ディレクトリ同期（Directory Sync）

Directory Sync は、ディレクトリ内のユーザー、コンピューター、グループを OpenLM Platform に取り込みます。OpenLM Platform はこれらをライセンス割り当て、チャージバック、グループ別の使用状況レポートに使用します。ネットワーク内の Directory Synchronization Agent（DSA）が、設定したスケジュールでディレクトリを読み取ります。

Directory Sync のページ

同期の設定や確認を行うには、サイドバーから該当するページを開きます。Directory Sync は Agents で開きます。次の表に、各作業とそのページを示します。

やりたいこと	開くページ
Directory Synchronization Agent（DSA）を承認し、ポーリング間隔を設定する	Agents
ディレクトリを接続する	Domains
ドメインから読み取る内容と時刻を設定する	Synchronizations
同期で作成された内容を確認し、今後の同期から項目を除外する	Entities と Relations
同期の実行が成功したか、失敗した場合はどこで止まったかを確認する	Sync History
Directory Sync 自身のエンティティデータベースを消去する	Service Configuration
ディレクトリの変更を Amazon S3 または Amazon SQS に転送する	Destination Systems
ディレクトリから外れた人を SaaS サービスから削除する	External Services

Destination Systems と External Services は OpenLM Platform でのみ利用できます。各ページは、対応する製品が OpenLM Products で有効化されており、かつその製品の Admin ロールを持っている場合にサイドバーに表示されます。Destination Systems は LDAP Connector 製品、External Services は Identity Alignment 製品に対応します。アカウント管理者には常に両方が表示されます。ロールがない場合、Directory Sync はそのエントリを非表示にし、アドレスを直接指定してページを開くと、メッセージなしで Agents に戻されます。Directory Sync は、Identity Alignment 製品が有効な間のみ、ユーザー削除イベントを External Services に送信します。

Global Catalog を使用して複数ドメインの Active Directory フォレストを同期するには、グローバルカタログとのディレクトリ同期を参照してください。このセクションは グローバルカタログ タブにあり、ポートと GC:// 開始ノードを説明しています。

標準 DSS

はじめに

次の前提条件を確認します。

• ネットワーク内の少なくとも 1 台のマシンに Directory Synchronization Agent（DSA）がインストールされていること。Directory Synchronization Agent（DSA）のインストールを参照してください。
• DSA が Identity で認証できるようにする認可ファイル。
• インストールしたエージェントが、セットアップを完了するために Agents ページで承認されていること。
• Directory Sync が OpenLM Products で有効化されていること。有効化されていない場合、Directory Sync はその旨を示すページを開きます。アカウント管理者はそのページから有効化を依頼でき、それ以外のユーザーはアカウント管理者に依頼する必要があります。
• 追加・変更・削除を行うための Directory Sync の Admin ロール。

Viewer ロールでは、一覧の参照、フィルター、エクスポートができますが、追加・変更・削除のボタンは Directory Sync によって非表示になり、Service Configuration は管理者専用です。Directory Sync のロールがない場合、Directory Sync はページの代わりに権限に関するメッセージを表示します。ロールを割り当てるには、Identity のユーザー管理を参照してください。

Directory Sync を開くには、OpenLM Platform のヘッダーにある Navigation（グリッドアイコン）、Users、Directory Sync の順に選択します。

関連する作業については、アイデンティティ（Identity）、ユーザーとグループ (Users and Groups)、宛先システム（Destination Systems）、外部サービス（External Services）を参照してください。

使い方

このセクションでは、Directory Sync を開く方法と、一覧に共通するコントロールについて説明します。

Directory Sync を開く

OpenLM Platform のヘッダーにある Navigation（グリッドアイコン）、Users、Directory Sync の順に選択します。または、Navigation を選択して Directory Sync を検索します。

Directory Sync は Agents で開きます。別のページに移動するには、サイドバーのエントリを選択します。

オンボーディングガイドから移動した場合は、現在のステップのチュートリアルダイアログがページ上に開きます。ステップは、エージェントの承認、ドメインの追加、同期の作成、外部サービスの追加、宛先システムの追加のいずれかです。Got It を選択すると、そのステップが完了としてマークされます。ダイアログを閉じただけでは完了になりません。

一覧の操作

Agents、Domains、Synchronizations、Entities、Relations、Sync History では、ほとんどのコントロールが共通です。

