4. 各バックエンドを利用するための準備¶

ここでは Unicorn ID Manager で各バックエンドを利用する前に実施する必要のある作業について説明します。

ここでは、以下のバックエンドの事前準備の作業について記載しています。

Windows Server の Active Directory
SQL
Google G Suite (旧名 Google Apps)
Azure Active Directory (Office365)

4.1. Windows Server の Active Directory¶

Windows Server の Active Directory をバックエンドにするためには、 Windows Server に 証明書サービス をインストールし、インストール後に Windows Server の再起動が必要となります。

証明書サービス は PowerShell から以下のコマンドを実行することでインストールできます。証明書の有効期限等は運用ポリシーに合わせて任意の値を指定してください。

PS > Add-WindowsFeature ADCS-Cert-Authority -IncludeManagementTools
PS > Install-AdcsCertificationAuthority -CAType EnterpriseRootCA `
     -ValidityPeriod Years -ValidityPeriodUnits 10 `
     -HashAlgorithmName SHA256 `
     -KeyLength 2048

4.2. SQL¶

Unicorn ID Managerではテーブルの作成は行いませんので、 SQLバックエンドを利用する際は、適切な設定のテーブルを事前に作成する必要があります。

ここでは、Unicorn ID Manager で利用出来るテーブルの作成手順について記載しています。

4.2.1. MySQL¶

ここではSQLバックエンドとしてMySQLを利用した際の、テーブル作成手順について記載しています。

4.2.1.1. 必要なテーブル¶

Unicorn ID ManagerでSQLバックエンドを利用するために必要なテーブルは、

ユーザー情報を保存するテーブル
グループ情報を保存するテーブル
メンバー情報を保存するテーブル

の3つになります。それぞれのテーブル名は unicornidm.conf で指定するので特に制約はありません、管理しやすい名前を指定してください。今回の例では users,groups,members とします。

4.2.1.2. テーブルの作成¶

以下は testdb というDBを作成し、 users,groups,members のテーブルを作成するSQL文の例です。

CREATE DATABASE testdb CHARACTER SET utf8mb4;

use testdb;

CREATE TABLE users (
    user_name varchar(768) collate utf8mb4_0900_ai_ci primary key,
    sn text,
    given_name text,
    group_number integer,
    password text,
    mail text,
    description text
);

CREATE TABLE `groups` (
    group_name varchar(768) collate utf8mb4_0900_ai_ci primary key,
    description text
);

CREATE TABLE members (
    group_name text references `groups`(group_name),
    user_name text references users(user_name)
);

user_name と group_name は主キーとなっています。 Unicorn ID Manager では主キーとなる属性は大文字小文字を区別しない比較をすることを前提としています。そのため user_name と group_name には明示的に collate utf8mb4_0900_ai_ci という照合順序の設定をしています。

また、 groups という値が MySQL 8.0.2 から予約語となっているので、バッククオートでエスケープする必要があることにも注意してください。

4.2.2. PostgreSQL¶

ここではSQLバックエンドとしてPostgreSQLを利用した際の、テーブル作成手順について記載しています。

4.2.2.1. 必要なテーブル¶

Unicorn ID ManagerでSQLバックエンドを利用するために必要なテーブルは、

ユーザー情報を保存するテーブル
グループ情報を保存するテーブル
メンバー情報を保存するテーブル

の3つになります。それぞれのテーブル名は unicornidm.conf で指定するので特に制約はありません、管理しやすい名前を指定してください。今回の例では users,groups,members とします。

4.2.2.2. テーブルの作成¶

以下は testdb というDBを作成し、 users,groups,members のテーブルを作成するSQL文の例です。

CREATE DATABASE testdb;

\c testdb;
create extension citext;

CREATE TABLE users (
    user_name citext primary key,
    sn text,
    given_name text,
    group_number integer,
    password text,
    mail text,
    description text
);

CREATE TABLE groups (
    group_name citext primary key,
    description text
);

CREATE TABLE members (
    group_name citext references groups(group_name),
    user_name citext references users(user_name)
);

INSERT INTO users VALUES('psqltest0',
                         'psqltest0',
                         'psqltest0',
                         100,
                         'User-6B#',
                         'mail@example.com',
                         'description');

user_name と group_name は主キーとなっています。 Unicorn ID Manager では主キーとなる属性は大文字小文字を区別しない比較をすることを前提としています。そのため user_name と group_name には大文字小文字を区別しない citext という型を利用しています。

4.3. Google G Suite¶

Google G Suite (旧名 Google Apps) を Unicorn IDM のバックエンドにするには、Google API コンソールでサービスアカウントを作成し、 Google 管理コンソールでサービスアカウントに対して API アクセスを承認する必要があります。

