Omnissa Access コンソールで、ディレクトリを作成し、Active Directory に接続するために必要な情報を入力し、Omnissa Access ディレクトリに同期するユーザーおよびグループを選択します。Active Directory では、LDAP 経由の Active Directory または統合 Windows 認証を使用する Active Directory の接続オプションを使用できます。LDAP 経由の Active Directory 接続では、DNS サービス ロケーション ルックアップがサポートされます。
前提条件
-
Omnissa Access Connector のコンポーネントであるディレクトリ同期サービスをインストールします。詳細については、最新バージョンの『Omnissa Access Connector のインストール』を参照してください。
ユーザー認証サービスを使用してディレクトリのユーザーを認証する場合は、ユーザー認証サービス コンポーネントもインストールします。
-
Omnissa Access コンソールの [設定] > [ユーザー属性] ページで、必須のユーザー属性を選択し、必要に応じてカスタムの属性を追加します。「Omnissa Access でのユーザー属性の管理」を参照してください。次の考慮事項に留意してください。
- ユーザー属性が必要な場合は、同期するユーザー全員に対してユーザー属性の値を設定する必要があります。その属性の値がないユーザーは同期されません。
- 属性は、すべてのディレクトリに適用されます。
- Omnissa Access サービスで 1 つ以上のディレクトリを構成すると、属性に必須のマークを付けることができなくなります。
-
Active Directory から同期するユーザーとグループのリストを作成します。グループ名はただちにディレクトリと同期されます。グループのメンバーは、グループにリソースの使用資格が付与されるか、グループがポリシー ルールに追加されるまで同期しません。グループ資格が構成される前に認証を必要とするユーザーは、最初の構成中に追加する必要があります。
-
[グローバル カタログ] オプションを使用して LDAP 経由の Active Directory タイプのディレクトリを作成する場合は、Omnissa Access テナント内の他のディレクトリがグローバル カタログ ディレクトリと同じドメインのユーザーを同期していないことを確認する必要があります。競合が発生すると、同期に失敗する可能性があります。
-
LDAP 経由の Active Directory の場合、ベース DN、およびバインド ユーザー DN とパスワードが必要となります。
バインド ユーザーがユーザーおよびグループ オブジェクトへのアクセス権限を付与するには、Active Directory に次の権限を持っている必要があります。
- 読み取り
- すべてのプロパティの読み取り
- アクセス許可の読み取り
**注:**有効期限のないパスワードを持つバインド ユーザー アカウントを使用することを推奨します。
-
統合 Windows 認証を使用する Active Directory の場合、必要なドメインのユーザーとグループをクエリする権限を持つバインド ユーザーのユーザー名とパスワードが必要です。
バインド ユーザーがユーザーおよびグループ オブジェクトへのアクセス権限を付与するには、Active Directory に次の権限を持っている必要があります。
-
読み取り
-
すべてのプロパティの読み取り
-
アクセス許可の読み取り
**注:**有効期限のないパスワードを持つバインド ユーザー アカウントを使用することを推奨します。
-
-
Active Directory が SSL/TLS を介したアクセスを必要とする場合、関連するすべての Active Directory ドメインに対するドメイン コントローラの中間(使用されている場合)およびルート CA 証明書が必要です。ドメイン コントローラに複数の中間およびルート認証局の証明書がある場合は、すべての中間およびルート CA 証明書が必要です。
**注:**統合 Windows 認証を使用する Active Directory タイプのディレクトリでは、SASL Kerberos バインドが自動的に暗号化に使用されます。証明書は不要です。
-
統合 Windows 認証 を使用する Active Directory では、マルチフォレスト Active Directory が構成されていて、さらにドメイン ローカル グループに異なるフォレストのドメインのメンバーが含まれる場合、バインド ユーザーをドメイン ローカル グループが存在するドメインの管理者グループに必ず追加してください。これを行わなければ、これらのメンバーはドメイン ローカル グループに含まれません。
-