• 検索: Search ボックスにテキストを入力して行を検索します。グリッドは一致した部分をハイライトします。
• フィルター: フィルターアイコン（Toggle Filters）を選択すると、そのページが列ヘッダーに用意しているフィルター（たとえば Agents の Domains）が表示されるので、表示する値を選びます。もう一度選択すると非表示になります。別のページのリンクから開いた場合、一覧はその項目で絞り込まれた状態になっています。
• 列: Grid settings メニュー（3 つの点）を選択し、Columns で列の表示・非表示を切り替えます。Restore defaults でレイアウトを既定に戻せます。
• エクスポート: Export data を選択すると、一覧を CSV ファイルとしてダウンロードできます。すべての一覧で利用できます。
• 更新: Refresh data を選択すると、一覧を再読み込みします。
• 行のアクション: 行にポインターを合わせると、項目を編集または実行するアイコンが表示されます。
• ページ間のリンク: 行内の件数や名前を選択すると、フィルターが適用された状態で関連ページが開きます。たとえば、エージェントの Domains の件数を選択すると、そのエージェントでフィルターされた Domains が開きます。

各ページはそれぞれの列のレイアウトを保持し、ページを離れるとフィルターはクリアされます。1 ページあたりの行数は、UI Configurations の Number of records per page に従います。

Agents

同期を開始するには、インストールした Directory Synchronization Agent（DSA）を 1 つずつ承認します。新しいエージェントは、承認するまで何も実行しません。Agents で、アカウントに報告するすべての DSA を確認し、各エージェントが処理を取得する頻度を制御します。エージェントは自身を登録するため、このページにエージェントを追加するボタンはありません。

エージェントが動作しているかを確認するには、グリッドで Status と Last Connection Date を確認します。グリッドには、各エージェントの Agent Name、Description、Domains、Syncs も表示されます。列メニューから Request Interval と Sync Method を追加できます。Status は、エージェントを承認するまで Pending で、承認後は Enabled または Suspended になります。Domains の件数を選択するとそのエージェントでフィルターされた Domains が開き、Syncs の件数を選択すると Synchronizations が開きます。Last Connection Date には、エージェントを承認して報告を受け取るまでは -- が、想定される間隔内に報告がない場合は警告アイコンが表示されます。

次のスクリーンショットは、Agents ページを示します。

Directory Sync が最初に開く Agents ページ。

新規エージェントの承認

インストールされた DSA は、稼働前に承認が必要です。

承認手順:

1. Agents を開きます。インストールした DSA が一覧にない場合は、Refresh data を選択します。

2. Status が Pending のエージェントの行にポインターを合わせます。

3. Approve agent アイコンを選択します。

   エージェントはすぐに Enabled になります。

4. 承認と同時にエージェントの設定を変更する場合は、代わりに Edit agent を選択します。

   Approve Agent ページで Status を Enabled に設定し、Approve を選択します。

承認待ちのエージェントを削除せずに同期させないようにするには、代わりに Suspend agent を選択します。

エージェントプロパティの編集

エージェント（DSA）の詳細を編集するには:

1. エージェントの行にポインターを合わせます。
2. Edit agent アイコンを選択します。
3. 必要な項目を調整します。
   • Agent Name: エージェントの表示名。OpenLM Platform 全体で使用されます。
   • Description: 識別用のメモ（省略可能）。最大 200 文字。
   • Status: Enabled はエージェントが稼働していることを示します。Suspended は、エージェントが再び有効化されるまで同期が一時停止されることを示します。
   • Agent Log Level: エージェントがログに記録する最小の重大度。Trace、Debug、Information、Warning、Error、Critical、None のいずれかです。Trace はパスワードなどの機密データを含むすべてを記録します。Critical はエージェントの動作に影響する障害のみを記録します。
4. エージェントのポーリングや同期の実行方法を変更する場合は、Advanced settings を展開して次を調整します。
   • Request Interval (sec): エージェントが Directory Sync に新しい同期リクエストを確認する頻度 (秒)。5～300 の値を入力します。既定値は 30 です。
   • Sync Method: Parallel は複数の同期を並行して実行します。Serial は同期を先入れ先出し（FIFO）で順次実行します。
5. Save を選択します。

Sync Method の変更は、次の同期から適用されます。

エージェントのステータス、ポーリング間隔、同期方法を変更します。

エージェントプロパティの一括編集

一括編集するには:

