宛先システム（Destination Systems）

Directory Sync が検出したユーザーとグループの変更を自社の AWS インフラストラクチャに引き渡すには、宛先システムを追加します。宛先システムとは、OpenLM の Directory Synchronization Service（DSS）からのディレクトリ更新データを受け取る Amazon S3 バケットまたは Amazon Simple Queue Service（SQS）キューです。SQS キューは先入れ先出し（FIFO）キューである必要があります。

DSS が LDAP または Active Directory でユーザーやグループの変更を検出すると、Directory Sync は自動的にそのデータを設定済みの AWS 宛先に送信します。

LDAP Connector タイル

Destination Systems は、独立した LDAP Connector サービスに代わるものです。Navigation メニューには、その以前のサービスを開く LDAP Connector タイルがあります。同じ宛先システムを扱います。このページでは、Directory Sync の Destination Systems ページについて説明します。

はじめに

次の前提条件を確認します。

• LDAP Connector 製品が有効化された OpenLM Platform アカウント。
• LDAP Connector 製品の Admin ロール。アカウント管理者には常にこのページが表示されます。ロールがない場合、サイドバーの Destination Systems エントリは非表示になり、アドレスを直接指定してページを開くと Agents に戻されます。
• 少なくとも 1 つの同期定義が設定された Directory Synchronization Service（DSS）。
• AWS アカウントで設定済みの宛先が少なくとも 1 つ。変更をファイルとして受け取る Amazon S3 バケット、またはメッセージとして受け取る Amazon SQS FIFO キューです。両方を追加することもできます。
• 宛先用の AWS 認証情報（Access key と Secret access key）。個人の認証情報ではなく、マシン間認証用のサービスアカウントを使用します。
• 認証情報の権限。バケットの場合は s3:ListBucket と s3:PutObject、キューの場合は sqs:ListQueues と sqs:SendMessage です。必要な最小限の権限は Add Destination System ページに表示されます。

Destination Systems を開くには、OpenLM Platform のヘッダーにある Navigation（グリッドアイコン）、Users、Directory Sync の順に選択し、サイドバーの Destination Systems を選択します。

Destination Systems は、クラウドでホストされている OpenLM Platform でのみ利用できます。オンプレミスのインストールには含まれません。

LDAP Connector の有効化

LDAP Connector は OpenLM Products の個別の製品です。有効化するには、次の手順を実行します。

1. OpenLM Platform で Products を開きます。
2. LDAP Connector を見つけます。
3. LDAP Connector を有効化します。
4. このページが必要な各ユーザーに、その製品の Admin ロールを付与します。

詳細については、Identity のユーザー管理を参照してください。

製品を有効化すると、Admin ロールを持つユーザーとアカウント管理者の Directory Sync サイドバーに Destination Systems が表示されます。Navigation メニューにも LDAP Connector タイルが表示されます。

宛先システムの確認

ディレクトリの変更の送信先と、直近の配信が成功したかを確認するには、Destination Systems を開きます。各宛先システムのカードで、次の内容を確認します。

• Name と System（Amazon S3 または Amazon SQS）。
• 対象を識別するフィールド。Amazon S3 では Bucket name と Path prefix、Amazon SQS では Fifo queue url です。
• ステータス行: No syncs yet、Last sync に続く直近の成功した同期の日時、Sync in progress、または Last sync failed。

カードのヘッダーを選択すると、その宛先システムの詳細が開きます。一覧は 10 秒ごとに更新されます。

次のスクリーンショットは、カード一覧を示します。

各宛先システムはカードで表示されます。ヘッダーを選択すると詳細が開きます。

宛先システムの設定

以降のセクションでは、宛先システムの追加、編集、テスト、削除について説明します。

Amazon S3 宛先の追加

Amazon S3 宛先を追加するには、次の手順を実行します。

1. サイドバーで Destination Systems を選択します。
2. Add System を選択します。宛先システムがまだない場合は、代わりに Add Destination System カードを選択します。
3. System で Amazon S3 を選択します。
4. フィールドに入力します。
   • Name: この宛先の表示名。同じシステムの宛先の中で一意である必要があります。
   • Bucket name: Amazon S3 バケットの名前。
   • Path prefix: （任意）バケット内のフォルダーパス。Directory Sync は各同期イベントを <path prefix>/<UTC timestamp>.sync という名前のオブジェクトとして書き込みます。
   • Access key: AWS アクセスキー。
   • Secret access key: AWS シークレットアクセスキー。
   • Region: バケットがある AWS リージョン。リストから選択します。
5. Check Connection を選択して設定をテストします。
6. Save を選択します。

