手順 4：Omnissa Identity Service に移行する

移行プロセスの最後のタスクは、ディレクトリ サービスを Workspace ONE UEM（および該当する場合は Omnissa Access）から Omnissa Identity Service に移行することです。このタスクはステージで実行し、いくつかの初期ステージからロールバックできます。ただし、ユーザー プロビジョニングを移行する最後の手順は元に戻すことができないため、移行を完了する準備ができた場合にのみ続行します。

移行ステージには以下が含まれます。

• Workspace ONE UEM（および該当する場合は Omnissa Access）の準備

  Omnissa Identity Service のユーザー ID マッピングが Workspace ONE UEM および Omnissa Access にプッシュされます。

• Workspace ONE UEM（および該当する場合は Omnissa Access）から Identity Service への認証の切り替え

  フェデレーション ユーザーは、Workspace ONE UEM または Omnissa Access によって認証されるのではなく、Identity Service を介して ID プロバイダによって認証されます。また、[UEM の基本ユーザー認証] オプションを有効にした場合、Workspace ONE UEM 基本ユーザーは Workspace ONE UEM によって認証されます。

  Omnissa Access で構成されたアクセス ポリシーが適用されます。

  このステージで、ユーザー認証フローをテストします。このステージではプロビジョニングに変更はなく、ユーザーは引き続き Active Directory から Workspace ONE UEM および Omnissa Access にプロビジョニングされます。

  注：Workspace ONE UEM と Omnissa Identity Service の間でユーザー名の形式が一致しない場合、移行プロセスの認証の切り替えフェーズでは、[デバイス] > [モバイル代理セットアップ] > [代理セットアップ デバイスの追加] フローは機能しません。

  重要：この手順を実行する前に、認証エクスペリエンスの変更をエンド ユーザーに伝える必要があります。

• Active Directory から Identity Service へのユーザー プロビジョニングの移行

  この手順により、移行プロセスが完了します。ユーザーは、Identity Service を介してクラウド ID プロバイダから Workspace ONE UEM（および該当する場合は Omnissa Access）にプロビジョニングされます。Active Directory からは同期されなくなります。AirWatch プロビジョニング アプリケーションを使用していた場合、ユーザーはアプリケーションからプロビジョニングされなくなり、Omnissa Access でアプリケーションが削除されます。

  この手順は、前の手順で認証を切り替えた後にエンド ユーザーがログインできることを検証した後にのみ実行してください。

  注意：この手順は元に戻せません。この手順を実行した後、Workspace ONE UEM または Omnissa Access ディレクトリ サービスの使用にロールバックすることはできません。Workspace ONE UEM および Omnissa Access のユーザー属性は Omnissa Identity Service の値で上書きされます。

手順

1. Omnissa Connect コンソールで、左側のペインから [ID 管理] > [エンド ユーザー管理] を選択します。

2. [エンド ユーザー管理の起動] をクリックします。

   ブラウザで Omnissa Identity Service が新しいタブで開きます。

3. [Omnissa Identity Service] タブの右側にある [構成手順] ペインで、[ディレクトリ データを比較する] 手順に進みます。

4. [ディレクトリ データを比較する] ページで、[移行に進む] をクリックします。

5. ポップアップに表示されているディレクトリの相違点を確認し、相違点が許容される場合は、[移行に進む] をクリックします。

   相違点を解決する場合は、[キャンセル] をクリックして [ディレクトリ データを比較する] ページに戻ります。

6. [移行] をクリックします。

7. [Identity Service に移行する] ページで、[UEM の準備] または [UEM と Access の準備] をクリックします。

   続行する前に、「UEM の準備完了」または「UEM と Access の準備完了」の確認メッセージが表示されるまでお待ちください。

   **注**：この手順をロールバックして、[ディレクトリ データを比較する] ページに戻ることができます。通常、ID プロバイダで属性マッピングを変更する場合、または Identity Service のユーザーまたはグループ属性に影響を与えるその他の変更を行う場合に、ロールバックを実行します。
   

8. [認証の切り替え] をクリックし、選択を確認します。

   テストを続行する前に、「認証の切り替え完了」の確認メッセージが表示されるまでお待ちください。

   認証を切り替えると、ユーザーは Workspace ONE UEM または Omnissa Access ではなく Identity Service を介して認証されます。フェデレーション ユーザーは、認証のために ID プロバイダにリダイレクトされます。[UEM の基本ユーザー認証] オプションを有効にした場合、Workspace ONE UEM 基本ユーザーは Workspace ONE UEM によって認証されます。

   Omnissa Access で構成されたアクセス ポリシーが適用されます。

9. ユーザーがログインできることを確認します。

   ユーザーがログインしたら、認証のために ID プロバイダにリダイレクトされ、正常にログインできることを確認します。レポートで [既存のユーザー]（Workspace ONE UEM または Omnissa Access と Identity Service の両方に存在するユーザー）として報告されたすべてのユーザーは、ログインできるようになります。

