Identity as a Service:DingTalkとの連携

DingTalkのクイックバインドの開始

クイックスタート または [ID プロバイダー] メニューで、DingTalk のクイック連携 > アウトバウンド をクリックして、DingTalk クイックバインド - [アウトバウンド] ワークフローを開始します。 バインドウィザードには、アプリケーションの作成、権限の割り当て、シナリオの選択、フィールドマッピング の 4 つの設定手順が表示されます。 これらを順番に完了します。

ステップ1：アプリケーションの作成

1. 基本情報の入力

   1. 表示名：ユーザーが IDaaS にログオンして利用する際に表示される名前です。

   2. CorpId：DingTalk Open Platform - Homepageから取得します。ログイン後、ページに [CorpId] フィールドとその値が表示され、直接コピーできます。

2. アプリケーション情報の入力

   1. DingTalk Open Platform - Internal Enterprise Developmentで、[Create Application] をクリックします。

      [Internal Enterprise Development] ページ：[H5 Micro Application] タブに既存のアプリケーションが一覧表示されます。[Create Application] ボタンは右上にあります。

   2. [Credentials and Basic Information] で、AppKey と AppSecret を取得します。[AppKey] は直接表示され、[AppSecret] はデフォルトで非表示です。各フィールドの右側に [Copy] ボタンが表示されます。

3. 開発情報の入力

   DingTalk にも以下の情報を入力する必要があります。[Callback domain name]、[Application homepage URL]、[Server Outbound IP] の 3 つのフィールドとその値が表示されます。各フィールドの右側には [Copy] ボタンがあり、値をコピーして DingTalk の該当フィールドに設定できます。

   1. コールバックドメイン名： に入力します。このフィールドは DingTalk QR コードログインに使用されます。空欄にすると、ユーザーは DingTalk の QR コードをスキャンして IDaaS にログインできなくなります。ページにはコールバックドメイン名用の URL 入力ボックスが表示されます。値を入力した後、[Save] をクリックします。

   2. アプリケーションホームページURL：セキュリティ設定 に入力します。このフィールドを設定すると、ユーザーは DingTalk コンソールでアプリケーションをクリックした際に、シングルサインオン (SSO) を利用して IDaaS アプリケーションポータルにアクセスできます。アプリケーションの表示範囲は [Version Management And Publishing] で設定できます。手順はコールバックドメイン名の場合と同様です。[Security Settings] ページで [In-app Login-free Address] 入力ボックスにアプリケーションホームページURLを貼り付けて保存します。

   3. サーバーアウトバウンド IP：IDaaS からのみこの DingTalk アプリケーションへのリクエストを許可したい場合は、DingTalk アプリケーションページの セキュリティ設定 に移動し、エグレス IP に入力します。

ステップ2：権限の付与

1. 現在の DingTalk アプリケーションで権限を付与します。[Permission Management] をクリックし、[Personal Permissions]、[Address Book Management]、[Application Management] 配下のすべての権限を選択し、[Batch Request] をクリックします。権限の範囲には [All Employees] を選択します。

   [Permission Management] ページ：上部に複数の権限カテゴリタブが表示され、その下のグリッドに各権限項目のチェックボックスが表示されます。チェックボックスを選択し、[Batch Request] をクリックしてリクエストをまとめて送信します。

   [Personal Permissions] タブを例にとります。すべての権限項目を選択すると、すべてが選択済みと表示されます。[Address Book Management] タブでも [Personal Permissions] タブと同様にすべての権限を選択します。

2. 権限付与が完了したら、IDaaS で 次へ をクリックします。すると、IDaaS はアプリケーションに DingTalk のアドレス帳管理権限があるかどうかをチェックし、合格すると設定は完了です。

ステップ3：シナリオの選択

機能説明

• 同期方向：選択した同期ソースの IDaaS アカウントと組織データが、この DingTalk ノード配下にインポートされます。ターゲットノードには、DingTalk の部署IDを入力します。ID は、DingTalk Admin Console で部署を編集する際に確認できます。DingTalk のルート部署の ID はデフォルトで 1 です。ページには、[Incremental synchronization] と [DingTalk QR code login] の切り替えオプション、および同期ソース用の [Organization/Account] セレクターも含まれています。

• 増分同期：有効にすると、IDaaS のアカウントと組織データへの変更がリアルタイムで DingTalk のアドレス帳に同期されます。DingTalk へエクスポートされたアカウントについて、IDaaS は フィールドマッピングの確認 設定、具体的には [Mapping Identity] に基づいて各アカウントを DingTalk ユーザーと照合します。照合ルールはフィールドマッピングでカスタマイズできます。一致が見つかった場合、DingTalk ユーザーは上書きされます。見つからない場合は、アカウントが作成されます。

• DingTalk QR コードログイン：これを選択すると、[Login] メニューに新しい [DingTalk QR Code Login] エントリが表示されます。エントリが有効になり、ユーザーは QR コードをスキャンして直接ログオンできます。

ステップ4：フィールドマッピング

DingTalk に既存のデータがすでにあり、IDaaS のアカウントと組織を DingTalk のユーザーと部署にバインドする必要がある場合は、このステップでフィールドマッピングを設定します。特定の IDaaS アカウントデータを DingTalk ユーザーデータとして使用したい場合にも、フィールドマッピングが必要です。たとえば、IDaaS アカウントの表示名を DingTalk ユーザーの名前として使用できます。設定ページには、[Field name]、[Field identifier]、[IDaaS source field]、[Mapping type] の 4 つの列を持つテーブルに、フィールドマッピングが一覧表示されます。

1. デフォルトでは、IDaaS は、名前、携帯電話番号、メールアドレス、役職、従業員IDなどの DingTalk フィールドの値をカスタマイズすることに対応しています。他のフィールド (例：オフィスの場所) を使用する場合は、フィールドの追加 をクリックします。

   • フィールド名：IDaaS 内でのみ表示・使用されます。

   • フィールド識別子には、現在の ID プロバイダー内で一意となる DingTalk のフィールド名を使用します。たとえば、勤務地のフィールド識別子は work_place です。その他の DingTalk フィールドについては、「すべての DingTalk ユーザーフィールド」および「すべての DingTalk 部門フィールド」をご参照ください。

   フィールドマッピングの詳細については、「フィールドマッピング」をご参照ください。

2. フィールドマッピングの設定が正しいことを確認した場合は、[Save and Push] を選択します。IDaaS は完全同期を実行し、[Select Scenario] で選択された IDaaS データを DingTalk にプッシュします。フィールドマッピングの設定が正しいかどうかわからない場合は、[Save Only] を選択し、後で ID プロバイダーの編集 > フィールドマッピングの設定 で変更します。