Bastionhost は、Identity as a Service (IDaaS) と統合されており、企業全体のユーザーアイデンティティ管理を一元化できます。IDaaS Employee Identity and Access Management (EIAM) インスタンスを接続すると、IDaaS で作成されたユーザーは自動的に Bastionhost に同期されます。これにより、チームは既存の企業認証情報を使用して Bastionhost にログインし、管理者は単一の ID ソースからアクセスを管理できます。
このトピックでは、IDaaS EIAM インスタンスを Bastionhost に関連付ける方法、関連付けられたインスタンスを変更する方法、および IDaaS 認証構成をクリアする方法について説明します。
前提条件
開始する前に、以下を確認してください。
Bastionhost Enterprise Edition インスタンス。IDaaS 認証は他のエディションでは利用できません。購入またはアップグレードするには、「Bastionhost の購入」および「Bastionhost のアップグレード」をご参照ください。
IDaaS EIAM インスタンス。作成するには、「インスタンスの管理」トピックの「インスタンスの作成」セクションをご参照ください。
制限事項
IDaaS ユーザーは、クライアントでパスワード認証を使用して Bastionhost にログインできません。資産の O&M を実行するには、IDaaS ユーザーはクライアントで O&M トークン認証を使用するか、O&M ポータルを使用する必要があります。詳細については、「O&M マニュアル (V3.2)」をご参照ください。
IDaaS EIAM インスタンスの関連付け
Bastionhost コンソールにログインします。上部のナビゲーションバーで、ご利用の Bastionhost が存在するリージョンを選択します。
バスタイオンホストのリストで、該当するバスタイオンホストを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[システム設定] をクリックします。
[IDaaS 認証] タブで、[IDaaS インスタンスの関連付け] をクリックします。
「IDaaS インスタンスの関連付け」ダイアログボックスで、IDaaS EIAM インスタンスを選択し、[次へ] をクリックします。確認メッセージで、[OK] をクリックします。
アプリケーション名は、設定後に変更できません。デフォルトでは、Bastionhost ID がアプリケーション名として使用されます。新しい IDaaS EIAM インスタンスを作成するには、IDaaS コンソールにアクセスします。詳細については、「インスタンスの作成」セクションをご参照ください。
[完了] ステップで、確認メッセージを確認し、[OK] をクリックします。
関連付けが完了すると、IDaaS EIAM インスタンスで作成されたユーザーは、自動的に Bastionhost に同期されます。同期されたユーザーを表示するには、左側のナビゲーションウィンドウで [ユーザー] > [ユーザー] へ移動します。
既存の IDaaS ユーザーのインポート
関連付け前に IDaaS に既に存在するユーザーについては、次のいずれかの方法を使用してインポートします。
方法 1: IDaaS コンソールにログインし、既存のユーザーを Bastionhost に一括でプッシュします。詳細については、「アカウントのプロビジョニング - IDaaS イベントコールバック」をご参照ください。
方法 2: Bastionhost コンソールの [ユーザー] ページからユーザーを個別にインポートします。詳細については、「ユーザーを作成する」をご参照ください。
構成パラメーター
関連付けの後、[IDaaS 認証] タブで、次のパラメーターを確認し、設定します：
| パラメーター | 説明 |
|---|---|
| 送信 IP アドレス | IDaaS のアウトバウンド IP アドレス。Bastionhost でアクセスの制御ルールが有効になっている場合は、これらのアドレスをホワイトリストに追加します。 |
| 同期スコープ | ユーザーが Bastionhost に同期される IDaaS 組織。 |
| SSO 実装元 | シングルサインオン (SSO) サインインページをホストするシステムを制御します。IDaaS と Bastionhost は、SSO が IDaaS サインインページで処理されることを意味します。Bastionhost のみは、SSO が Bastionhost の O&M ポータルで処理されることを意味します。 |
| IDaaS サインイン URL | ユーザーが IDaaS ベースのシングルサインオン (SSO) の完了後にリダイレクトされる O&M ポータルのアドレスです。[SSO の実装方法] が [IDaaS および Bastionhost] に設定されている場合に必須です。有効な値：[パブリック Web ポータルアドレス] および [プライベート O&M ポータル]。 |
| 同期ユーザーのスナップショットの手動インポート間隔 | IDaaS ユーザーをインポートするときに、Bastionhost が IDaaS からユーザーのスナップショットをプルする頻度。有効な値: 0 および 4～168。単位: 時間。デフォルト: 0 (スナップショットは自動的にプルされません)。詳細については、「ユーザーの作成」をご参照ください。 |
IDaaS EIAM インスタンスの変更
IDaaS EIAM インスタンスを変更すると、Bastionhost からすべての IDaaS ユーザーレコードが削除されます。これらのユーザーはログインできなくなり、Bastionhost ユーザーレコードは回復できません。注意して進めてください。
Bastionhost コンソールにログインします。上部のナビゲーションバーで、ご利用の Bastionhost が存在するリージョンを選択します。
バスティオンホストリストで、対象のバスティオンホストを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[システム設定] をクリックします。
[IDaaS 認証] タブで、[IDaaS インスタンスの変更] をクリックします。
［IDaaS インスタンスの変更］ダイアログボックスで、［IDaaS ユーザーをクリアして次へ進む］をクリックします。確認メッセージで、［IDaaS ユーザーをクリア］をクリックします。
「インスタンスの関連付け」ステップで、新しい IDaaS EIAM インスタンスを選択し、[次へ] をクリックします。確認メッセージで、[OK] をクリックします。
IDaaS 認証構成のクリア
IDaaS 認証構成をクリアすると、IDaaS EIAM インスタンスの関連付けが解除され、IDaaS 認証が無効になります。Bastionhost にインポートされたすべての IDaaS ユーザーレコードは削除され、回復できません。注意して進めてください。
Bastionhost コンソールにログインします。上部のナビゲーションバーで、ご利用の Bastionhost が存在するリージョンを選択します。
バスタイオンホストのリストで、目的のバスタイオンホストを見つけ、[管理] をクリックします。
左側のナビゲーションウィンドウで、[システム設定] をクリックします。
「[IDaaS 認証]」タブで、「[設定のクリア]」をクリックします。
表示されるメッセージで、次のいずれかを選択します。
[IDaaS 認証済みユーザーの削除] をクリックして、Bastionhost からすべての IDaaS ユーザー レコードを削除し、IDaaS EIAM インスタンスの関連付けを保持します。
[クリア] をクリックすると、すべての IDaaS ユーザーレコードが削除され、IDaaS EIAM インスタンスの関連付けが解除されます。
トラブルシューティング
IDaaS ユーザーが Bastionhost にログインできない
以下を確認してください。
ユーザーは IDaaS に存在し、Bastionhost に同期されています。確認するには、[ユーザー] > [ユーザー] に移動してください。
ユーザーがパスワード認証ではなく、O&M トークン認証または O&M ポータルを使用していることを確認します。IDaaS ユーザーは、クライアントでパスワードを使用して認証できません。
IDaaS のアウトバウンド IP アドレスが、Bastionhost のホワイトリストに追加されていることを確認します (アクセスの制御が有効になっている場合)。
関連付け後にユーザーデータが同期されない
IDaaS で作成されたユーザーが Bastionhost に表示されない場合は、「既存の IDaaS ユーザーのインポート」で説明されている方法 1 を使用して、手動でプッシュするか、[同期ユーザー スナップショットの手動インポート間隔] 設定を [IDaaS 認証] タブで確認してください。