1. 2 つ以上のエージェントのチェックボックスをオンにします。
2. Bulk Edit を選択してエディターを開きます。
3. 変更する項目を設定します。Status、Request Interval (sec)、Sync Method を設定できます。空のままにした項目は変更されません。名前、説明、ログレベルは一括では変更できません。
4. Save を選択します。
5. Confirm を選択します。

エージェントの削除

削除手順:

1. 削除するエージェントのチェックボックスをオンにします。

2. Delete を選択します。

3. いずれかのエージェントに同期がある場合は、Agent to assign the syncs to で、有効な別のエージェントを選択します。

   ダイアログでそれらの同期の引き継ぎを求められます。選択するまで Confirm は使用できません。

4. Confirm を選択します。

Domains

ディレクトリを OpenLM Platform に接続するには、ドメインとして追加します。ドメインは、エージェントが読み取るディレクトリの種類、アドレス、資格情報を指定します。Domains を開くと、ドメインの追加、編集、削除を行えます。

接続したディレクトリはそれぞれ 1 つのドメインです。

どのディレクトリが接続されているかを確認するには、グリッドを確認します。グリッドには、各ドメインの Domain Name、Directory Type、SSL、および接続されている Agents と Syncs の数が表示されます。列メニューから Last Connection On を追加できます。

サポートされるディレクトリ種別

Directory Sync は次のディレクトリ種別をサポートします。

• Active Directory / AWS
• EDirectory
• ApacheDs
• Microsoft Entra Id
• Google CDS
• Okta Directory
• Nis Directory

同期ドメインの追加

追加手順:

1. Add Domain を選択します。

2. Directory Type で、ディレクトリの種類を選択します。既定は Active Directory / AWS です。

3. その種類のフィールドに入力します。表示されるフィールドは、トグルを除きすべて必須です。

   Directory Type	フィールド
   Active Directory / AWS、EDirectory、ApacheDs	Domain Name、Port、Anonymous Connection、SSL、Username、Password
   Microsoft Entra Id	Domain Name、Client ID、Client Secret、Tenant ID
   Google CDS	Domain Name、Client Private Key、Username
   Okta Directory	Okta Domain、Client ID、Client Private Key
   Nis Directory	Domain Name、Port、SSL、Username、Password

   • Domain Name: Directory Sync でドメインを一覧表示するときの名前。たとえば、同期の Domain リストに表示されます。一意である必要があります。

     Active Directory / AWS、EDirectory、ApacheDs、Nis Directory では、ドメインコントローラーの IP アドレスまたは完全修飾ドメイン名（FQDN）を入力します。Okta Directory の場合は、代わりに Okta Domain に Okta ドメイン（例: company.okta.com）を入力します。

   • Port: ドメインコントローラーのポート。1～65535。Nis Directory ではポートは 22 に固定されています。

   • SSL: オンにすると、接続が暗号化されます。

   • Anonymous Connection: 資格情報なしで接続します。Username と Password は非表示になります。

   • Username と Password: 管理者の資格情報（読み取り権限が必要）。Show password を選択すると、入力した内容を表示できます。

   • Client Secret: Show client secret を選択すると、入力した内容を表示できます。

   • Microsoft Entra Id の場合は、先にアプリを登録してアクセス許可を付与します。Microsoft Entra ID にアプリを登録する を参照してください。

   • Google CDS との同期については、Google CDS サポートガイド (PDF) を参照してください。

   注意

   SSL または Directory Type を変更すると、ポートはその組み合わせの既定値にリセットされます。Active Directory / AWS と EDirectory は 389（SSL 使用時は 636）、ApacheDs は 10389（SSL 使用時は 10636）、Nis Directory は 22 です。以前のポートが既定値のいずれでもなかった場合は、新しい既定値を知らせるメッセージが表示されます。先に SSL と Directory Type を設定してから、任意のポートを入力してください。

4. Check Domain Connection を選択します。

5. ダイアログで、テストを実行する Agent を選択します。

6. Continue を選択します。

   テストには最大 2 分かかり、Abort で待機を中止できます。終了したら、Successfully connected または Connection check failed を確認します。失敗した場合は、情報アイコンにポインターを合わせると、考えられる原因（ユーザー名またはパスワードの誤り、サポートされていないドメインまたはディレクトリ種別、ネットワーク接続）が表示されます。

