Omnissa Identity Service と汎用 ID プロバイダの統合

Omnissa Connect で Omnissa Identity Service を有効にした後、SCIM 2.0 ベースの ID プロバイダとの統合を設定します。

1. Omnissa Identity Service の [はじめに] ウィザードのステップ 2、[SCIM 2.0 ベースの ID プロバイダの統合] で [開始] をクリックします。

2. [SCIM 2.0 ID プロバイダ] カードで [設定] をクリックします。

   

3. ウィザードに従って、ID プロバイダとの統合を設定します。

手順 1：ディレクトリの作成

Omnissa Identity Service を使用してユーザー プロビジョニングと ID フェデレーションを設定する最初の手順として、Omnissa Connect コンソールで、ID プロバイダからプロビジョニングされたユーザーとグループのディレクトリを作成します。

注意：ディレクトリを作成した後、ID プロバイダの選択を変更することはできません。必ず、適切な ID プロバイダを選択してから先に進んでください。

手順

1. ウィザードのステップ 1、[全般情報] で、Omnissa Identity Service のプロビジョニングされたディレクトリに使用する名前を入力します。

   名前の長さは最大 128 文字です。使用できるのは、英字（a ～ z、または他の言語で同等の文字）、数字（0 ～ 9）、スペース、ハイフン (-)、アンダースコア (_) のみです。

   **重要：**作成したディレクトリの名前を変更することはできません。

2. [ドメイン名] には、.com や .net などの拡張子を含む、ソース ディレクトリのプライマリ ドメイン名を入力します。

   Omnissa Identity Service は現在、1 つのドメインのみをサポートしています。プロビジョニングされたユーザーとグループは、Omnissa サービスでこのドメインに関連付けられます。

   ドメイン名の長さは最大 100 文字です。使用できるのは、英字（a ～ z、または他の言語で同等の文字）、数字（0 ～ 9）、スペース、ハイフン (-)、アンダースコア (_)、ピリオド (.) のみです。

   例：

   

3. [保存] をクリックし、選択を確認します。

次のステップ

ユーザーとグループのプロビジョニングを設定します。

手順 2：ユーザーとグループのプロビジョニングの設定

Omnissa Identity Service でディレクトリを作成したら、ユーザーとグループのプロビジョニングを設定します。プロビジョニングに必要な管理者認証情報を生成して Omnissa Identity Service でプロセスを開始し、これらの認証情報を使用して ID プロバイダでプロビジョニングを構成します。

**注：**この情報は、Microsoft Entra ID および Okta 以外の SCIM 2.0 ベースの ID プロバイダに適用されます。Omnissa Identity Service を Microsoft Entra ID と統合するには、「Omnissa Identity Service と Microsoft Entra ID の統合」を参照してください。Omnissa Identity Service を Okta と統合するには、「Omnissa Identity Service と Okta の統合」を参照してください。

**注：**このトピックでは、サードパーティ ID プロバイダの構成に関する概要を提供します。タスクの正確な手順と場所は、ID プロバイダによって異なります。具体的な情報については、ID プロバイダのドキュメントを参照してください。

前提条件

ユーザー プロビジョニングのセットアップに必要な権限を持つ ID プロバイダの管理者アカウントがあること。

手順

1. Omnissa Connect コンソールで、Omnissa Identity Service ウィザードのステップ 2、[ID プロバイダの構成] を実行し、ID プロバイダでユーザー プロビジョニングを設定するために必要な認証情報のタイプを選択します。

   次のいずれかを選択します。

   • クライアント ID とシークレット
   • テナント URL とトークン トークンの有効期限が切れると、手動で更新する必要があるため、[クライアント ID とシークレット] が推奨されます。セキュリティのベスト プラクティスとして、6 か月ごとにクライアント ID とクライアント シークレットをローテーションします。

   [次へ] をクリックすると、Omnissa Identity Service によって認証情報が生成されます。

2. [クライアント ID とシークレット] を選択した場合は、[クライアント ID] と [クライアント シークレット] の値をコピーします。

   重要：****[次へ] をクリックする前に、シークレットをコピーしてください。[次へ] をクリックすると、シークレットは表示されなくなり、新しいシークレットの生成が必要になります。シークレットを再生成するたびに、以前のシークレットが無効になり、プロビジョニングが失敗することに注意してください。新しいシークレットをコピーして ID プロバイダ アプリケーションに貼り付けてください。