統合 Windows 認証を使用する Active Directory の場合:
- SRV レコードのリストに含まれるすべてのドメイン コントローラおよび非表示の RODC について、ホスト名と IP アドレスの nslookup が動作する必要があります。
- ネットワーク接続で、すべてのドメイン コントローラにアクセスできる必要があります。
-
Omnissa Access Connector が FIPS モードで実行されている場合は、追加の要件と前提条件が適用されます。使用しているコネクタのバージョンについては、「Omnissa Access Connector および FIPS モード」を参照してください。
手順
-
Omnissa Access コンソールで、[統合] > [ディレクトリ] を選択します。
-
[ディレクトリを追加] ドロップダウン メニューで [Active Directory] を選択します。
![[ディレクトリを追加] ドロップダウンの選択肢は、[Active Directory]、[LDAP ディレクトリ]、[ローカル ユーザー ディレクトリ] です。 [ディレクトリを追加] ドロップダウンの選択肢は、[Active Directory]、[LDAP ディレクトリ]、[ローカル ユーザー ディレクトリ] です。](images/GUID-02D403D9-9FE9-427F-BEA6-5C447EEC9A97-low.png)
-
[ディレクトリ情報] セクションで、次の情報を入力します。
オプション 説明 ディレクトリ名 Omnissa Access ディレクトリの名前を入力します。
注意:グローバル カタログ ディレクトリの場合、ログイン ページの [ドメイン] ドロップダウン リストに Access ディレクトリ名が表示され、ユーザーはそれを選択してログインします。ディレクトリ名は一意であり、テナント内で現在または将来構成されるドメイン名(任意のタイプのディレクトリ)と競合しないようにする必要があります。名前がドメイン名と競合すると、すべてのドメインのユーザーで認証エラーが発生します。
既存のドメイン名を確認するには、ディレクトリに移動し、[同期設定] > [ドメイン] を選択します。名前の競合がある場合は、グローバル カタログ ディレクトリには別の名前を使用します。今後の名前の競合を回避するには、ドメイン名として使用する可能性が低いディレクトリ名を選択します。
タイプ ディレクトリのタイプを [LDAP 経由の Active Directory] と [統合 Windows 認証を使用する Active Directory] から選択します。 -
ディレクトリ タイプとして [LDAP 経由の Active Directory] を選択した場合は、[ディレクトリの構成] セクションで次の手順を実行します。もう一方を選択した場合は、その次の手順に進みます。
-
[ディレクトリの同期と認証] セクションで、次のように選択します。
ディレクトリ同期ホスト このディレクトリを同期するために使用するディレクトリ同期サービス インスタンスを 1 つ以上選択します。テナントに登録されているすべてのディレクトリ同期サービス インスタンスが一覧表示されます。選択できるインスタンスはアクティブ状態のものに限られます。 インスタンスを複数選択すると、Omnissa Access では、リストで最初に選択されたインスタンスを使用してディレクトリを同期します。最初のインスタンスが使用できない場合は、次に選択されたインスタンスを使用します(以降同様)。ディレクトリを作成してからは、ディレクトリの [同期設定] タブからリストの順序を変更できます。 認証 ユーザー認証サービスを使用してこのディレクトリのユーザーを認証する場合は [このディレクトリのパスワード認証を設定] を選択します。ユーザー認証サービスは前もってインストールされている必要があります。このオプションを選択すると、パスワード(クラウド デプロイ)認証方法および組み込みタイプの IDP for directoryName という名前の ID プロバイダがディレクトリに自動作成されます。
このディレクトリのユーザーをユーザー認証サービスによって認証しない場合は [後で認証方法を追加] を選択します。ユーザー認証サービスを後で使用する場合は、ディレクトリのパスワード(クラウド デプロイ)認証方法と ID プロバイダを手動で作成できます。これを行う場合は、[統合] > [ID プロバイダ] ページで、[追加] > [組み込み IDP] を選択して、ディレクトリに新しい ID プロバイダを作成します。Built-in という名前の事前に作成された ID プロバイダを使用することは推奨されません。ユーザー認証ホスト このオプションは、[認証] が [このディレクトリのパスワード認証を設定] に設定されている場合に表示されます。このディレクトリのユーザーを認証するために使用するユーザー認証サービス インスタンスを 1 つ以上選択します。テナントに登録されていてアクティブ状態にあるすべてのユーザー認証サービス インスタンスが一覧表示されます。
