ID管理の連携でエラーが起こる仕組み
連携は複数のシステムが順番に処理を受け渡す構成です。どこで止まっているかを把握しないまま対応を進めると、確認の手戻りが生じます。まずは全体の見取り図を整理しておきましょう。
連携を構成する要素の把握
ID管理システムの連携では、情報の送り手、受け手、そのあいだをつなぐ通信経路と認証の仕組みが関わります。処理が止まった場合、どの区間で止まっているかによって確認する対象が変わります。まずは自社の構成を図として書き出し、関係するシステムと担当部署を並べておくと、対応の見通しが立ちます。
図には、社内に設置しているサーバとクラウド上のサービスの区別、通信が社内網を経由するのか外部へ出るのかも書き添えておくとよいでしょう。構成が分かる資料があれば、ベンダーへ相談する際にも状況を伝えやすくなります。導入時に作成した設計資料が最新かどうかも、定期的に確認しておきたい点です。
関係するシステム間の責任範囲の切り分け
連携の不具合は、ID管理システム側の設定、連携先サービス側の仕様、通信経路の状態のいずれかに要因があり得ます。片方の窓口だけに相談すると、確認できる範囲が限られ、原因の特定が進まないことがあります。
相談する際は、発生日時、対象となる利用者やデータの件数、表示されたエラーの文言、直前に行った設定変更を整理して伝えてください。同じ情報を両方の窓口へ渡し、それぞれの確認結果を突きあわせると、切り分けが進みます。社内のネットワーク担当にも状況を共有しておくと、経路側の確認を並行して進められます。
Active Directoryとの連携で起こる事象
Active Directoryとは、Windows環境で利用者や機器の情報を管理する仕組みです。社内に設置している構成では、システム側の設定に加えて、登録されている情報の状態も事象に関わります。
属性の値がそろわず同期が止まる
ID管理システムへ情報を取り込む際、必須とされる項目に値が入っていないと、その利用者の処理が失敗する場合があります。メールアドレスや社員番号が未登録のまま残っているアカウントが、長く運用してきた環境では見つかることがあります。
対応としては、同期の対象範囲を絞り、値がそろっている組織単位から順に取り込む進め方があります。あわせて、値が入っていないアカウントの一覧を出力し、人事情報と突きあわせて補完する作業を並行して進めるとよいでしょう。今後の登録時に必須項目を確認する手順も、あわせて整えておくことをおすすめします。
組織構造の変更が反映されない
部署の新設や統合を行った際、ID管理システム側の組織情報が追随せず、権限の割り当てが以前のままになることがあります。組織の階層を利用して権限を決めている構成では、この差が業務に影響します。
変更の手順としては、どちらを起点にするかを決めておく方法があります。ディレクトリサービス側で組織を変更したら、ID管理システムへ同期する流れを固定しておくと、両者の食い違いを抑えられます。組織変更の予定は事前に共有してもらい、反映の作業と確認の担当を決めておくとよいでしょう。
接続用アカウントの認証情報が失効する
ID管理システムがディレクトリサービスへ接続する際には、専用のアカウントを使う構成が多く見られます。このアカウントのパスワードに有効期限が設定されていると、期限を過ぎた時点で接続できなくなる場合があります。
ある日を境に同期が一斉に止まった場合は、この可能性を確認してみてください。接続用アカウントの扱いは、社内のパスワードポリシーとの兼ねあいもあるため、情報システム部門で方針を決めておく必要があります。期限が近づいた際に気づける管理表を用意しておくと、停止を未然に防ぎやすくなります。
クラウドサービスとの連携で起こる事象
複数のクラウドサービスと連携する構成では、サービスごとに仕様が異なります。ここでは、連携先が増えるほど確認が必要になる3つの事象を取り上げます。
連携方式ごとの対応範囲の違い
連携には、ログイン時の認証だけを引き受ける方式と、アカウント情報の作成や更新まで行う方式があります。同じサービスでも、対応している方式が製品によって異なることがあります。認証だけの対応であれば、アカウントの削除は各サービス側での作業が残ります。
