文] ボックスの横にある [編集] をクリックします。

   2. [ルール構文の編集] ページで、[ルール構文] ボックスに次のルールを入力します。

      user.memberOf -any (group.objectId -in ["group1id", "group2id", "group3id"])
      

      ここで、group1id、group2id、および group3id は、対応する Active Directory グループとその下のすべてのネストされたグループ（すべてのレベル）のオブジェクト ID です。

      例：

      user.memberOf -any (group.objectId -in ["f7f04c4f-fca4-b956-83a5f2d3cc", "bf3307bc-d232-4f82-c5e15294b1", "00a1ff94-2036-4d4a-ccb661195d"])
      

      グループのオブジェクト ID は、Entra ID 管理センターのグループの [概要] ページで確認できます。

      注意：グループ ID のみを動的グループに追加してください。ユーザー ID は追加しないでください。

      

   3. [OK] をクリックし、[保存] をクリックします。

5. [作成] をクリックしてグループを作成します。

   注：動的ルールが処理され、ユーザーがグループに追加されるまで待機します。このプロセスは、特に大規模なグループの場合、時間がかかることがあります。

6. 動的グループのユーザーが、Workspace ONE UEM グループ内のユーザーと一致することを確認します。

   1. Entra ID 管理センターで動的グループを選択し、左側のペインで [メンバー] を選択します。

   2. ユーザーが Workspace ONE UEM ユーザーと一致することを確認します。

7. 作成したプロビジョニング アプリケーションに動的グループを割り当て、ユーザーとグループを Omnissa Identity Service にプロビジョニングします。

   詳細については、「Omnissa Identity Service へのユーザーのプロビジョニング」を参照してください。

   重要：動的グループのみをアプリケーションに割り当てます。対応する Active Directory グループを割り当てないでください。

8. 上記の手順を繰り返して、Workspace ONE UEM に直接同期される各親グループごとに動的グループを作成して割り当てます。

9. プロビジョニング アプリケーションに、Workspace ONE UEM に直接同期され、直接メンバーシップのみを持つ（ネストされたグループがない）残りのセキュリティ グループを割り当てます。