   例：

   

3. [テナント URL とトークン] を選択した場合は、生成された値を確認してコピーします。

   • [テナント URL]：Omnissa Identity Service テナントの SCIM 2.0 エンドポイント。値をコピーします。

   • トークンの存続期間：シークレット トークンが有効な期間

     デフォルトでは、Omnissa Identity Service は存続期間が 6 か月のトークンを生成します。トークンの存続期間を変更するには、下矢印をクリックして別のオプションを選択し、[再生成] をクリックして新しい値でトークンを再生成します。

     **重要：**トークンの存続期間を更新すると、以前のトークンが無効になり、ID プロバイダからのユーザーとグループのプロビジョニングは失敗します。新しいトークンを再生成し、そのトークンをコピーして ID プロバイダに貼り付ける必要があります。

   • シークレット トークン：ユーザーを Omnissa Identity Service にプロビジョニングするために ID プロバイダで必要なトークン。値をコピーします。

     重要：****[次へ] をクリックする前に、トークンをコピーしてください。[次へ] をクリックすると、トークンは表示されなくなり、新しいトークンの生成が必要になります。トークンを再生成するたびに、以前のトークンが無効になり、プロビジョニングが失敗することに注意してください。新しいトークンをコピーして ID プロバイダに貼り付けてください。

   例：

   

   トークンがまもなく期限切れになると、Omnissa Identity Service にバナー通知が表示されます。E メールも受信したい場合は、E メール通知の受信をオプトインしていることを確認します。「E メール通知を有効にする方法」を参照してください。

4. ID プロバイダで、Omnissa Identity Service へのユーザーとグループのプロビジョニングを設定します。

   1. ID プロバイダ コンソールに管理者としてログインします。

   2. SCIM 2.0 プロビジョニングを設定します。

      プロンプトが表示されたら、Omnissa Connect コンソールで生成した認証情報を入力します。

   3. プロビジョニングを有効にします。

次のステップ

Omnissa Connect コンソールに戻り、Omnissa Identity Service ウィザードを続行します。

手順 3：SCIM ユーザー属性のマッピング

ID プロバイダから Omnissa サービスに同期するユーザー属性をマッピングします。ID プロバイダのコンソールで、必要な SCIM ユーザー属性を追加し、ID プロバイダ属性にマッピングします。少なくとも、Omnissa Identity Service とそれに統合された Omnissa サービスで必要な属性は同期します。

Omnissa Identity Service および Omnissa サービスには、次の SCIM ユーザー属性が必要です。

• userName
• emails[type eq "work"].value
• name.givenName
• name.familyName
• externalId
• active

これらの属性の詳細と、Omnissa 属性へのマッピング方法については、「Omnissa Identity Service のユーザー属性マッピング」を参照してください。

必須の属性に加え、オプションの属性やカスタム属性も同期可能です。サポートされているオプション属性とカスタム属性のリストについては、「Omnissa Identity Service のユーザー属性マッピング」を参照してください。

手順

1. Omnissa Connect コンソールで、Omnissa Identity Service ウィザードのステップ 3、[SCIM ユーザー属性のマッピング] の、Omnissa Identity Service がサポートしている属性のリストを確認します。

2. ID プロバイダ管理コンソールで、Omnissa Identity Service のプロビジョニング構成に移動します。

3. 属性マッピング ページに移動します。

4. 必要な SCIM ユーザー属性を ID プロバイダ属性にマッピングします。

5. 必要に応じて、オプションおよびカスタムの SCIM ユーザー属性を追加およびマッピングします。

次のステップ

Omnissa Connect コンソールに戻り、Omnissa Identity Service ウィザードを続行します。

手順 4：認証プロトコルの選択

フェデレーション認証に使用するプロトコルを選択します。Omnissa Identity Service は、OpenID Connect および SAML プロトコルをサポートします。

注意：慎重に選択してください。プロトコルを選択して認証を構成した後は、ディレクトリを削除しない限り、プロトコルの種類を変更することはできません。

Workspace ONE UEM における特定のユーザー名およびパスワードベースのフローに関する要件（パスワード付与のフロー）

パスワード付与のプロトコルに依存する Workspace ONE UEM のユーザー名およびパスワードベースのフローを使用する場合は、Omnissa Identity Service で認証プロトコルとして OpenID Connect を選択する必要があります。

