Alibaba Cloud IDaaS を DingTalk に接続してインバウンドプロビジョニングを行い、組織構造とユーザーを同期します。この連携により、企業の ID 管理の効率とセキュリティが向上します。
ユースケース
IDaaS は ID プロバイダー (IdP) の概念を用いて、IDaaS と、企業が既に使用している ID システムとの接続を管理します。Alibaba Cloud の製品である DingTalk は、IDaaS とネイティブに統合されています。接続プロセスは簡単です。QR コードをスキャンして認可を付与するだけで、2 分で接続が完了します。この設定により、以下の機能を利用できます。
カテゴリ | 機能 |
アカウント |
|
ログイン |
|
アプリケーション |
|
DingTalk との 2 つの接続方法
[Identity Providers] メニューで、DingTalk を IDaaS の ID プロバイダーとして追加し、接続プロセス中にすべての関連機能を有効にします。
DingTalk からデータをインポートするために、IDaaS は 2 つの方法をサポートしています。
方法 | 説明 |
サードパーティアプリケーション方式 (DingTalk へのクイック接続) | DingTalk のサードパーティエンタープライズアプリケーション方式を使用します。QR コードをスキャンして認可を付与すると、設定が完了します。 メリット：最小限の設定で簡単に有効化できます。 説明 設定中に情報を入力する必要はありません。QR コードをスキャンして認可を付与するだけで、すべての設定が完了します。 デメリット：ユーザーの携帯電話番号とメールアドレスを一括で取得できません。管理者が入力するか、ユーザーがログイン時に認可を付与する必要があります。 |
ファーストパーティアプリケーション方式 (DingTalk 詳細設定) | サードパーティアプリケーション方式をベースとしています。DingTalk の管理者は、ファーストパーティの DingTalk アプリケーションを作成し、必要な権限を付与し、IDaaS でアプリケーション情報を設定する必要があります。 メリット：柔軟な権限設定が可能で、完全なユーザー情報にアクセスできます。 デメリット：設定に時間がかかります。 |
DingTalk へのクイック接続
クイックスタート または ID プロバイダー メニューで DingTalk のクイック連携 をクリックして、インバウンドプロビジョニング用の DingTalk へのクイック接続プロセスを開始します。
ステップ 1：機能の選択
このステップでは、DingTalk で有効にする機能を選択します。特に希望がなければ、直接次のステップに進んでください。
機能の説明
[Sync Target]：DingTalk アドレス帳のデータがインポートされる IDaaS 内のノードです。
[Incremental Sync]：この機能を有効にすると、IDaaS は DingTalk API を呼び出してアドレス帳のイベントをリッスンします。DingTalk アドレス帳が変更されると、変更されたデータはリアルタイムで IDaaS に同期されます。
フィールドマッピングでマッピング識別子を設定して、IDaaS アカウントのフィールド (携帯電話番号など) を DingTalk ユーザーのフィールド (携帯電話番号など) と照合できます。一致が見つかった場合、既存のアカウントは更新されたデータで上書きされます。それ以外の場合は、IDaaS アカウントが作成されます。
(推奨) 増分同期を有効にする前に、完全同期を実行してください。そうしないと、一部のデータが同期されない可能性があります。
単一のアカウントレコードのインポートに失敗しても、他のレコードのインポートには影響しません。
失敗の詳細は 詳細 で確認できます。
DingTalk QR コードログイン：このオプションを選択すると、ログイン メニューに [DingTalk QR code logon] という名前のログイン方法が作成されます。この方法は有効になっているため、ユーザーは QR コードをスキャンして直接ログインできます。
[Push/Pull Now]：このオプションを選択すると、接続完了後に、認可されたスコープ内の DingTalk アドレス帳のすべてのデータがインポートされます。
ステップ 2：スキャンして有効化
このステップでは、DingTalk の管理者が QR コードをスキャンして、DingTalk エンタープライズ向けの無料のサードパーティアプリケーションを有効化します。
ページには QR コードと手順が表示されます。アプリケーションがすでに有効化されている場合は、[Confirm application activated, Next] をクリックして、直接スキャンして接続するステップに進みます。
