Omnissa Identity Service のトラブルシューティング

ID プロバイダから Omnissa Identity Service にプロビジョニングされたディレクトリのプロビジョニングおよび認証エラーをトラブルシューティングするには、ID プロバイダ、Omnissa Identity Service、Omnissa サービス（Omnissa Access、Workspace ONE UEM、Horizon Cloud など）のログと監査イベントを確認します。

ID プロバイダのプロビジョニング ログの確認

プロビジョニング エラーについては、まず ID プロバイダのプロビジョニング ログを確認して、Omnissa Identity Service へのユーザーまたはグループのプロビジョニングでエラーがあったかを調べ、エラーを解決します。

Microsoft Entra ID

Microsoft Entra 管理コンソールでは、プロビジョニング アプリケーションの [プロビジョニング] ページでプロビジョニング ログを確認できます。

[プロビジョニング ログ] ページで、ユーザーをクリックして詳細を表示します。

Google Workspace

Google Workspace のプロビジョニング ログを見つける方法については、Google Workspace ドキュメントの「ユーザーの自動プロビジョニングを管理する」を参照してください。

Omnissa Identity Service のプロビジョニング ログの確認

Omnissa Identity Service のプロビジョニング ログを確認して、Omnissa Identity Service から Omnissa Access や Workspace ONE UEM などのサービスにユーザーをプロビジョニングする際にエラーがあったかどうかを確認します。

1. Omnissa Identity Service に移動します。

   • クラウド：Omnissa Connect コンソールにログインし、左側のペインから [ID 管理] > [エンド ユーザー管理] の順に選択し、[エンド ユーザー管理の起動] をクリックします。
   • オンプレミス：Omnissa Access コンソールにログインし、[統合] > [Identity Service] の順に選択し、[SCIM プロビジョニングの構成] をクリックします。

   ブラウザで Omnissa Identity Service が新しいタブで開きます。

2. ディレクトリ カードの [表示] をクリックします。

3. [ステータス] タブを選択して、プロビジョニングのステータスとエラーを表示します。

詳細については、「Omnissa Identity Service のプロビジョニング ステータスとエラーの表示」を参照してください。

[ステータス] タブにはリアルタイムのエラーが表示されます。履歴データを表示するには、[イベント] タブで監査イベントを確認します。詳細については、「Omnissa Identity Service の監査イベントの表示」を参照してください。

Workspace ONE UEM ログの確認

Workspace ONE UEM の次のトラブルシューティング リソースを使用します。

• 次のフォルダにあるプロビジョニング ログと初期構成ログ：

  C:\AirWatch\Logs\AW_Core_Api

• 構成エラー：

  • 構成には次の GET API を使用します。

    Workspace_ONE_UEM_URL/api/system/provisioning/config/locationgroupuuid

  • コア API ログのエラーを確認します。

• プロビジョニングの問題については、コア API ログで SCIM API からのエラーまたは例外を確認します。

Omnissa Access 監査イベントの確認

Omnissa Access の監査イベントで認証の失敗を確認します。

1. Omnissa Access コンソールで、[監視] > [レポート] の順に選択します。

2. ドロップダウン メニューから [監査イベント] を選択します。

3. ユーザーを指定し、イベントのタイプを選択して時間枠を指定し、[表示] をクリックします。

   認証の失敗については、[LOGIN] および [LOGIN_ERROR] イベントを確認してください。

一般的な問題

Entra ID

• OpenID Connect を使用して Microsoft Entra ID がサードパーティ ID プロバイダとして構成されている場合、ユーザーが認証できない

  Omnissa Identity Service ウィザードのステップ 5、[OpenID Connect の構成] に、Microsoft Entra ID の OpenID Connect アプリケーションの正しい値をコピーしたことを確認します。特に、[クライアント シークレット] と [アプリケーション (クライアント) ID] の値を確認します。「手順 5：認証の構成」を参照してください。

• Microsoft Entra ID でユーザーを削除しても、Omnissa Identity Service からユーザーが削除されない

  Microsoft Entra ID でユーザーを削除すると、アカウントは削除される前に一定期間サスペンドされます。その間、ユーザーは、Omnissa Identity Service で無効になります。削除されたユーザーのユーザー名は Microsoft Entra ID でも変更され、変更は Omnissa Identity Service に反映されます。詳細については、「Microsoft Entra ID ユーザーの削除の仕組み」を参照してください。