Workspace ONE UEM の [ディレクトリ サービス] ページの [パスワードの付与] 設定を有効にして、レガシーのパスワード付与プロトコルを使用する権限を付与する必要もあります。「Omnissa Identity Service の Workspace ONE UEM 設定の構成」を参照してください。

これらの要件が適用されるフローの一覧については、「特定の Workspace ONE UEM ユーザー名およびパスワードベースのフローのサポート」を参照してください。

手順

1. ウィザードのステップ 4、[認証プロトコルの選択] で、[OpenID Connect] または [SAML] を選択します。

2. Workspace ONE UEM で基本ユーザーを作成する場合は、[UEM 基本ユーザー認証のセットアップ] を展開し、[UEM の基本ユーザー認証] オプションを有効にします。

   詳細については、「Workspace ONE UEM 基本ユーザーの認証の構成」を参照してください。

3. [次へ] をクリックします。

   ウィザードの次のステップが、選択したプロトコルの構成に必要な値とともに表示されます。

次のステップ

フェデレーション認証用に Omnissa Identity Service と ID プロバイダを構成します。

手順 5：認証の構成（汎用 SCIM ID プロバイダ）

ID プロバイダを使用してフェデレーション認証を構成するには、Omnissa Identity Service のサービス プロバイダ メタデータを使用して ID プロバイダで OpenID Connect または SAML アプリケーションを設定し、アプリケーションの値を使用して Omnissa Identity Service を構成します。

**注：**このトピックでは、サードパーティ ID プロバイダの構成に関する概要を提供します。タスクの正確な手順は、ID プロバイダによって異なります。具体的な情報については、ID プロバイダのドキュメントを参照してください。

OpenID Connect

認証プロトコルとして OpenID Connect を選択した場合は、次の手順を実行します。

1. Omnissa Identity Service ウィザードのステップ 5、[OpenID Connect の構成] で、[リダイレクト URI] の値をコピーします。

   この値は、次の手順に進み、ID プロバイダで OpenID Connect アプリケーションを作成するときに必要になります。

   

2. ID プロバイダ管理コンソールで、OpenID Connect アプリケーションを作成します。

3. アプリケーションで [リダイレクト URI] セクションを見つけ、Omnissa Identity Service ウィザードからコピーした [リダイレクト URI] の値をコピーして貼り付けます。

4. アプリケーションのクライアント シークレットを作成し、コピーします。

   シークレットは、次の手順で Omnissa Identity Service ウィザードに入力します。

5. Omnissa Connect コンソールの Omnissa Identity Service ウィザードに戻り、[OpenID Connect の構成] セクションで構成を完了します。

   クライアント ID	ID プロバイダ アプリケーションからのクライアント ID 値をコピーして貼り付けます。
   クライアント シークレット	ID プロバイダ アプリケーションからのクライアント シークレットをコピーして貼り付けます。
   構成 URL	ID プロバイダ アプリケーションの OpenID Connect の既知の構成 URL をコピーして貼り付けます。例：https://example.com/.well-known/openid-configuration
   OIDC ユーザー ID 属性	ユーザー検索用に Workspace ONE 属性にマッピングする OpenID Connect 属性を指定します。
   Workspace ONE ユーザー ID 属性	ユーザー検索用に OpenID Connect 属性にマッピングする Workspace ONE 属性を指定します。

6. Omnissa Identity Service ウィザードで [終了] をクリックして、Omnissa Identity Service と ID プロバイダ間の統合の設定を完了します。

SAML

認証プロトコルとして SAML を選択した場合は、次の手順を実行します。

1. Omnissa Connect コンソールからサービス プロバイダのメタデータを取得します。

   Omnissa Identity Service ウィザードのステップ 5、[SAML シングル サインオンを構成する] から、[SAML サービス プロバイダのメタデータ] をコピーまたはダウンロードします。

   

2. ID プロバイダ管理コンソールで、シングル サインオンの構成ページに移動します。

3. Omnissa Identity Service ウィザードの値を使用してシングル サインオンを構成します。

   一般的な構成手順には、ID プロバイダがサポートする内容に基づいて、次のいずれかが含まれます。

   • サービス プロバイダのメタデータ オプションを見つけ、Omnissa Identity Service ウィザードからの [SAML サービス プロバイダのメタデータ] をアップロードまたはコピーして貼り付けます。