DingTalk で QR コードをスキャンすると、アプリケーションの有効化ページにリダイレクトされ、有効化を完了します。有効化には 3 つのステップがあります。アプリケーションの詳細ページで [Activate for Free] をクリックし、使用範囲を選択して [Activate Now] をクリックします。有効化に成功したら、[Open Application] をクリックして接続を完了します。
接続完了後、IDaaS に同期される DingTalk アドレス帳の範囲を調整するには、Alibaba Cloud IDaaS アプリケーションの DingTalk 管理コンソール - アプリケーション管理ページで設定を変更します。IDaaS は同期中にこのアプリケーションの認可スコープを使用します。
ステップ 3：スキャンして接続
この最終ステップでは、DingTalk の管理者がアプリケーションで [DingTalk Admin Scan to Bind] をクリックし、このステップの QR コードをスキャンしてリクエストを確定します。これで接続は完了です。IDaaS は設定に基づいて完全同期または増分同期を実行し、DingTalk ユーザーは QR コードをスキャンして IDaaS にログインできるようになります。
DingTalk ID プロバイダーの管理
DingTalk を接続すると、自動的に ID プロバイダー メニューにリダイレクトされます。ここで、ID プロバイダーと統合する機能を管理できます。管理パネルには、[QR Scan Sign-In]、[Sync to IDaaS]、[Advanced Configuration] の 3 つの機能エリアがあります。各エリアを個別に有効または無効にしたり、[View Logs]、[Trigger Sync]、[Modify Configuration] などのアクションを利用したりできます。
インポートステータスの確認
インポート通知：接続時に 手動プル を選択した場合、ページに [Importing...] と表示されます。ログを表示 をクリックして [Synchronization Tasks] に移動し、進捗状況を確認します。
携帯電話番号またはメールアドレスの欠落への対応：同期が完了すると、ID プロバイダー ページに通知が表示されます。インポートされたアカウントは、すぐに DingTalk QR コードログインを使用して IDaaS またはそのアプリケーションにログインできます。しかし、新しくインポートされたアカウントには携帯電話番号やメールアドレスがありません。ユーザーに携帯電話番号またはメールアドレスを追加してもらう必要があります。そうしないと、2 要素認証やパスワード回復などの機能が利用できなくなります。詳細については、「DingTalk QR コードでのログイン」をご参照ください。
同期ターゲットの変更：同期ターゲットを変更する必要がある場合は、変更後に手動で完全同期を実行し、組織構造が期待どおりであることを確認してください。
DingTalk QR コードでのログイン：接続時に DingTalk QRコードログインバージョン を選択した場合、IDaaS は ログイン メニューに DingTalk QR コードログイン方法を作成します。この機能は [Identity Providers] または ログイン メニューで管理できます。ユーザーはログインページにアクセスし、DingTalk QR コードをスキャンしてログインできます。詳細については、「DingTalk QR コードでのログイン」をご参照ください。
複数の DingTalk 組織の接続：IDaaS は複数の DingTalk アドレス帳への接続をサポートしています。各 DingTalk エンタープライズの管理者が、スキャンして有効化するプロセスを完了します。複数のエンタープライズを管理する場合、異なるエンタープライズのアカウントを異なるターゲットノードに同期して分離できます。たとえば、DingTalk エンタープライズ A とエンタープライズ B のアドレス帳を IDaaS にインポートして一元管理するには、まず IDaaS 組織構造のルートノードの下に組織 A と組織 B を作成します。次に、DingTalk を接続する際に、エンタープライズ A は組織 A に、エンタープライズ B は組織 B に同期するように指定します。逆に、1 つの DingTalk エンタープライズは 1 つの IDaaS インスタンスにしか接続できません。同じ DingTalk エンタープライズを複数の IDaaS インスタンスに接続する必要がある場合は、将来のリリースをお待ちください。