• Microsoft Entra ID でユーザーおよびグループの属性値を削除しても、Omnissa Identity Service の値が削除されない

  Microsoft Entra ID では、すでに Omnissa Identity Service と同期されているユーザーまたはグループの属性値を削除しても、それと統合されている Omnissa Identity Service および Omnissa サービスの値は削除されません。Microsoft Entra ID は null 値を伝達しません。

  回避策として、値を完全にクリアする代わりに、スペース文字を入力します。

• Microsoft Entra ID または Okta で属性マッピングを削除しても、Omnissa Identity Service のユーザーから属性が削除されない

  Microsoft Entra ID または Okta のプロビジョニング アプリケーションから属性マッピングを削除しても、変更は Omnissa Identity Service に伝達されません。Omnissa Identity Service およびそれに統合されている Omnissa サービスのユーザーの属性は削除されません。

• プロビジョニングの再起動が必要になる場合がある

  Microsoft Entra ID からプロビジョニングされたグループに対して Omnissa Identity Service で変更を加えた場合（たとえば、ユーザーまたはグループを削除した場合）、データをリストアするには、Microsoft Entra 管理センターでプロビジョニングを再開する必要がある場合があります。詳細については、Microsoft ドキュメントの「Microsoft Entra ID でのプロビジョニングに関する既知の問題」を参照してください。

Okta

• グループ属性マッピングがサポートされない

  Omnissa Identity Service が Okta と統合されている場合、Omnissa Identity Service と同期するグループ属性マッピングを Okta で指定することはできません。マッピングできるのはユーザー属性のみです。

• Microsoft Entra ID または Okta で属性マッピングを削除しても、Omnissa Identity Service のユーザーから属性が削除されない

  Microsoft Entra ID または Okta のプロビジョニング アプリケーションから属性マッピングを削除しても、変更は Omnissa Identity Service に伝達されません。Omnissa Identity Service およびそれに統合されている Omnissa サービスのユーザーの属性は削除されません。

その他の問題

• login_hint が送信されない

  OpenID Connect プロトコルを使用してサードパーティの ID プロバイダを Omnissa Identity Service と統合する場合、login_hint 機能が動作しません。証明書利用者が login_hint を送信した場合、Omnissa Identity Service はそれを ID プロバイダに渡しません。

• トークンの有効期限の通知が届かない

  Omnissa Identity Service トークンの有効期限が近付くか、期限切れになると、Omnissa Connect コンソールのバナーおよび E メールの両方で通知されます。通知が届かない場合は、Omnissa Identity Service が Workspace ONE Intelligence と統合されていることを確認します。

  1. Omnissa Connect にログインします。
  2. [統合] > [データ ソース] を選択します。
  3. [Omnissa Access] カードを見つけます。
     **注：**Omnissa Identity Service は、Omnissa Access サービスと同じ場所にあります。
  4. Omnissa Access カードに [認証済み] ステータスが表示されていることを確認します。
  5. Omnissa Access カードに [認証済み] と表示されない場合は、カードの [セットアップ] をクリックします。
  6. [開始する] をクリックします。
  7. [Omnissa Access に接続] をクリックします。
  8. [終了] をクリックします。

  バナー通知が表示されても E メール通知が届かない場合は、E メール通知の受信をオプトインしていることを確認します。「E メール通知を有効にする方法」を参照してください。

• ディレクトリの作成後にサードパーティの ID プロバイダを変更する

  Omnissa Identity Service を有効にし、サードパーティの SCIM 2.0 ID プロバイダを選択してディレクトリを作成した後、ID プロバイダの選択を変更することはできません。ID プロバイダを変更するには、Omnissa Identity Service を無効にしてから再度有効にする必要があります。

  Omnissa Identity Service を無効にするには、「Omnissa Identity Service の無効化」の手順に従います。

• 有効にした Omnissa Identity Service を無効にする

  次のようなシナリオでは、Omnissa Identity Service の無効化が必要になる場合があります。

  • Omnissa Identity Service を試すために有効にしたが、今は無効にしたいと考えている。
  • ユースケースが Omnissa Identity Service ではサポートされていない。
  • ユーザーとグループを Active Directory から直接同期したいと考えている。これは、Omnissa Connect ではなく、Workspace ONE UEM、Omnissa Access、または Horizon Cloud でディレクトリを構成する場合にのみサポートされます。