7. Save を選択します。

   このドメインを選択した状態で新しい同期の作成にそのまま進むには、代わりに Save Domain & Add Sync を選択します。

次のスクリーンショットは、新しいディレクトリの接続フィールドを示します。

ディレクトリの接続情報を入力し、Check Domain Connection で接続を確認します。

Microsoft Entra ID にアプリを登録する

Directory Sync は、アプリ専用認証（クライアント資格情報フロー）で Microsoft Entra ID に接続し、Microsoft Graph を通じてディレクトリを読み取ります。ドメインを追加する前に、Entra ID で Directory Sync 用のアプリを登録します。

1. Microsoft Entra 管理センターで App registrations を選択し、Directory Sync 用の新しいアプリを登録します。
2. アプリの Application (client) ID と Directory (tenant) ID をコピーします。これらは Client ID と Tenant ID として入力します。
3. Certificates & secrets でクライアントシークレットを作成し、その値をコピーします。Entra ID が値を表示するのは 1 回だけです。シークレットの有効期限が切れると、ドメインに新しいシークレットを入力するまで同期は停止します。
4. API permissions で、次の表の Microsoft Graph のアプリケーションアクセス許可を追加し、Grant admin consent を選択します。

アクセス許可	Directory Sync が必要とする理由	必要な場合
User.Read.All	ユーザーとその属性を読み取ります。	常に必要です。
Group.Read.All	グループ、そのプロパティ、メンバー、入れ子のグループメンバーシップを読み取ります。	グループを含まない管理単位から同期を開始する場合を除き、常に必要です。
Organization.Read.All	同期ツリーの最上部に表示するテナント名を読み取り、接続をテストします。返されるのはテナントレベルの情報のみです。	常に必要です。
AdministrativeUnit.Read.All	管理単位を読み取ります。	テナントのルートまたは管理単位から同期を開始する場合に必要です。Start Sync From がグループの場合は省略できます。

GroupMember.Read.All だけでは不十分です。Directory Sync はグループのプロパティを読み取るため、Group.Read.All が必要です。Group.Read.All はメンバーとメンバーシップもカバーするため、GroupMember.Read.All を追加する必要はありません。Directory Sync は委任されたアクセス許可やベータ版のエンドポイントを使用しません。

ドメインの編集

ドメインを編集するには、その行にポインターを合わせ、Edit domain アイコンを選択します。フォームには保存済みのパスワード、クライアントシークレット、秘密キーは表示されず、これらは必須のため、Save を選択する前にもう一度入力してください。既存のドメインを編集する場合、Save Domain & Add Sync も Save と同様に Domains に戻ります。

ドメインの削除

ドメインを削除するには、次の手順を実行します。

1. ドメインを選択します。
2. Delete を選択します。
3. Confirm を選択します。

注意

ドメインを削除すると、そのドメインを使用する同期定義も削除されます。ダイアログで警告が表示され、Confirm は 10 秒間使用できません。それらの同期のいずれかが実行中の場合、Directory Sync は削除を取り消し、実行中の同期を一覧表示します。それらの同期をオフにして、もう一度お試しください。

Synchronizations

Directory Sync がドメインから何を、いつ読み取るかを設定するには、同期（synchronization）を作成します。同期は、承認済みのエージェントとドメインを結び付け、スケジュールを設定し、収集するユーザーまたはコンピューターと、それらから作成するグループおよびプロジェクトを定義します。Synchronizations を開くと、同期の追加、編集、実行、停止、削除を行えます。

各行が 1 つの同期定義です。

グリッドには、各同期の Sync Name、Status、Domain、Start Node、Sync Entities、Sync Object、Set As Default が表示されます。列メニューから Agent、Created On、Last Synced On を追加できます。Status は Enabled、Disabled、Running のいずれかです。最後の実行が失敗した同期には警告アイコンが表示されます。詳細は DSA のログまたは Sync History で確認してください。一覧の同期のいずれかが実行中の場合は、バナーにその件数が表示され、Show running only でグリッドを実行中の同期のみに絞り込めます。Sync Entities の Entities リンクを選択すると、その同期でフィルターされた Entities が開きます。