インスタンスを複数選択すると、Omnissa Access では、認証要求をラウンドロビンの順序で選択したインスタンスに送信します。ユーザー名 ユーザー名を含むアカウントの属性を選択します。 外部 ID Omnissa Access ディレクトリ内のユーザーの一意の ID として使用する属性。デフォルト値は objectGUID です。
外部 ID は、次のいずれかの属性に設定できます。- sAMAccountName や distinguishedName などの任意の文字列属性
- objectSid、objectGUID、または mS-DS-ConsistencyGuid などのバイナリ属性
重要:すべてのユーザーには、この属性に対して空でない一意の値が定義されている必要があります。値は Omnissa Access テナント全体で一意にする必要があります。属性に値が設定されていないユーザーがいる場合、ディレクトリは同期されません。
重要:外部 ID を Active Directory の属性 objectGUID または mS-DS-ConsistencyGuid に設定する場合、すべてのユーザーのこの属性の値が空でないこと、値の長さはちょうど 16 バイトにすることが必要です。
また、[外部 ID] テキスト ボックスには Active Directory の正しい属性名を大文字と小文字を区別して指定してください。名前が Active Directory の属性名と一致しない場合、null 値が返され、ディレクトリ同期は失敗します。たとえば、Active Directory で mS-DS-ConsistencyGuid 属性を使用し、外部 ID を ms-DS-ConsistencyGuid に設定すると、ディレクトリ同期は成功しません。
外部 ID を設定するときは、次の点に注意してください。- Omnissa Access を Workspace ONE UEM と統合する場合は、両方の製品で外部 ID が同じ属性に設定されているようにしてください。
- 外部 ID は、ディレクトリの作成後に変更できます。ただし、ユーザーを Omnissa Access に同期する前に外部 ID を設定することがベスト プラクティスです。外部 ID を変更すると、ユーザーは再作成されます。その結果、すべてのユーザーがログアウトされるので、再度ログインする必要があります。また、Web アプリケーションと Omnissa ThinApp のユーザー資格を再構成する必要があります。Omnissa Horizon®、Omnissa Horizon® Cloud Service、Citrix の資格が削除され、次回の資格同期で再作成されます。
- 外部 ID オプションは、Omnissa Access Connector バージョン 20.10 以降で使用できます。Omnissa Access サービスに関連付けられたすべてのコネクタは、バージョン 20.10 以降である必要があります。バージョンの異なるコネクタがサービスに関連付けられている場合、外部 ID オプションは表示されません。
-
[サーバの場所] オプションと [暗号化] オプションを設定するには、次の選択肢から選択します。
Active Directory で DNS サービス ロケーション ルックアップを使用する場合 このオプションを使用すると、Omnissa Access は最適なドメイン コントローラを見つけて使用します。最適化されたドメイン コントローラの選択を使用しない場合は、このオプションを選択しないでください。 - [サーバの場所] で、[このディレクトリは DNS サービス ロケーションをサポートします] チェック ボックスをオンにします。
- Active Directory が SSL/TLS 経由のアクセスを必要とする場合は、[暗号化] セクションで、[すべての接続に STARTTLS が必要です] チェック ボックスをオンにします。
注:[このディレクトリは DNS サービス ロケーションをサポートします] オプションが選択されている場合は、STARTTLS がポート 389 を介して暗号化で使用されます。[このディレクトリは DNS サービス ロケーションをサポートします] オプションが選択されていない場合は、LDAPS がポート 636 を介して暗号化で使用されます。 - ドメイン コントローラの中間証明書(使用されている場合)およびルート CA 証明書をコピーして、[SSL 証明書] テキスト ボックスに貼り付けます。まず中間 CA 証明書を入力し、それからルート CA 証明書を入力します。それぞれの証明書が PEM 形式であり、「BEGIN CERTIFICATE」と「END CERTIFICATE」の行を含んでいることを確認します。