  Omnissa Identity Service を無効にするには、「Omnissa Identity Service の無効化」の手順に従います。サービスを無効にした後、Workspace ONE UEM、Omnissa Access、または Horizon Cloud でディレクトリ サービスと ID フェデレーションを直接構成できます。

• Omnissa Identity Service を無効にした後に有効にしようとするとエラーが発生する

  ディレクトリを削除し、Omnissa Identity Service を無効にした場合、再度有効にしようとするとエラーが発生することがあります。

  ディレクトリが削除されるまでに時間がかかります。Omnissa Access コンソールに移動し、ディレクトリが削除されていることを確認してから、Omnissa Identity Service の有効化を再度試みます。

Workspace ONE UEM の電話番号の形式に関する問題

Omnissa Identity Service を介してユーザーを Workspace ONE UEM にプロビジョニングすると、電話番号属性に関連するプロビジョニング エラーが発生することがあります。次に例を示します。

• [400] {"detail":"Please provide a valid phoneNumber of type 'work'.","schemas":["urn:ietf:params:scim:api:messages:2.0:Error"],"scimType":"InvalidSyntax","status":"400"}

• [400] {"detail":"1: The value for 'Value' can not have more than 20 characters. ","schemas":["urn:ietf:params:scim:api:messages:2.0:Error"],"status":"400"}

これらのエラーは、電話番号が Workspace ONE UEM の形式または長さの要件と一致しない場合に発生します。Workspace ONE UEM の電話番号の要件は次のとおりです。

• 最小長：電話番号は 10 文字以上にする必要があります。
• 最大長：電話番号は 20 文字以下にする必要があります。
• 文字制限：英字は使用できません。

この問題を解決するには、ID プロバイダの式を使用して、電話番号属性を Workspace ONE UEM で受け入れられる形式に変換します。詳細については、次のセクションを参照してください。

式を使用した属性マッピングの問題の修正

属性に関連するプロビジョニング エラーが発生した場合は、ID プロバイダの属性マッピング式を使用して、Omnissa Identity Service にプロビジョニングする前に属性を再フォーマットできます。Entra ID や Okta などの ID プロバイダの式ビルダーを使用すると、プロビジョニング フェーズで属性値を変換できます。

• Entra ID での式の使用に関する詳細については、「Microsoft Entra ID での属性マッピングの式の記述に関するリファレンス」を参照してください。
• Okta での式の使用の詳細については、「Okta 式の言語の概要」を参照してください。

式ビルダーを使用して、次のような問題を修正できます。

• Workspace ONE UEM へのプロビジョニング中の電話番号の形式または長さの不一致
• 任意の属性値でサポートされていない文字

例：Microsoft Entra ID での式マッピングの構成

この例では、電話番号属性（SCIM 属性 phoneNumbers[type eq "work"].value）の値を Workspace ONE UEM で許可される形式に変換するために式を構成する方法を示します。

1. Entra ID のプロビジョニング アプリケーションで、[管理] > [プロビジョニング] の順に選択します。
2. [マッピング] で [Microsoft Entra ID ユーザーのプロビジョニング] をクリックします。
3. [属性マッピング] テーブルで、phoneNumbers[type eq "work"].value 属性の [編集] ボタンをクリックします。
4. [属性のマッピングを編集] ページで、次の手順を実行します。

   1. **[マッピング タイプ]**を [式] に変更します。

   2. [式] テキスト ボックスに、次の式を入力します。

      Replace([telephoneNumber], , "[^0-9\\+\\-\\s\\.#\\*]+", , "", , )

      

   3. [OK] をクリックし、[保存] をクリックします。

式で使用できない文字は、プロビジョニング中に電話番号から削除されます。

その他の例

同様に、次の式を使用して電話番号を 20 文字に切り詰めることができます。

IIF([telephoneNumber] > 20, Left([telephoneNumber], 20), [telephoneNumber])

または、department などの属性の & 文字を置き換えるには、次の式を使用します。

Replace([department], , "[&]", , "and", , )