同期定義の追加

同期定義を追加するには、次の手順を実行します。

1. Add Sync を選択します。
2. ドメインがまだない場合は、先にドメインを追加するよう求められます。Confirm を選択して Add Domain を開きます。
3. 同期定義の詳細を入力します。
   • Sync Name: 同期定義の一意名。
   • Enabled: 同期のオン/オフを切り替えます。既定ではオンです。有効な同期は、そのエージェントが有効な場合にのみ実行されます。
4. 4 つのタブ Destination & Time、Object、Group & Rules、Project Rules を順に設定します。Next を選択すると次のタブに進みます。
5. Save を選択します。いずれかのタブにエラーがある場合、Directory Sync はエラーのある最初のタブを開きます。既存の同期を編集する場合、Save はすべてのタブで利用できます。

Destination & Time タブ

このタブでは、次を設定します。

• Agent: この同期を実行するエージェントを選択します。有効なエージェントのみが一覧表示されます。

• Domain: 同期元のドメインを選択します。

• Start Node: 同期を開始する Lightweight Directory Access Protocol（LDAP）パスのノード。Active Directory / AWS、EDirectory、ApacheDs のドメインでは必須で、ドメインを選択すると LDAP://<domain-address> が自動入力されます。Save Domain & Add Sync から開いた場合は、ドメインが選択済みでこのフィールドは空のままなので、開始ノードを自分で入力します。

  例:

  LDAP://10.0.0.153/OU=OU_AB,DC=testdev1domain,DC=openlm,DC=biz
  LDAP://server2008r2ldap.openlm.biz/CN=SecGroup,DC=openlm,DC=com

  それ以外のディレクトリ種別では、このフィールドは Start Sync From という名前で、省略可能です。ディレクトリ全体を同期する場合は空のままにするか、開始位置を入力します。

  Directory Type	開始位置
  Google CDS	ou=<ou-name> または group=<group-name>
  Microsoft Entra Id	groups/<object-id> または adminunits/<object-id>
  Okta Directory	groups/<group-name> または users/<user-email>
  Nis Directory	groups/<group-name> または users/<username>

  これらの開始位置で、<ou-name>、<group-name>、<object-id>、<user-email>、<username> は、開始するオブジェクトを表します。

• Test Start Node: エージェントが開始ノードに到達できるかを確認するには、これを選択します。有効なエージェント、ドメイン、開始ノードが必要です。Start Node Validation ダイアログは最大 2 分待機します。終了したら、Start Node tested successfully または Failed to test the Start Node を確認します。

• Sync Method（エージェントの同名の設定ではなく、スケジュールの設定）:

  • By Time: 特定の曜日と時刻を指定します。Days で曜日を、30 分刻みの Start Time で時刻を選択し、Add を選択します。実行ごとに繰り返します。曜日と時刻の組み合わせが一覧に表示されます。
  • By Interval: 1～720 時間の実行間隔を指定します。Start Time と Interval Time (hours) を設定します。新しい同期は By Interval で、00:00 から 24 時間ごとに設定された状態で始まります。

  時刻は UI Configurations の Time zone に従い、Directory Sync は保存時にそれらを協定世界時（UTC）に変換します。

どのエージェントが、どのドメインを、どの開始ノードから、いつ読み取るかを選びます。

Object タブ

このタブでは、同期が読み取る内容を設定します。

• Sync object type:
  • Users: Only users monitored by UGS を選択すると、同期を OpenLM Platform で監視対象のユーザーに限定します。
  • Reflect user status: 選択すると、ディレクトリでのユーザーの有効・無効の状態を OpenLM Platform に反映します。NIS ドメインでは使用できません。
  • Computers: Active Directory / AWS、EDirectory、ApacheDs でのみ利用できます。Microsoft Entra Id、Google CDS、Okta Directory、Nis Directory は Users のみ対応します。
• Sync Attribute: 各ユーザーを識別するディレクトリ属性（例: cn、sAMAccountName、userPrincipalName）。選択肢はディレクトリ種別によって異なり、最初の選択肢が既定値です。
• Membership Filter: すべてのオブジェクト、または特定のグループ、組織単位（OU）、管理単位に属するオブジェクトのみを同期します。選択肢はディレクトリ種別によって異なります。
• Search Depth: 同期の深さを制限します。開始ノードから同期する階層数を 0～1000 で入力します。既定値の 0 はすべての階層を同期します。Okta Directory では最大値は 1 です。Microsoft Entra Id と Google CDS では、Start Sync From に開始グループ、管理単位、または OU を設定しない限り、深さは 0 にする必要があります。
• Sync Attributes: すべての属性を同期する（既定）か、カスタムの属性リストを選択します。Custom selection of attributes を有効にすると、選択した属性のみが LDAP から取得され、Users and Groups サービスなどの外部システムへ送信されます。Select All はすべての属性を選択します。必須属性は選択されたままになります。カスタム選択はコンピューターでは利用できません。