接続のテストについては、接続の確認を参照してください。AWS 側の設定については、選択したシステムについてページに表示されるセットアップ手順を参照してください。

次のスクリーンショットは、Amazon S3 宛先のフォームを示します。

Amazon S3 宛先の追加。

Amazon SQS 宛先の追加

Amazon SQS 宛先を追加するには、次の手順を実行します。

1. サイドバーで Destination Systems を選択します。
2. Add System を選択します。宛先システムがまだない場合は、代わりに Add Destination System カードを選択します。
3. System で Amazon SQS を選択します。
4. フィールドに入力します。
   • Name: この宛先の表示名。同じシステムの宛先の中で一意である必要があります。
   • Fifo queue url: Amazon SQS FIFO キューの完全な URL（AWS コンソールから取得）。キューは FIFO キューである必要があります。Directory Sync は、メッセージグループ ID default-group でメッセージを送信します。
   • Access key: AWS アクセスキー。
   • Secret access key: AWS シークレットアクセスキー。
   • Region: キューがある AWS リージョン。リストから選択します。
5. Check Connection を選択して設定をテストします。
6. Save を選択します。

接続のテストについては、接続の確認を参照してください。

宛先システムの編集

宛先システムを編集するには、次の手順を実行します。

1. 宛先システムのカードヘッダーを選択して詳細を開きます。
2. Edit System を選択して設定を変更します。
3. 必須フィールドを更新します。
4. Save を選択します。

保存済みの Access key と Secret access key は、マスクされたパスワードフィールドとして表示されます。保存済みのキーを維持するにはそのままにし、置き換えるには新しい値を入力します。

接続の確認

Directory Sync が指定した認証情報で設定済みの AWS リソースに接続できるかを確認するには、Add Destination System ページまたは Edit Destination System ページ、あるいは宛先システムの詳細ページで Check Connection を選択します。確認は次のように動作します。

• 新しい宛先システムでは、入力した値を使って確認します。必須フィールドが空の場合、ボタンはそのフィールドを強調表示するだけです。
• 既存の宛先システムでは、未保存の編集内容ではなく保存済みの設定を使って確認します。先に変更を保存してから、もう一度確認してください。
• 確認が成功すると、テスト用の項目が残ります。
• Amazon S3 では、確認でパスプレフィックスの下に openlm-connection-test-<UTC timestamp>.txt という名前の小さなテキストファイルを書き込みます。
• Amazon SQS では、確認でキューにテストメッセージを 1 件送信します。
• 確認には、バケットへの書き込み権限、またはキューへのメッセージ送信権限が必要です。
• 残したくない場合は、テストファイルまたはテストメッセージを削除します。
• 結果はボタンの下に表示されます。「Connection tested successfully.」（緑色）または「Check connection failed.」（赤色）に続いて、「Unable to connect. Check the platform settings and credentials, then try again.」が表示されます。確認中に進行状況インジケーターは表示されないため、結果が表示されるまで待ちます。

宛先システムの削除

宛先システムを削除するには、次の手順を実行します。

1. カード一覧で、宛先システムのカードにあるごみ箱アイコンを選択します。
2. Delete Destination System ダイアログで Confirm を選択します。

詳細ページには Delete ボタンはありません。宛先システムはカードから削除します。

宛先システムの同期履歴の確認

宛先への配信が機能しているかを確認するには、宛先システムのカードヘッダーを選択して詳細を開きます。保存済みの設定（読み取り専用で、キーはマスクされます）と、この宛先に対する各同期イベントの結果を一覧する履歴グリッドを確認します。グリッドの列は次のとおりです。

• Sync Status: Successful、In Progress、Failed のいずれか。
• Sync Date: 同期イベントが実行された日時。

Refresh を選択するとグリッドを再読み込みできます。Search を使うと、ステータスまたは日付で絞り込めます。このグリッドは、ディレクトリ同期の実行を一覧表示する Directory Sync の Sync History ページとは別のものです。

次のスクリーンショットは、Amazon S3 宛先の詳細ページを示します。

宛先システムの詳細と同期履歴。

同期の仕組み

DSS と LDAP Connector サービスは、次の順序でディレクトリの変更を配信します。

1. DSS が設定済みの LDAP または Active Directory ソースで変更（ユーザーの作成、更新、削除）を検出する。
2. DSS が変更をイベントとして Kafka に発行する。
3. LDAP Connector サービスがこれらのイベントを受信し、すべての設定済み宛先システムにデータを転送する。
4. Amazon S3 バケットに新しいファイルが作成され、Amazon SQS キューに新しいメッセージが追加される。

トラブルシューティング

次の表に、症状、考えられる原因、対処方法を示します。

症状	考えられる原因	対処方法
Destination Systems がサイドバーに表示されない	LDAP Connector 製品が有効化されていない、Admin ロールがない、またはデプロイがオンプレミスである	OpenLM Products で製品を有効化し、アカウント管理者にロールの割り当てを依頼する。オンプレミスのデプロイにはこのページがない。
カードに Last sync failed と表示される	この宛先への直近の配信が失敗した	宛先システムを開き、Check Connection を選択して保存済みの設定をテストする。失敗した場合は、バケット名またはキューの URL、リージョン、キー、およびその権限を確認する。
宛先システムを編集した直後に「Check connection failed.」と表示される	確認は未保存の編集内容ではなく、保存済みの設定をテストする	Save を選択し、もう一度 Check Connection を選択する。
バケットまたはキューにテストファイルまたはテストメッセージが現れる	Check Connection は成功時に 1 件書き込む	残したくない場合は削除する。