ドメイン コントローラに複数の中間およびルート認証局の証明書がある場合は、すべての中間-ルート CA 証明書チェーンを 1 つずつ入力していきます。 例:
注:Active Directory が SSL/TLS 経由のアクセスを必要とする場合、証明書がなければディレクトリを作成できません。-----BEGIN CERTIFICATE----- ...... -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- ... ... -----END CERTIFICATE-----
Active Directory の DNS サービス ロケーション ルックアップを使用しない場合 - [サーバの場所] セクションで、[このディレクトリは DNS サービス ロケーションをサポートします] チェック ボックスがオンになっていないことを確認して、Active Directory サーバのホスト名とポート番号を [サーバ ホスト] と [サーバ ポート] テキスト ボックスに入力します。
ディレクトリをグローバル カタログとして構成するには、「Active Directory と Omnissa Access の統合」の「マルチ ドメイン、シングル フォレストの Active Directory 環境」セクションを参照してください。 - Active Directory が SSL/TLS 経由のアクセスを必要とする場合は、[暗号化] セクションで、[すべての接続に LDAPS が必要です] チェック ボックスをオンにします。
注:[このディレクトリは DNS サービス ロケーションをサポートします] オプションが選択されている場合は、STARTTLS がポート 389 を介して暗号化で使用されます。[このディレクトリは DNS サービス ロケーションをサポートします] オプションが選択されていない場合は、ポート 636 を介した暗号化で LDAPS が使用されます。 - ドメイン コントローラの中間証明書(使用されている場合)およびルート CA 証明書をコピーして、[SSL 証明書] テキスト ボックスに貼り付けます。まず中間 CA 証明書を入力し、それからルート CA 証明書を入力します。証明書が PEM 形式であり、「BEGIN CERTIFICATE」と「END CERTIFICATE」の行が含まれているようにします。
注:Active Directory が SSL/TLS 経由のアクセスを必要とする場合、証明書がなければディレクトリを作成できません。
ディレクトリをグローバル カタログとして統合する場合 - [サーバの場所] セクションで、[このディレクトリは DNS サービス ロケーションをサポートします] オプションを選択解除します。
- [このディレクトリには、グローバル カタログがあります] オプションを選択します。
- [サーバ ホスト] テキスト ボックスに、Active Directory サーバのホスト名を入力します。
- [サーバ ポート] は 3268 に設定されています。[暗号化] セクションで SSL/TLS を選択すると、ポートは 3269 に設定されます。
- Active Directory で SSL/TLS 経由のアクセスを必要とする場合は、[暗号化] セクションでオプション [すべての接続に LDAPS が必要です] を選択します。
- ドメイン コントローラの中間証明書(使用されている場合)およびルート CA 証明書をコピーして、[SSL 証明書] テキスト ボックスに貼り付けます。まず中間 CA 証明書を入力し、それからルート CA 証明書を入力します。証明書が PEM 形式であり、「BEGIN CERTIFICATE」と「END CERTIFICATE」の行が含まれているようにします。
-
[バインド ユーザーの詳細] セクションで、次の情報を入力します。
ベース DN アカウント検索を開始する DN を入力します。たとえば、OU=myUnit,DC=myCorp,DC=com のように入力します。 重要:ベース DN は認証に使用されます。ベース DN の下にいるユーザーのみが認証を受けることができます。後で同期のために指定したグループ DN とユーザー DN が、このベース DN の下にあることを確認します。 注:ディレクトリをグローバル カタログとして追加する場合、ベース DN は必要なく、このオプションは表示されません。 バインド ユーザー DN ユーザーを検索できるアカウントを入力します。たとえば、CN=binduser,OU=myUnit,DC=myCorp,DC=com のように入力します。 注:有効期限のないパスワードを持つバインド DN ユーザー アカウントを使用することを推奨します。 バインド ユーザー パスワード バインド ユーザーのパスワードです。
-
