Identity as a Service:Feishu への接続

プロセスの概要

Feishu を IDaaS に接続するには、次の 4 つの手順があります。

1. アプリケーションの権限の設定：Feishu オープンプラットフォームでアプリケーションに必要な権限を設定し、必要なデータと機能にアクセスできるようにします。

2. 開発設定の構成：IDaaS コンソールで、コールバック URL やアプリケーション認証情報など、開発関連の設定を完了します。

3. シナリオの選択：ビジネス要件に合った統合シナリオと認証方法を選択します。

4. フィールドマッピングの構成：Feishu のユーザー属性を IDaaS のユーザー属性にマッピングし、ユーザーデータが正しく同期されるようにします。

ユースケース

Feishu を接続すると、次の機能を使用できます。

Feishu への接続

ID プロバイダー メニューで、その他の ID プロバイダー > Lark をクリックして接続プロセスを開始します。

ステップ 1：アプリケーションの権限の設定

1. Feishu アプリケーションの作成。

   1. Feishu オープンプラットフォームに移動し、開発者コンソールにログインして、カスタムエンタープライズアプリケーションを作成します。

   2. アプリケーションが作成されると、Feishu アプリケーションの詳細ページが自動的に開きます。認証情報と基本情報 メニューをクリックして App ID と App Secret を取得し、IDaaS に入力します。

2. IDaaS で、取得した App ID と App Secret を入力します。

3. Feishu アプリケーション詳細ページで、権限付与 > [権限を有効にする] をクリックします。[連絡先] セクションで、以下の権限を付与します。これらはすべて連絡先の読み取り権限であり、データ同期とユーザーログオンを可能にします。表示されるダイアログボックスで、[App Identity Permissions tenant_access_token] タブをクリックします。左側のフィルター領域で、[連絡先] カテゴリを選択し、必要な権限を選択してから、[確認して権限を有効にする] をクリックします。以下の権限が必要です。

   権限	権限値	備考
   基本的な連絡先情報の取得	contact:contact.base:readonly	--
   ユーザー ID の取得	contact:user.employee_id:readonly	--
   基本的な部門情報の取得	contact:department.base:readonly	--
   [Contacts] から部門の組織構造情報を取得	contact:department.organize:readonly	この権限を申請した後、バージョンリリース申請を提出する必要があります。権限は申請が承認された後にのみ有効になります。
   基本的なユーザー情報の取得	contact:user.base:readonly	--
   ユーザーの組織構造情報の取得	contact:user.department:readonly	この権限を申請した後、バージョンリリース申請を提出する必要があります。権限は申請が承認された後にのみ有効になります。
   ユーザーのメールアドレス情報の取得	contact:user.email:readonly	この権限は任意です。このフィールドを IDaaS に同期する場合のみ有効にしてください。
   ユーザーの携帯電話番号の取得	contact:user.phone:readonly	この権限を申請した後、バージョンリリース申請を提出する必要があります。権限は申請が承認された後にのみ有効になります。 この権限は任意です。このフィールドを IDaaS に同期する場合のみ有効にしてください。

   説明

   リリース申請を提出すると、Feishu は管理者に通知します。管理者は Feishu 管理コンソールで申請を確認する必要があります。

4. Feishu のデータ権限の有効化。

   1. 権限付与 セクションで、[アクセス可能なデータ範囲] をクリックしてデータ権限を 設定 します。

   2. 要件に基づいて権限を選択します。このスコープにより、どのユーザーおよび組織データを IDaaS に同期できるか、また Feishu ログインに使用できるかが決まります。[Consistent with the Available Scope of the Application] を選択してから、[Save] をクリックします。

5. IDaaS での送信。前述の権限設定が完了したら、IDaaS で Next をクリックします。IDaaS が API 権限とデータ権限を確認します。必要な権限がすべて揃うと、次のステップに進むことができます。

ステップ 2：開発設定の構成

1. 基本情報の入力。

   1. [表示名]を入力します。

   2. [Enterprise ID] を入力します。Enterprise ID は Feishu 管理コンソールから取得できます。

      Feishu 管理コンソールの左側のナビゲーションペインで、[Enterprise Management] > [Enterprise Overview] を選択します。ページ上部の企業名の下に Enterprise ID (FE で始まる) が表示されます。

2. 開発情報の構成。

   1. リダイレクト URL。

      1. IDaaS で確認。この URL はユーザーログイン要求を処理します。IDaaS の [Development Information] ページで [Redirect URL] フィールドを見つけ、表示されている 2 つの URL をコピーします。

      2. Feishu での設定。Feishu アプリケーション詳細の セキュリティ設定項目 > リダイレクト URL フィールドに URL を入力し、次に 追加 をクリックします。

   2. アプリケーションホームページ。

      1. IDaaS で確認。IDaaS の [Development Information] ページで [Application Homepage] フィールドを見つけ、表示されている URL をコピーします。SSO を使用して Feishu のワークベンチから IDaaS ユーザーポータルにログインできるようにしたい場合は、このホームページを設定します。

      2. Feishuでの設定。Feishu アプリケーション詳細のアプリケーション機能の追加セクションで、Webアプリを追加します。左側のナビゲーションペインで、[アプリ機能の追加]をクリックします。[機能別に追加]タブで、[Webアプリ]カードを見つけ、その下にある[+ 追加]ボタンをクリックします。