   • ID プロバイダにメタデータ ファイルをアップロードするオプションがない場合、または設定を個別に構成する場合は、Omnissa Identity Service ウィザードのステップ 5 の次の値をコピーして、ID プロバイダ コンソールの対応するフィールドに貼り付けます。

     [エンティティ ID] 値：たとえば、https://yourIdentityServiceFQDN/SAAS/API/1.0/GET/metadata/sp.xml のようになります。

     [シングル サインオン URL] 値：たとえば、https://yourIdentityServiceFQDN/SAAS/auth/saml/response のようになります。

     署名付き証明書

     [暗号化証明書]（[詳細オプション] の下）：ID プロバイダで SAML 暗号化を有効にする場合に必要です。

4. ID プロバイダ コンソールから ID プロバイダの SAML メタデータを見つけてコピーします。

5. Omnissa Connect コンソールで、Omnissa Identity Service ウィザードのステップ 5、[SAML シングル サインオンを構成する] を実行し、ID プロバイダ メタデータを [ID プロバイダ メタデータ] テキスト ボックスに貼り付けます。

   

6. 必要に応じて、[SAML シングル サインオンを構成する] セクションの残りのオプションを構成します。

   • [バインディング プロトコル]：SAML バインディング プロトコル（[HTTP POST] または [HTTP リダイレクト]）を選択します。

   • [名前 ID の形式]：[名前 ID の形式] および [名前 ID 値] 設定を使用して、ID プロバイダと Omnissa Identity Service 間でユーザーをマッピングします。[名前 ID の形式] には、SAML 応答で使用される名前 ID の形式を指定します。

   • [名前 ID 値]：SAML 応答で受信した名前 ID 値をマッピングする Omnissa Identity Service ユーザー属性を選択します。

   • [SAML コンテキスト]：SAML 認証コンテキストを選択します。ドロップダウン メニューに表示される値の 1 つを選択するか、カスタム値を入力します。デフォルト値は [urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified] です。

     認証コンテキストは、ユーザーが ID プロバイダでどのように認証されるかを示します。ID プロバイダは、サービス プロバイダから要求があった時または ID プロバイダでの構成に基づいて、アサーションに認証コンテキストを含めます。

   • [SAML 要求のサブジェクトを送信（可能な場合）]：ユーザー ログインのエクスペリエンスを向上させるためにログイン ヒントとしてサブジェクトを ID プロバイダに送信する場合は、このオプションを選択します（使用可能な場合）。

   • [SAML シングル ログアウトを使用]：ユーザーが Omnissa サービスからログアウトした後に ID プロバイダ セッションからユーザーをログアウトする場合は、このオプションを選択します。

   • [ID プロバイダのシングル ログアウト URL]：ID プロバイダが SAML シングル ログアウトをサポートしていない場合は、このオプションを使用して、Omnissa サービスからログアウトした後にユーザーをリダイレクトする URL を指定できます。このオプションを使用する場合は、[SAML シングル ログアウトを使用] チェック ボックスも選択します。

     このオプションを空白のままにすると、ユーザーは、SAML シングル ログアウトを使用して ID プロバイダにリダイレクトされます。

7. ウィザードで [終了] をクリックして、Omnissa Identity Service と ID プロバイダ間の統合の設定を完了します。

結果

Omnissa Identity Service と ID プロバイダ間の統合が完了しました。

Omnissa Identity Service でディレクトリが作成され、ID プロバイダのプロビジョニング アプリケーションからユーザーとグループをプッシュするとポピュレートされます。プロビジョニングされたユーザーとグループは、Omnissa Access や Workspace ONE UEM など、ID プロバイダと統合するために選択した Omnissa サービスに自動的に表示されます。

Omnissa Access、Workspace ONE UEM、または Horizon Cloud の各コンソールでは、ディレクトリを編集することはできません。ディレクトリ、ユーザー、ユーザー グループ、ユーザー属性、および ID プロバイダの各ページは読み取り専用です。

次のステップ

次に、ユーザーとグループをプロビジョニングする Omnissa サービスを選択します。

選択したサービスに Workspace ONE UEM が含まれている場合は、Workspace ONE UEM Console で追加の設定を構成します。

次に、ID プロバイダからユーザーとグループをプッシュします。「Workspace ONE へのユーザーのプロビジョニング」を参照してください。