   注：レポートで新しいユーザーとしてリストされている一部のユーザーもログインできる場合があります。不足しているユーザーはログインできません。レポートが生成された後、新しいユーザーが Active Directory から Workspace ONE UEM または Omnissa Access に同期され、Identity Service が Identity Service ディレクトリでユーザーを照合できた場合、ユーザーはログインできるようになります。Identity Service は、定期的に新しいユーザーを照合しようとします。この手順には最大で 1 時間かかることがあります。

10. 認証フローのテストが完了したら、次の手順を実行します。

    • 認証に失敗した場合は、障害を調査します。

      障害を調査する 1 つの方法は、Omnissa Access コンソールで監査イベントを確認することです。Omnissa Connect ホーム ページで、[サービスを起動] の下にある [アクセス] タイルをクリックして、コンソールにアクセスします。監査イベントの表示については、「Omnissa Access での監査イベント レポートの生成」を参照してください。

      ID プロバイダと Omnissa Identity Service 間のマッピングが正しくないことが原因で障害が発生したと思われる場合は、認証をロールバックし、ユーザー属性マッピングを変更して、ディレクトリの比較を再度実行できます。そのためには、[認証のロールバック] をクリックし、選択を確認します。これで、[UEM の準備]（または [UEM と Access の準備]）手順に戻ります。[準備のロールバック] をクリックし、[レポートに移動] をクリックして [ディレクトリ データの比較] ページに戻ります。このページから、引き続き障害の調査やレポートの確認ができるほか、新しいレポートを実行して Identity Service と Workspace ONE UEM または Omnissa Access のディレクトリを比較することも可能です。

      認証をロールバックすると、ユーザーは再び Workspace ONE UEM または Omnissa Access を介して認証されます。

    • 認証に成功し、続行する準備ができたら、[エンド ユーザーが Identity Service を介してログインできることを確認します] チェック ボックスをオンにして、[次へ] をクリックします。

11. Identity Service への移行を完了する準備ができたら、「手順 3：ユーザー プロビジョニングを移行する」の [プロビジョニングの移行] をクリックします。

    注意：この手順は元に戻せません。[プロビジョニングを移行する] をクリックすると、移行プロセスが完了し、前のステージにロールバックできなくなります。

    この手順は、完了までに時間がかかることがあります。ページを離れて、後で進行状況を確認するために戻ることができます。

    移行中に、Workspace ONE UEM または Omnissa Access ディレクトリ内の属性が Identity Service ディレクトリと異なるユーザーは、Identity Service の値と一致するように Workspace ONE UEM または Omnissa Access で更新されます。Identity Service ディレクトリにのみ存在する新しいユーザーは、Workspace ONE UEM および Omnissa Access に作成されます。Workspace ONE UEM または Omnissa Access ディレクトリにのみ存在する、不足しているユーザーはそのまま残されます。Workspace ONE UEM および Omnissa Access で不足しているユーザーを削除することをお勧めします。不足しているユーザーを削除するための関連 API ドキュメントをご希望の場合は、サポートにお問い合わせください。Workspace ONE UEM ドキュメントの「Omnissa Identity Service の移行フェーズ」セクションも参照してください。

    Identity Service は、このステージですべてのユーザー、グループ、およびメンバーシップの照合を 1 回試行します。

    移行が完了すると、ユーザーは、Identity Service を介して ID プロバイダから Workspace ONE UEM および Omnissa Access にプロビジョニングされます。Active Directory からは同期されなくなります。

これで、Workspace ONE UEM ディレクトリ（および該当する場合は Omnissa Access ディレクトリ）が Omnissa Identity Service に移行されました。今後は、Workspace ONE UEM または Omnissa Access コンソールではなく、Omnissa Connect の [ID 管理] > [エンド ユーザー管理] からアクセスする Omnissa Identity Service からディレクトリを管理します。

次のステップ

• ID プロバイダから urn:ietf:params:scim:schemas:extension:ws1b:2.0:User:altExternalId マッピングを削除します。

• （Workspace ONE UEM と Omnissa Access の両方のディレクトリを移行する場合に適用されます）移行中に Omnissa Access グループ名が変更されたため、Omnissa Access でグループ名を使用するすべての SAML アプリケーション、WS-Fed アプリケーション、および SCIM コネクタ構成を更新してください。groupname@domain の代わりに groupname を使用するには、構成を手動で更新する必要があります。

• （Workspace ONE UEM と Omnissa Access の両方のディレクトリを移行する場合に適用されます）移行プロセス中に属性を更新した場合は、Omnissa Access でそれらの属性を使用するすべての SAML アプリケーション、WS-Fed アプリケーション、および SCIM コネクタ構成を更新してください。

• （AirWatch プロビジョニング アプリケーションが構成されている Workspace ONE UEM ディレクトリと Omnissa Access ディレクトリを移行する場合に適用されます）Omnissa Access で元のディレクトリ（タイプが「その他」）に関連付けられている OAuth 2.0 クライアントを削除します。また、ID プロバイダで、このディレクトリへのユーザーとグループのプロビジョニングに使用されたアプリケーションでのプロビジョニングを無効にします。

  注意：Omnissa Identity Service 用に作成した新しいプロビジョニング アプリケーションは削除しないように注意してください。