導入時には、サービスごとにどの方式で連携しているかを一覧にまとめておきましょう。一覧があると、事象が起きた際にどこまで自動化されているかをすぐ確認できます。新しいサービスを追加する際も、既存の一覧に追記していく運用にしておくと、全体像を保てます。
仕様変更にともなう接続の停止
クラウドサービス側で認証の方式や項目の仕様が更新されると、これまでの設定では接続できなくなることがあります。提供元から事前に告知されている場合が多いものの、告知の受け取り先が個人のメールアドレスになっていると、社内で共有されないまま期日を迎える可能性があります。
告知の受け取り先を部署の共有アドレスに設定し、複数人で確認できる状態にしておくとよいでしょう。あわせて、ID管理システムのベンダーからも対応状況の案内が出ることがあるため、サポートサイトの更新情報を定期的に見る担当を決めておくと、対応の遅れを抑えられます。
文字種や桁数の制約による登録の失敗
サービスによっては、利用者名や部署名に使える文字の種類や桁数に制約があります。全角文字や記号を含む値、規定の桁数を超える値を送ると、その利用者だけ登録に失敗する場合があります。特定の人だけ連携されないという状況では、登録内容を確認してみてください。
対策としては、連携先の制約を事前に確認し、ID管理システム側で値を変換する設定が使えるかを相談する方法があります。変換の設定が難しい場合は、登録時のルールとして桁数や文字種を定めておく手段もあります。制約の内容は各サービスの技術資料に記載されていることが多くあります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でID管理の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
APIの制限が連携に与える影響
API連携では、送り手と受け手の双方に処理量の制約が設けられていることがあります。制約に触れると処理が受け付けられなくなるため、仕様を把握しておく必要があります。
一定時間内の呼び出し回数に上限がある
多くのサービスでは、一定時間あたりに実行できる処理の回数に上限が設定されています。通常の運用では問題にならなくても、組織変更にともなう一括更新や、初回の全件取り込みでは上限に触れる可能性があります。
大量の処理を行う予定がある場合は、事前にベンダーへ件数を伝えて相談してください。処理を分割して実行する、業務時間外に実施するといった進め方を提案してもらえることがあります。上限値はID管理システム側と連携先サービス側の双方に設定されているため、両方を確認しておく必要があります。
上限に達した後の動作が製品で分かれる
上限に達した際の動作は製品によって異なります。一定時間を置いて自動で再試行されるものもあれば、その時点でエラーとして処理を終えるものもあります。後者の場合、未処理のデータが残ったままになるため、手動での対応が必要です。
選定の段階で確認しておきたいのは、上限超過時に管理者へ通知が届くか、未処理のデータを一覧で確認できるか、失敗した分だけ再実行できるかという点です。これらはベンダーへ問い合わせて回答を得られる項目のため、複数製品で同じ内容を聞いて比べるとよいでしょう。
ネットワーク機器との連携で残る手作業
社外からの接続を制御する仕組みとID管理システムを組みあわせる構成では、自動化できる範囲に限りがあります。どこに手作業が残るかを把握しておきましょう。
アクセス制御の適用範囲の違い
VPNとは、社外から社内のネットワークへ安全に接続するための仕組みです。ID管理システムと連携させることで、ログイン時の認証を統一できる場合があります。ただし、接続後にどのサーバへアクセスできるかという制御は、ネットワーク機器側の設定で決まることがあります。
この構成では、ID管理システムで権限を変更しても、機器側の設定は自動では変わりません。退職者のアカウントを停止した際に、機器側の許可設定も見直す必要があるかを確認しておきましょう。両方の設定を対応づけた一覧を作っておくと、変更時の確認漏れを減らせます。
手作業が残る箇所の把握と記録