以下に作業の概要を示します。

Google API コンソールでサービスアカウントと API キーを作成する
1. Google API コンソールを開く。
2. 組織 (G Suite ドメイン) にプロジェクトを作成する。
3. プロジェクトの Admin SDK の API を有効にする。
4. プロジェクトにサービスアカウントと API キーを作成する。
5. サービスアカウントのクライアント ID を控える。
Google 管理コンソールでサービスアカウントに API アクセスを承認する
1. Google 管理コンソールを開く。
2. サービスアカウントのクライアント ID に対して API アクセスを承認する。

4.3.1. Google API コンソールでサービスアカウントと API キーを作成する¶

Google API コンソール https://console.developers.google.com/ にアクセスして、管理権限を持つ Google アカウントでログインする。
- ほかの Google アカウントでログイン済みの場合は、ページ上部メニューバー右端のアイコンをクリックして別のアカウントを選択するか、アカウントを追加ボタンを押して追加してログインする。
プロジェクトを作成する。名前、ID は任意。
- ページ上部メニューバーの組織 (G Suite ドメイン) 選択プルダウンメニュー (「Google APIs」ロゴの右横) をクリックし、選択ダイアログ中の＋ボタン (プロジェクトを作成) をクリックする。
- 新しいプロジェクト画面のプロジェクト名欄に「G Suite」(例) と入力する。プロジェクト ID は一意なものが自動で決定されプロジェクト ID は g-suite-<数字列> ですとのように表示される。任意の ID を割り当てたい場合は、その右横の編集をクリックしてプロジェクト ID 欄に「g-suite」(例) など他プロジェクトと重複しない ID を入力する。
- 最後に作成ボタンをクリックする。
プロジェクトの Admin SDK API を有効にする。
- ページ上部メニューバーの組織 (G Suite ドメイン) 選択プルダウンメニューからプロジェクトを選択する。(すでに選択されているなら不要)
- ページ上部メニューバー左のハンバーガーメニュー (「Google APIs」ロゴの左横) から API Manager ‣ ライブラリをクリックし、よく使われる API 内の G Suite APIs 節の Admin SDK をクリックし、有効にするをクリックする。
プロジェクトにサービスアカウントを作成する。名前は任意。
- ページ上部メニューバーの組織 (G Suite ドメイン) 選択プルダウンメニューからプロジェクトを選択する。(すでに選択されているなら不要)
- ページ上部メニューバー左のハンバーガーメニューから IAM と管理 ‣ サービスアカウントをクリックし、サービスアカウントを作成をクリックする。
- サービスアカウントの作成ダイアログ中のサービスアカウント名に「Unicorn IDM」(例) と入力し、役割を「役割を選択」のままにする。サービスアカウント ID は一意なものが自動で決定されるが、任意の ID を割り当てたい場合は「unicorn-idm」(例) など他サービスアカウントと重複しない ID を入力する。
- 同ダイアログ中の新しい秘密鍵の提供チェックボックスをオンにして、キーのタイプから「JSON」を選択する。
- 同ダイアログ中の G Suite ドメイン全体の委任を有効にするチェックボックスをオンにして、同意画面のサービス名欄に「Unicorn IDM Service」(例) と入力する。
- 最後に作成ボタンをクリックする。
- アカウント作成が完了するとサービスアカウントの API キー (JSON キー) がダウンロードされるので、Unicorn IDM の設定ディレクトリ下に保存する。このファイルには Google G Suite API の管理権限を持つサービスアカウントの秘密鍵が格納されているため、漏洩しないように注意が必要。 Unicorn ID Manager を実行するプロセス以外から参照できないようにする。

サービスアカウントのクライアント ID を控える。
- IAM と管理のサービスアカウント画面のサービスアカウント一覧右のオプション欄のクライアント ID を表示をクリックして、クライアント ID 欄の値 (数字列) を参照する。

4.3.2. Google 管理コンソールでサービスアカウントに API アクセスを承認する¶

Google 管理コンソール http://admin.google.com/ にアクセスして、管理権限を持つ Google アカウントでログインする。
ホーム画面もしくはページ上部メニューバー左のハンバーガーメニューからセキュリティ ‣ 詳細設定をクリックして、認証節の API クライアントアクセスを管理するをクリックする。
クライアント名欄に先に控えたサービスアカウントのクライアント ID を、 1 つ以上の API の範囲欄に下記の内容を入力して承認ボタンを押す。
```
https://www.googleapis.com/auth/admin.directory.user,https://www.googleapis.com/auth/admin.directory.group,https://www.googleapis.com/auth/admin.directory.orgunit
```

4.4. Azure Active Directory (Office365)¶

Azure Active Directory (Azure AD) をバックエンドにするためには、以下に示す手順を SKU の名前を取得以外をすべて実施してください。