DingTalk 詳細設定の有効化
DingTalk を接続した後、必要に応じて ID プロバイダーのページで DingTalk 詳細設定を有効にできます。詳細設定を有効にすると、完全な DingTalk ユーザー情報を取得できます。
専用アカウント機能が有効になっている DingTalk Enterprise を使用している場合、DingTalk Enterprise のセキュリティ設計により、IDaaS は専用アカウントの携帯電話番号を取得できません。携帯電話番号を使用するには、管理者がコンソールで追加するか、従業員がアプリケーションポータルで手動で追加する必要があります。
ID プロバイダー管理パネルの右側にある [Advanced Configuration] エリアで、[Disabled] トグルをクリックして詳細設定を有効にします。
ステップ 1：機能の選択
このステップでは、まだ設定可能なオプションはありません。直接次のステップに進んでください。
ステップ 2：アプリケーションの作成
このステップでは、DingTalk のアプリケーション情報を IDaaS に設定します。ページには [CorpId] (事前入力済み)、[AppKey]、[AppSecret] の 3 つの設定項目が表示されます。
DingTalk Open Platform - In-house Enterprise Development にログインし、アプリケーションの追加 をクリックして、社内エンタープライズアプリケーションの基本情報を入力します。
[Create an in-house enterprise application] ダイアログボックスで、[Application Type] を [H5 microapp] に設定し、[Application Name] と [Application Description] を入力し、[Development Mode] を [Enterprise Self-development] に設定してから、[Create] をクリックします。
アプリケーションが作成されると、自動的に DingTalk のアプリケーション詳細ページにリダイレクトされます。AppKey と AppSecret をコピーし、それぞれ IDaaS に貼り付けます。
これらの認証情報は、アプリケーション詳細ページの [Application Credentials] エリアにあります。
フィールドに入力した後、権限付与の確定 をクリックします。IDaaS は DingTalk への接続をテストします。情報が正しければ、次へ に進むことができます。
ステップ 3：権限の割り当て
このステップでは、現在の DingTalk アプリケーションで権限を割り当てます。権限管理 をクリックし、アドレス帳管理 とアプリケーション管理の両方で、すべての権限を選択し、[Batch Request] をクリックします。
権限スコープには、全従業員 を選択します。IDaaS に同期される DingTalk アドレス帳の範囲を調整するには、DingTalk 管理コンソール - アプリケーション管理ページの Alibaba Cloud IDaaS アプリケーションで設定を変更します。IDaaS は同期中にこのアプリケーションの認可スコープを使用します。
認可を付与した後、IDaaS で [Confirm Authorization] をクリックします。IDaaS は、アプリケーションが DingTalk アドレス帳の管理権限を持っているかどうかを確認します。チェックに合格すると設定は完了し、IDaaS は従業員の携帯電話番号やメールアドレスなどの情報を取得できるようになります。
この DingTalk アプリケーションへのリクエストを IDaaS からのみに制限したい場合は、DingTalk アプリケーションページの セキュリティ設定 セクションに移動し、[Server Egress IP Address] を入力します。複数の IP アドレスをカンマで区切って入力できます。サポートされている形式は、IPv4、ワイルドカード IPv4、IPv6、および IPv6 CIDR です。このアプリケーションは主にデータの同期に使用され、従業員の日常的な使用を目的としていないため、[Application Homepage URL] には任意のアドレスを入力してください。
ステップ 4：フィールドマッピングの調整 (オプション)
DingTalk の携帯電話番号とメールアドレスを IDaaS アカウントのユーザー名または携帯電話番号として使用する場合、または同じ携帯電話番号を持つ DingTalk ユーザーを IDaaS アカウントにバインドする場合は、フィールドマッピングでルールを設定します。