自動化できない部分をそのままにすると、担当者の記憶に頼る運用になります。どの作業が手動で残っているかを一覧にし、実施の記録を残す仕組みを整えておくと、確認漏れに気づきやすくなります。
一覧には、作業の内容、実施する場面、担当する役割、確認する方法を書いておくとよいでしょう。手作業の削減を検討する際は、製品側の対応状況とあわせて、ネットワーク機器側で自動化に対応しているかも確認してみてください。判断が難しい場合は、両方の提供元へ相談する方法もあります。
他システムとの連携を確かめたいID管理システム
社内の利用者情報の基盤やクラウドサービスと、どこまで自動でつながるかは運用の手間を左右します。連携を前提に検討したい製品を集めました。
Secioss Identity Manager Enterprise（SIME）
- 複数のシステムに散在するIDを一元管理
- パスワードポリシーの管理も可能
- あらゆるサービス・システムと連携できる
株式会社セシオスが提供する「Secioss Identity Manager Enterprise（SIME）」は、社内の利用者情報を集約して管理するID管理製品です。人事情報などをもとにアカウントを作成し、対象のシステムへ反映する仕組みを備えています。社内に稼働している基盤とクラウドサービスの両方を管理の対象にしたい場合に検討できます。対応する連携先は事前に確認しておきましょう。
Keyspider
- クラウドID管理と効率化を実施し、変化に対応できるシステム運用
- “引継ぎ期間”を想定した対応が可能
- 組織情報に紐づけ、各システムの権限付与が自動的に行える。
株式会社アクシオが提供する「Keyspider」は、クラウド型のID管理サービスです。人事情報をもとにアカウントを作成し、連携先のサービスへ反映する仕組みを備えています。連携できる対象と、情報が反映されるまでの流れを確認したうえで、手作業が残る範囲を整理するとよいでしょう。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、従業員が業務で使うサービスへのアクセスを管理するID管理のサービスです。多くのクラウドサービスとの接続を想定した作りで、シングルサインオンや利用者情報の受け渡しに対応します。自社で使っているサービスの一覧を伝えて、対応状況を確認しましょう。
WebSAM SECUREMASTER （日本電気株式会社）
- 国産なので、日本企業特有の業務スタイルに対応します
- 内部統制強化の支援に繋がる機能で管理者負担が軽減します
- 主要システムとの連携のためのテンプレートを標準で用意
ID管理の連携に関するFAQ
ID管理システムの連携についてよくある質問と回答をまとめました。
- Q1： 連携が止まったとき、どこから確認すればよいですか？
- まず、全件で止まっているのか一部だけかを確認します。全件であれば接続や認証情報、一部であればデータの内容に要因がある可能性があります。エラーの文言と発生日時を記録してベンダーへ相談してください。
- Q2： 特定の利用者だけ連携されないのはなぜですか？
- 必須項目の値が未登録である場合や、連携先で使えない文字が含まれている場合があります。その利用者の登録内容を確認し、他の利用者との違いを見比べてみてください。
- Q3： APIの上限はどこで確認できますか？
- ID管理システム側と連携先サービス側の双方の技術資料に記載されていることが多くあります。プランによって値が異なる場合もあるため、契約内容とあわせてベンダーへ確認しましょう。
- Q4： 連携すれば手作業はなくなりますか？
- 連携方式や対象システムによって自動化できる範囲が異なるため、一部の作業は残る場合があります。どこまで自動化できるかを事前に整理し、残る作業は手順として記録しておくことをおすすめします。
まとめ
ID管理システムの連携で生じる事象は、ID管理システム側、連携先、通信経路のいずれにも要因があり得ます。切り分けを進めるには、構成を図として把握し、発生範囲やエラーの文言を記録して両方の窓口へ共有する流れが有効です。通知や再実行の可否、対応している連携方式は選定時に確認できる項目のため、自社の環境にあう製品を比べたい方は資料請求を活用してください。
