フィールドマッピングを使用して、外部アカウントシステムのアカウントと Identity as a Service (IDaaS) のアカウントまたは組織の対応関係を管理します。このトピックでは、フィールドマッピングの主要な概念と操作について説明します。
基本概念
フィールドマッピング機能を使用すると、IDaaS アカウントと外部アカウントを 2 つのレベルで一致させることができます。
-
アカウントレベル：アカウントバインディングにより、アカウントのステータスを一致させます。たとえば、DingTalk アドレス帳をインポートする際、DingTalk ユーザーが IDaaS アカウントにバインドされている場合、DingTalk でそのユーザーを削除すると、IDaaS の対応するアカウントも削除されます。
-
フィールドレベル：アカウントバインディングに基づき、フィールドマッピングによってアカウント情報を一致させます。たとえば、DingTalk アドレス帳をインポートする際、DingTalk ユーザーの会社のメールアドレスを IDaaS アカウントの表示名にマッピングできます。その後、DingTalk でメールアドレスが変更されると、表示名も変更されます。
バインディングを削除できるのは、IDaaS アカウント、組織、またはグループを削除した後のみです。組織もバインディングとフィールドマッピングをサポートしていますが、マッピング識別子はサポートしていません。
フィールドマッピングのエントリポイント
フィールドマッピングは、2 つのエントリポイントから構成できます。
-
作成時：ID プロバイダーを作成する際、インバウンド DingTalk バインディングを除き、作成プロセスでフィールドマッピングを構成できます。
-
変更時: [ID プロバイダー] ページで 設定の編集 をクリックし、ダイアログボックスの フィールドマッピングの確認 モジュールに切り替えます。
つまり、ID プロバイダーカードの [Sync to IDaaS] セクションの下にある [Modify Configuration] リンクがエントリポイントです。
マッピング識別子
マッピング識別子を指定して、アカウントバインディングを確立できます。フィールドマッピングの両側の値が同じ場合、2 つのアカウントがバインドされます。これは主に、すでに使用されている既存のアカウントをバインドするために使用されます。たとえば、DingTalk から IDaaS にユーザーをインポートする場合、マッピング識別子が次のように構成されているとします。DingTalk ユーザーの会社のメールアドレス zh***@example.com が IDaaS アカウントのメールアドレスと一致する場合、2 つのアカウントがバインドされます。アカウントがバインドされると、そのステータスと情報は一致した状態が維持されます。メールアドレスがどの IDaaS アカウントとも一致しない場合、IDaaS アカウントが作成されてバインドされます。DingTalk 同期構成の [Field Mapping] タブでは、[Phone] (user.phoneNumber) および [Email] (user.email) フィールドをマッピング識別子として設定できます。
ID プロバイダーによって、マッピング識別子としてサポートされるフィールドは異なります。ビジネス要件に応じて、いずれかをマッピング識別子として設定できます。設定を解除したり、設定をクリアしたりすることもできます。
マッピングルール
IDaaS は、2 つのフィールドマッピング方法をサポートしています。
-
フィールドを選択：同期元からフィールドを選択し、その値を同期先の対応するフィールドの値として直接使用します。IDaaS は、ID プロバイダーごとに異なるフィールド範囲を提供します。必要なフィールドが範囲内にない場合は、式を使用して構成してください。
-
式: カスタム値を定義し、同期先の対応するフィールドの値として使用するものです。式は、さまざまなユースケースを柔軟にサポートします。たとえば、DingTalk のメールプレフィックスを IDaaS のアカウント名として使用したり、IDaaS の [フィールドの選択] 範囲外のフィールドを使用したりできます。式の一般的な使用方法を次に示します。
-
利用可能な範囲外のフィールドを使用：
-
DingTalk ユーザーの役職：
idpUser.title。 -
DingTalk ユーザーの勤務地：
idpUser.work_place。 -
DingTalk 部門の所有者：
idpOrganizationalUnit.org_dept_owner。 -
すべての DingTalk フィールドについては、DingTalk User Fields および DingTalk Department Fields をご参照ください。
-
-
メールアドレスのプレフィックスをフィールド値として抽出：
-
DingTalk のメールアドレスのプレフィックスを使用：SubstringBefore(idpUser.email,"@")。
-
AD のユーザープリンシパル名 (UPN) のプレフィックスを使用：SubstringBefore(idpUser.userPrincipalName,"@")。
-
-
固定値を使用：Trim("myString")。
-
IDaaS の式では、フィールドは "idp" + "User/OrganizationUnit" + "." + "ID プロバイダーのフィールド名" (インバウンド) または "IDaaS のフィールド名" (アウトバウンド) の形式で記述します (例：idpUser.userId)。式の例と構文の詳細については、「Advanced account field expressions」をご参照ください。
マップしないフィールドについては、[削除] をクリックします。これにより、マッピングルールはフィールドをマップしないように設定され、そのデータは同期されません。