ディレクトリ タイプに [統合 Windows 認証を使用する Active Directory] を選択した場合は、[ディレクトリの構成] セクションで次の手順を実行します。
-
[ディレクトリの同期と認証] セクションで、次のように選択します。
ディレクトリ同期ホスト このディレクトリを同期するために使用するディレクトリ同期サービス インスタンスを 1 つ以上選択します。テナントに登録されていてアクティブ状態にあるすべてディレクトリ同期サービス インスタンスが一覧表示されます。 インスタンスを複数選択すると、Omnissa Access では、リストで最初に選択されたインスタンスを使用してディレクトリを同期します。最初のインスタンスが使用できない場合は、次に選択されたインスタンスを使用します(以降同様)。ディレクトリを作成してからは、ディレクトリの [同期設定] タブからリストの順序を変更できます。 認証 ユーザー認証サービスを使用してこのディレクトリのユーザーを認証する場合は [このディレクトリのパスワード認証を設定] を選択します。ユーザー認証サービスは前もってインストールされている必要があります。このオプションを選択すると、認証方法がパスワード(クラウド デプロイ)で IDP for directory という名前で組み込みタイプの ID プロバイダがディレクトリに自動作成されます。 このディレクトリのユーザーをユーザー認証サービスによって認証しない場合は [後で認証方法を追加] を選択します。ユーザー認証サービスを後で使用する場合は、ディレクトリのパスワード(クラウド デプロイ)認証方法と ID プロバイダを手動で作成できます。これを行う場合は、[統合] > [ID プロバイダ] ページで、[追加] > [組み込み IDP] を選択して、ディレクトリに新しい ID プロバイダを作成します。Built-in という名前の事前に作成された ID プロバイダを使用することは推奨されません。 ユーザー認証ホスト このオプションは、[認証] が [このディレクトリのパスワード認証を設定] に設定されている場合に表示されます。このディレクトリのユーザーを認証するために使用するユーザー認証サービス インスタンスを 1 つ以上選択します。テナントに登録されていてアクティブ状態にあるすべてのユーザー認証サービス インスタンスが一覧表示されます。 インスタンスを複数選択すると、Omnissa Access では、認証要求をラウンドロビンの順序で選択したインスタンスに送信します。 ユーザー名 ユーザー名を含むアカウントの属性を選択します。 外部 ID Omnissa Access ディレクトリ内のユーザーの一意の ID として使用する属性。デフォルト値は objectGUID です。 外部 ID は、次のいずれかの属性に設定できます。 - sAMAccountName や distinguishedName などの任意の文字列属性
- objectSid、objectGUID、または mS-DS-ConsistencyGuid などのバイナリ属性
- Omnissa Access を Workspace ONE UEM と統合する場合は、両方の製品で外部 ID が同じ属性に設定されているようにしてください。
- 外部 ID は、ディレクトリの作成後に変更できます。ただし、ユーザーを Omnissa Access に同期する前に外部 ID を設定することがベスト プラクティスです。外部 ID を変更すると、ユーザーは再作成されます。その結果、すべてのユーザーがログアウトされるので、再度ログインする必要があります。また、Web アプリケーションと ThinApp のユーザー資格を再構成する必要があります。Horizon、Horizon Cloud、Citrix の資格が削除され、次回の資格同期で再作成されます。
- 外部 ID オプションは、Omnissa Access Connector バージョン 20.10 以降で使用できます。Omnissa Access サービスに関連付けられたすべてのコネクタは、バージョン 20.10 以降である必要があります。バージョンの異なるコネクタがサービスに関連付けられている場合、外部 ID オプションは表示されません。
-
[暗号化] オプションに対するアクションは必要ありません。タイプが [統合 Windows 認証を使用する Active Directory] のディレクトリは、自動的に SASL Kerberos バインドを使用し、LDAPS または STARTTLS を選択する必要はありません。
-
[バインド ユーザーの詳細] セクションに、必要なドメインのユーザーとグループをクエリする権限を持つバインド ユーザーのユーザー名とパスワードを入力します。ユーザー名を sAMAccountName@domain として入力します。ここで、domain は完全修飾ドメイン名です。たとえば、jdoe@example.com のように入力します。