Sync Attribute と Membership Filter の選択肢、および必須属性は、ディレクトリ種別によって異なります。

Directory Type	Sync Attribute の選択肢	Membership Filter の選択肢	必須属性
Active Directory / AWS	CN, samAccountName, userPrincipalName	All objects, Only members of OUs, Only members of Security Groups	cn, sAMAccountName, userPrincipalName, whenChanged
EDirectory, ApacheDs	CN, mail	All objects, Only members of OUs, Only members of Security Groups	cn, mail
Microsoft Entra Id	userPrincipalName, onPremisesSamAccountName, mailNickname	All objects, Only members of Administrative Units, Only members of a group	userPrincipalName, mail, onPremisesSamAccountName, mailNickname
Google CDS	email	All objects, Only members of OUs, Only members of Security Groups	primaryemail
Okta Directory	login	All objects	login
Nis Directory	username	All objects, Only members of Security Groups	username

同期で何を読み取るかを選びます。ユーザーかコンピューターか、識別に使う属性、取り込む属性です。

警告

Users and Groups は、同期を適用する前にユーザーのプロパティをクリアします。そのため、Custom selection of attributes で選択を外した必須でない属性は、同期後に空になります。

DSS が OpenLM SLM と連携している場合、LDAP 同期でデータを更新する前に、OpenLM SLM は Mobile Phone、Email、Country を除くすべてのユーザープロパティをクリアします。そのため、DSS の同期設定で選択を外した必須でない属性は、同期時に消去され、空のままになります。

Group & Rules タブ

同期したオブジェクトから OpenLM Platform グループを作成するには、Rule to create a group でルールを選択します。

• No Group（既定）: すべてのオブジェクトを既定グループに割り当て。

• Flat: すべてのオブジェクトを 1 つのグループに割り当て。Group Name を入力します。

• Hierarchical: ディレクトリ階層に基づいてグループを作成します。グループの作成元とするオブジェクトクラスを選択します。

  • Security groups
  • Distribution groups（Active Directory のみ）
  • OU（Active Directory、EDirectory、ApacheDs、Google CDS）
  • Administrative Units（Microsoft Entra Id）
  • Customized & Unknown object classes（Active Directory、EDirectory、ApacheDs）

  Search Depth は、グループにする階層数を制限します。Active Directory のドメインでは、Object タブの Search Depth より大きくできません。Include start node は、開始ノード自体をグループにするかどうかを指定します。どちらの場合も、開始ノードの内容は同期されます。Microsoft Entra Id では Include start group です。

• Entity Attribute: 指定した属性に基づいてグループを作成します。Attribute To Group By で 1 つ以上の属性を選択します。複数の属性を選択した場合、グループ名は各属性の値をアンダースコアで連結したものになります。省略可能な Regular expression は、属性を 1 つだけ選択した場合にのみ使用できます。Object タブの Sync Attributes でオンにしていない属性は選択できません。

Flat、Hierarchical、Entity Attribute では、次も設定できます。

• Set as default group: レポート上の既定グループ割り当てを上書きします。この同期のすべてのユーザーをそのグループに割り当て、既定グループとして設定します。ユーザーが持てる既定グループは 1 つだけのため、複数の同期が設定した場合は、最後に完了した同期が既定グループを設定します。
• Wrapper Parent Group Name (Optional): 同期されたすべてのオブジェクトの親グループを設定します。Flat ルールの Group Name とは異なる名前にする必要があります。

ディレクトリから OpenLM のグループをどのように作成するかを選びます。

ApacheDS のグループ

ApacheDS のグループは異なる方法で同期されます。グループメンバーシップは groupOfNames および groupOfUniqueNames オブジェクトクラスとその member / uniqueMember 定義から読み取られます。

Project Rules タブ

同期したオブジェクトからプロジェクトを作成するには、Rule to create a project でルールを選択します。選択肢は Group & Rules と同じで、プロジェクトに適用されます。

ルールは No Project、Flat、Hierarchical、Entity Attribute です。フィールド名はプロジェクト向けになります。Project Name、Security projects、Distribution projects、Attribute To Project By、Wrapper Parent Project Name (Optional) です。