         機能を追加したら、デスクトップホームページとモバイルホームページのフィールドに URL を入力します。Web アプリケーションの設定ページで、[Desktop Homepage] と [Mobile Homepage] のアドレスを入力します。[Open Method Configuration] セクションで、[Open in a New Tab in Feishu] (推奨) または [Open in Browser] を選択します。次に、[Save] をクリックします。

   3. IP アドレス許可リスト。

      1. IDaaS で確認。共有エンドポイントまたは 専用エンドポイントを選択すると、対応するエグレス IP アドレスが下に表示されます。[Expand] をクリックして、完全な IP アドレスリストを表示します。[Copy in the Format Required by Feishu] をクリックして IP アドレスをコピーし、Feishu アプリケーションのセキュリティ設定にある IP アドレス許可リストに追加します。

         • 共有エンドポイント：共有エンドポイントは、EIAM インスタンスがネットワークアクセスに使用するデフォルトのネットワークエンドポイントです。すべての EIAM インスタンスでこのエンドポイントを共有します。インターネット経由のアクセスのみをサポートします。

         • 専用エンドポイント：専用エンドポイントは、EIAM インスタンス専用のネットワークエンドポイントです。専用エンドポイントを使用すると、Feishu のデータ同期と委任認証に専用 IP アドレスを使用できます。専用エンドポイントの詳細については、「Network access endpoints」をご参照ください。

      2. Feishu での設定。送信元 IP アドレスによるネットワークアクセスを制限するには、IDaaS エグレス IP アドレスリストをコピーし、[一括変更] を使用して、お使いの Feishu アプリケーションの アプリケーションのセキュリティ設定 > IP アドレスホワイトリスト に追加します。

ステップ 3：シナリオの選択

使用するシナリオ機能を選択します。

機能の説明

• 同期先：ドロップダウンリストから Alibaba Cloud IDaaS を選択します。Feishu の連絡先データは、IDaaS のこのノード配下に取り込まれます。

• 定期的な検証：デフォルトでは、IDaaS は毎日早朝に Feishu データの完全同期を実行し、双方のデータ整合性を維持します。フィールドマッピングでは、IDaaS アカウントと Feishu ユーザー間の照合ルール (例：アカウント名を userid に一致させる) を指定します。一致が見つかった場合はバインドが更新されます。一致が見つからない場合は、新しいアカウントが作成されます。データをリアルタイムに同期するには、完全同期タスクを手動でトリガーできます。組み込みの保護メカニズムにより、30 個を超えるアカウントまたは 10 個を超える組織が削除される可能性が検出された場合、同期は自動的に停止します。これにより、誤削除を防止します。このしきい値は、企業規模に基づいて調整してください。

• 定期的な検証サイクル：同期サイクルはデフォルトで 1 日 1 回に設定されており、cron 式を使用して時刻をカスタマイズできます。同期間中、IDaaS は組み込みの保護メカニズムを使用し、30 個を超えるアカウントまたは 10 個を超える組織など、多数のアカウントまたは組織の削除が検出された場合にタスクを自動的に停止して、誤削除を防止します。

• 増分同期：この機能はデフォルトで無効になっており、接続完了後に手動で有効にする必要があります。イベント通知が設定されていない場合、増分同期は有効にできません。追加または変更のプロセスで関連設定を調整して、この機能を有効にします。

  • [ID プロバイダー] ページで、作成した Feishu アプリケーションを見つけ、編集 をクリックします。

  • イベント設定セクションで、Encrypt Key と Verification Token を入力します。これらの値は [イベントとコールバック] > [暗号化戦略] から取得できます。変更後、イベント設定ページに暗号化キー、検証トークン、およびリクエスト URL フィールドが表示されます。下のイベントの追加エリアには、サブスクライブされたイベントが一覧表示されます: contact.department.created_v3 (部門作成)、contact.department.deleted_v3 (部門削除)、contact.department.updated_v3 (部門情報変更)、contact.user.created_v3 (従業員の入社)、contact.user.deleted_v3 (従業員の退職)、contact.user.updated_v3 (従業員情報変更)、および contact.scope.updated_v3 (連絡先範囲の権限更新)。

  • Feishu アプリケーション詳細の [イベントとコールバック] > イベント設定 に リクエスト URL を入力し、この URL を開発者サーバーにイベントを送信するためのリクエストアドレスとして使用します。Feishu アプリケーション詳細ページの左側のナビゲーションペインで、[イベントとコールバック] をクリックし、[イベント設定] タブを選択します。[サブスクリプション方法] で、「開発者サーバーにイベントを送信」が選択されていることを確認し、[リクエスト URL] フィールドにサーバーコールバック URL を入力します。

• QR コードログイン：この機能を有効にすると、IDaaS のログインページに Feishu の QR コードログインオプションが表示され、ユーザーは QR コードをスキャンして認証を完了できます。アプリケーションホームページも設定している場合、SSO を使用して Feishu のワークベンチから IDaaS にアクセスできるため、利便性が向上します。

ステップ 4：フィールドマッピングの構成

IDaaS にすでにデータが存在し、Feishu のメンバーと部門を IDaaS のアカウントと組織にバインドする必要がある場合は、このステップでフィールドマッピングを構成してください。また、Feishu のユーザー名を IDaaS アカウントの表示名として使用するなど、特定の Feishu メンバーフィールドを IDaaS のアカウントデータとして使用する場合も、フィールドマッピングを構成してください。

Feishu ID プロバイダーの管理

接続が完了すると、[ID プロバイダー] メニューにリダイレクトされます。ここで、IDプロバイダーとの統合機能を管理できます。