**注:**有効期限のないパスワードを持つバインド DN ユーザー アカウントを使用することを推奨します。
-
[保存] をクリックします。
-
[ドメインの選択] セクションでドメインを選択し、[保存] をクリックします。
-
タイプが [LDAP 経由の Active Directory] のディレクトリの場合、ドメインのリストが表示されます。Omnissa Access ディレクトリに関連付けるためのドメインを選択します。
-
統合 Windows 認証を使用する Active Directory タイプのディレクトリの場合、Omnissa Access ディレクトリに関連付けるドメインを選択します。ベース ドメインとの双方向の信頼関係があるすべてのドメインが一覧表示されます。
Omnissa Access ディレクトリが作成された後に、ベース ドメインとの双方向の信頼関係があるドメインが Active Directory に追加される場合は、ディレクトリの [同期設定] > [ドメイン] タブから追加できます。
**ヒント:**すべてのドメインを一度に選択するのではなく、信頼されているドメインを 1 つずつ選択します。このアプローチにより、ドメイン保存の実行時間が長くなってタイムアウトする可能性がなくなります。ドメインを順番に選択すると、ディレクトリ同期サービスでは、解決しようとするドメインを 1 つのみにして時間を費やすようになります。
-
[グローバル カタログ] オプションを選択して LDAP 経由の Active Directory ディレクトリを作成する場合、[ドメインの選択] セクションは表示されません。
-
-
[ユーザー属性のマップ] セクションで、Omnissa Access ディレクトリ属性を Active Directory 属性にマッピングし、[保存] をクリックします。
[設定] > [ユーザー属性] ページからは、属性を追加したり、必須属性のリストを管理したりすることができます。
**重要:**属性に必須のマークが付いている場合は、同期するユーザー全員に対して属性の値を設定する必要があります。必須属性の値が欠落しているユーザー レコードは同期されません。
-
[グループの同期] セクションで、同期するグループを追加します。詳細については、「Omnissa Access ディレクトリと同期するユーザーとグループの選択」を参照してください。
-
[ユーザーの同期] セクションで、同期するユーザーを追加します。詳細については、「Omnissa Access ディレクトリと同期するユーザーとグループの選択」を参照してください。
-
[同期間隔] セクションで、同期スケジュールを設定してユーザーとグループを定期的に同期するか、スケジュールを設定しない場合は [同期間隔] ドロップダウン メニューで [手動] を選択します。
この時間は UTC で設定されます。
**ヒント:**ディレクトリの同期にかかる時間よりも長い同期間隔をスケジュール設定します。次回の同期をスケジューリングするときにユーザーとグループがディレクトリに同期されている場合、新しい同期は前の同期の終了直後に開始されます。
[手動] を選択する場合、ディレクトリを同期するときは常にディレクトリ ページで [同期] > [セーフガードを使用した同期] または [同期] > [セーフガードを使用しない同期] を選択する必要があります。
-
[保存] をクリックしてディレクトリを作成するか、[保存と同期] をクリックしてディレクトリを作成し同期を開始します。
結果
Active Directory への接続が確立されます。[保存と同期] をクリックすると、ユーザーとグループ名が Active Directory から Omnissa Access ディレクトリに同期されます。
グループの同期方法の詳細については、『Omnissa Access の管理』の「ユーザーおよびグループの管理」を参照してください。
次のステップ
-
[認証] オプションを [このディレクトリのパスワード認証を設定] に設定すると、IDP for directoryname という名前の ID プロバイダおよびパスワード(クラウド デプロイ)認証方法がディレクトリに自動作成されます。これらは、[統合] > [ID プロバイダ] ページおよび [統合] > [認証方法] ページで確認できます。[コネクタ認証方法] ページと [認証方法] ページでは、ディレクトリの認証方法をさらに作成することもできます。認証方法の作成の詳細については、「Omnissa Access でのユーザー認証方法の管理」を参照してください。
-
[リソース] > [ポリシー] ページでデフォルトのアクセス ポリシーを確認します。
-
同期のセーフガードのデフォルト設定を確認し、必要に応じて変更します。詳細については、「Omnissa Access でのディレクトリ同期のセーフガードの設定」を参照してください。
-
-
このページは役に立ちましたか?