Set as default project は、既定プロジェクト割り当てを上書きします。

Directory Sync がプロジェクトをどのように作成するかを選ぶか、プロジェクトを作成しないようにします。

同期の手動実行

選択した同期を今すぐ実行するには、次の手順を実行します。

1. 1 つ以上の同期定義を選択します。
2. Sync Now を選択します。

選択した同期のいずれかにエージェントがない、無効になっている、またはエージェントが一時停止中の場合、Directory Sync は選択した同期をどれも開始しません。メッセージ、または一時停止中のエージェントを一覧表示する Agent Suspended ダイアログが表示されるため、問題を修正してからもう一度お試しください。

エンティティ関連データのリセット

同期が生成した関係データをリセットするには、次の手順を実行します。

1. 同期定義を選択します。
2. Reset Link を選択します。
3. 操作を確定します。

これにより、同期が生成した関係データ（エンティティに設定した無視フラグを含む）がクリアされます。ユーザーデータには影響しません。実行中の同期はスキップされます。

実行中の同期の停止

同期が進まなくなった場合は、Stop Sync を使用します。選択した同期のいずれかが実行中の場合、Sync Now は Stop Sync に変わり、実行中の同期の行には専用の停止アイコンもあります。すでに同期されたデータはそのまま残るため、完全な結果を得るには同期をもう一度開始します。実行がどこで停止したかを確認するには、Sync History を開きます。

同期の一括編集

複数の同期を一度に編集するには、次の手順を実行します。

1. 2 つ以上の同期定義を選択します。
2. Bulk Edit を選択します。
3. 変更する項目を設定します。Status、Agent、Domain、またはスケジュール（By Time か By Interval）を設定できます。空のままにした項目は変更されません。
4. Save を選択します。
5. Confirm を選択します。

注意

以前の Directory Sync からの移行後、同期にエージェントが設定されていないことを知らせる Attention ダイアログが表示される場合があります。各同期を編集してエージェントを選択するか、Bulk Edit で複数の同期をまとめて更新します。

同期定義の削除

同期定義を削除するには、次の手順を実行します。

1. 同期定義を選択します。
2. Delete を選択します。
3. 削除を確定します。

注意

実行中の同期は削除できません。実行中の同期を選択した場合は、ダイアログで警告が表示され、実行中でない同期のみが削除されます。

Entities

同期で何が作成されたかを確認したり、個々の項目を除外または更新したりするには、Entities を開きます。Directory Sync Service（DSS）の同期で作成されたエンティティ（ユーザー、グループなど）が一覧表示されます。

同期が作成したすべての項目と、その種類および最終同期時刻です。

Entities では、次のことができます。

• グリッドを確認します。グリッドには ID、Entity Name、Entity Type、Last Synced By、Last Synced On が表示されます。列メニューから Distinguished Name を追加できます。
• エンティティのフィルターと検索ができます。Export data を選択すると、CSV ファイルとしてダウンロードできます。
• 今後の同期からエンティティを除外するには、エンティティを選択し、Ignore を選択します。無視されたエンティティにはアイコンが表示され、選択したエンティティがすでに無視されている場合、ボタンは Restore に変わります。
• エンティティを個別に同期するには、行にポインターを合わせ、Sync now を選択します。そのエンティティを最後に処理した同期が削除されている場合、Directory Sync はそのエンティティを同期できません。
• エンティティの関係を表示するには、行にポインターを合わせ、View relations を選択します。

Relations

同期がエンティティをその親にどのように関連付けたかを確認するには、Relations を開き、Agent、Domain、Sync Name、Entity Name、Entity Type、Parent Name、Parent Type、Last Synced On を確認します。最初の 7 列の値を選択すると、関連するページが開きます。関係のフィルターと検索ができ、Export data を選択すると CSV ファイルとしてダウンロードできます。

各エンティティがどの同期によって、どの親に関連付けられたかを示します。

特定の同期定義に対してエンティティを除外するには、関係を選択し、Ignore を選択します。無視された関係は、次回の同期では変更されません。Restore を選択すると、再び対象に含まれます。

Sync History

同期の実行が成功したか、失敗した場合はどこで止まったかを確認するには、Sync History を開きます。完了した実行、失敗した実行、停止された実行を含め、過去の実行が記録されます。