SKU の名前を取得はユーザーにライセンスを付与する際に必要な情報を取得するために必要です。

なお、ここではすでに Azure AD の管理者アカウントが設定済みで、かつ Azure AD の言語設定が日本語であることを前提とします。

4.4.1. アプリケーション ID の作成¶

※2019年7月現在の情報です

https://portal.azure.com/ にアクセス
左ペインの Azure Active Directory をクリック
左ペインのアプリの登録をクリック
画面上部の＋新規登録をクリック
下記の項目を入力し、画面下部の登録をクリック
- 名前 : unicornidmなど任意の名前を入力
- サポートされているアカウントの種類 : 「この組織のディレクトリ内のアカウントのみ」を選択
作成に成功すると指定した名前やアプリケーションの種類、ホームページが表示される
画面上部に表示されている「アプリケーション(クライアント)ID」の最後のクリップボードにコピーをクリックすると、アプリケーションIDをコピー可能
- アプリケーションIDは、UnicornIDMのクライアントIDに設定
- /opt/osstech/etc/unicornidm/unicornidm.conf の azureバックエンドでの bind_user パラメータに設定
左ペインの証明書とシークレットをクリック後、＋新しいクライアントシークレットをクリック。
下記入力後追加をクリック。
- 説明 : 任意の説明を入力
- 有効期限 : 期限なしを選択
追加後、クライアントシークレットの値が表示されるため、コピーして任意のファイルにペーストして厳重に保存 （以降は表示されなくなります）
保存したキーの値を UnicornIDMのシークレットキーとして設定

/opt/osstech/etc/unicornidm/unicornidm.conf の azureバックエンドでの bind_password_file パラメータで指定しているファイルに記載

4.4.2. アプリケーション ID にロールを割り当て¶

※2019年7月現在の情報です

4.4.2.1. Azure ポータルページを用いた方法¶

https://portal.azure.com/ にアクセス
左ペインの Azure Active Directory をクリック
左ペインのロールと管理者をクリック
ロール一覧の中のユーザー管理者をクリック
画面上部の＋割り当ての追加をクリック
アプリケーション ID の作成で作成したアプリケーションの名前を検索し、選択。

以上です。

4.4.2.2. PowerShellを用いた方法¶

Windows 端末にて PowerShell 用の Azure AD モジュールをインストール

これはAzure ADモジュールを一度インストールしている環境では不要です。

管理者特権で Windows PowerShell コマンドプロンプトを開きます (Windows PowerShell を管理者として実行)。
```
PS C:\> Install-Module -Name AzureAD
```
信頼されていないリポジトリからモジュールをインストールするようにメッセージが表示されたら、「Y」と入力し、ENTER を押します。

PowerShell を開き、以下のコマンドを実行 (<APPID> はアプリケーション ID の作成の 7. で取得したアプリケーション ID)

PS C:\> Connect-AzureAD
PS C:\> $AppId = "<APPID>"
PS C:\> $roleMember = Get-AzureADServicePrincipal -Filter "AppId eq '$AppId'"
PS C:\> $role = Get-AzureADDirectoryRole | Where-Object {$_.displayName -eq 'User Account Administrator'}
PS C:\> if ($role -eq $null) {
>> $roleTemplate = Get-AzureADDirectoryRoleTemplate | Where-Object {$_.displayName -eq 'User Account Administrator'}
>> Enable-AzureADDirectoryRole -RoleTemplateId $roleTemplate.ObjectId
>> $role = Get-AzureADDirectoryRole | Where-Object {$_.displayName -eq 'User Account Administrator'}
>> }
PS C:\> Add-AzureADDirectoryRoleMember -ObjectId $role.objectid -RefObjectId $roleMember.ObjectId

なお、指定したアプリケーション ID が[User Account Administrator]ロールに割り当てられているかは下記のコマンドで確認できます

PS C:\> Connect-AzureAD
PS C:\> Get-AzureADDirectoryRoleMember -ObjectId (Get-AzureADDirectoryRole | Where-object {$_.displayName -eq 'User Account Administrator'}).objectid

4.4.3. SKU の名前を取得¶

Windows 端末にて PowerShell 用の Azure AD モジュールをインストール

これはAzure ADモジュールを一度インストールしている環境では不要です。

管理者特権で Windows PowerShell コマンドプロンプトを開きます (Windows PowerShell を管理者として実行)。
```
PS C:\> Install-Module -Name AzureAD
```
信頼されていないリポジトリからモジュールをインストールするようにメッセージが表示されたら、「Y」と入力し、ENTER を押します。

PowerShell を開きサブスクリプションごとに割り当てられている SKU の名前を取得

PS C:\> Connect-AzureAD
PS C:\> Get-AzureADSubscribedSku | Select-Object -Property SkuPartNumber

出力された情報のうち SkuPartNumber の列以下の情報を控える (たとえば、以下のような出力が得られます)
```
SkuPartNumber
-------------
STANDARDPACK
```