過去の実行と、それぞれが到達したステータスです。

上のグリッドには実行が一覧表示されます。Execution Number、Sync Name（後から削除した同期は Deleted - <sync-name> と表示されます）、Start Time、End Time、Final Status が表示されます。Final Status は、完了した実行では Completed、完了しなかった実行では Failed または Stopped、実行中は Executing です。実行を選択すると、下のグリッドにそのステップが表示されます。最初の実行は自動的に選択されます。Execution Status にはステップ名が、Update Date にはそれが発生した日時が表示されます。実行は次のステップを経ます。

• Sync will start shortly
• Execution started on DSA
• Directory scan started と Directory scan completed
• Upload started to DSS と Upload completed
• DSS started to proceed data と DSS processed data
• Upload started from DSS と Upload finished from DSS
• Execution finished、Execution Failed、または Execution stopped

実行が失敗した場合、失敗したステップにアイコンが表示され、グリッドの下のパネルにステップ、失敗した時刻、エラーメッセージが表示されます。このメッセージを使って同期のトラブルシューティングを行います。履歴は Sync Name でフィルターしたり検索したりでき、Export data を選択するとダウンロードできます。実行中のものは自動的に更新されます。

Service Configuration

Directory Sync が自身のデータベースに保持するエンティティとリレーションを消去するには、Service Configuration を開きます。このページは管理者専用です。

削除は元に戻せません

この操作は元に戻せませんが、Directory Sync は次回の同期でエンティティと関係を再作成します。

エンティティと関係を消去するには、次の手順を実行します。

1. Delete Entities & Relations From DSS DB を選択します。
2. Delete Entities & Relations ダイアログで、Confirm の 10 秒のカウントダウンが終わるのを待ちます。
3. Confirm を選択します。

注意

これはメインデータベース内のユーザーやグループには影響しません。

このページには 2 つのタブがあります。

• Directory Sync Connectivity: Directory Synchronization Agent (DSA) が接続する先のアドレスである DSS IP/Hostname を、Copy ボタンとともに表示します。Directory Synchronization Agent（DSA）のインストールの手順に従うときに入力する必要はありません。DSA はこのアドレスを認証ファイルから取得します。
• Identity Alignment Notifications: OpenLM Platform でのみ、Identity Alignment の Admin ロールを持つユーザーに表示されます。External Services の既定の通知先アドレスを保持します。

Directory Sync Connectivity タブの DSS のアドレス。

グローバルカタログ

グローバルカタログとのディレクトリ同期

Active Directory フォレストでドメインをまたいでユーザーを同期するには、グローバルカタログを使用します。グローバルカタログは、複数ドメインで構成された Active Directory（AD）フォレスト内の中央リポジトリです。これにより Directory Sync は、複数ドメインにわたるユーザー情報や構造データを取得できます。フォレスト内のすべてのオブジェクトに関する一般的な属性を含んでいます。

グローバルカタログを使用する場面

次のことが必要な場合は、グローバルカタログを使用します。

• 複数ドメインにわたるフォレスト全体の検索
• 一般的な属性に対するより高速なクエリ
• 複数ドメイン環境へのより簡単なアクセス

制限事項

グローバルカタログには次の制限事項があります。

• オブジェクト属性の一部のみを含む
• 詳細なユーザー属性が含まれない場合がある

注意

グローバルカタログにはすべてのユーザー属性が含まれないため、同期時は注意が必要です。一部のデータが欠落する可能性があります。

たとえば、Directory Sync Service（DSS）で GC:// プロトコルを使用した場合、次の属性は同期されません。

• title
• department
• mobile
• physicalDeliveryOfficeName

同じエンティティに対して LDAP:// プロトコルを使用した場合、これらの属性は正常に同期されます。

DSS でグローバルカタログを構成する

DSS でグローバルカタログを構成するには、次の手順を実行します。

1. 正しいポートでドメインを追加します。

   • SSL なし接続の場合はポート 3268
   • SSL 接続の場合はポート 3269

   先に SSL と Directory Type を設定してから、ポートを入力してください。どちらかを変更するとポートが既定値にリセットされ、既定のポートに関するメッセージが表示されます。

2. 開始ノードを設定します。

   • 新しい同期を作成する際、LDAP ではなく GC プロトコルを使用するように Start Node を設定します。ドメインを選択するとフィールドに LDAP://<domain-address> が自動入力されるため、LDAP:// を GC:// に置き換えます。