Google Workspace 連携：プロビジョニングを初期設定する
本記事では、プロビジョニングと呼ばれるCloudGate UNOのアカウントやグループ情報をGoogle Workspaceへと同期するために必要な設定手順をご案内しています。
目次
3.CloudGate UNO管理者サイトでサービスアカウントを設定する
作業前の留意事項
- プロビジョニングの設定、利用にはGoogleの特権管理者権限を持つアカウントが必要です。
アカウントや権限の削除によってプロビジョニングが動作しなくなりますので、以下を参考にシステム用などお客様で継続して利用できるアカウントをご用意いただくことをお勧めしています。
ユーザーを特権管理者にする＜外部サイト＞
既定の管理者ロール＜外部サイト＞
- 本作業において、以下のコンソールを操作します。利用規約などの表示がありましたら事前に同意するなど操作可能なことをご確認ください。
Google管理コンソール：https://admin.google.com/
Google Cloudコンソール：https://console.cloud.google.com/
Google Cloudコンソールへアクセスできない場合、その他の Google サービスを有効または無効にする＜外部サイト＞を参考に、Google Cloudが有効化されているかご確認ください。
- 本作業で作成するサービスアカウントキーは、CloudGate UNOのプロビジョニング機能にのみご利用ください。
公開されたサービス アカウント キーを自動的に無効にする＜外部サイト＞にて、ご案内の通り、Google Cloud側の判断にて、サービスアカウントキーが無効化される場合があります。公開の判断基準はGoogle側にありますが、Github等オープンな場への公開などが該当するようです。CloudGate UNO管理者サイトへの設定は該当しません。
1.Google Cloudでプロビジョニングを設定する
1−1．ポリシーを設定する
2024年5月3日以降に作成された Google Workspace 環境では「1-4.サービスアカウントを作成する」の実施に本作業が必要です。
該当しないお客様は「1-2.プロジェクトを作成する」へとお進みください。
Google Cloudコンソールにアクセスし、Google Cloud ロゴの隣にあるプルダウンをクリックし「すべて」の中から最上位の組織をクリックします。プルダウンには選択した組織が表示されます。
画面左上のナビゲーションメニューより IAMと管理 ＞IAM ＞ログインしているGoogle特権管理者の鉛筆マークをクリックします。
「組織名」に対する権限の編集画面が表示されますので、「別のロールを追加」をクリック＞ロールのプルダウンから組織ポリシー管理者を選択し、保存します。組織ポリシーで検索すると、素早く見つかります。
左側のメニューから 組織のポリシーにアクセスします。表示された画面のフィルタ部分で Disable service account key creation を検索、表示されたポリシーをクリックします。
検索で2つ見つかった場合、マネージド側の Disable service account key creation をクリックします。
ポリシーの詳細画面内で「ポリシーを管理」をクリックし、以下の通り設定します。
- ポリシーのソース：親のポリシーをオーバーライドする
-
ルール：ルールの追加をクリック、「オフ」を選択し完了します。
設定が完了したら「変更をテスト」します。テストの完了をしばらくお待ちください。
結果は、組織のポリシー画面上部の シミュレーションの履歴 ＞日付をクリック で確認します。ポリシー違反などないようでしたら、ポリシーを設定します。
1-2.プロジェクトを作成する
Google Cloudコンソールにアクセスし、Google Cloud ロゴの隣にあるプルダウンから「新しいプロジェクト」をクリックし、以下の内容で作成します。作成ボタンをクリック後、完了するまでしばらく待ちます。
-
プロジェクト名：CloudGate
CloudGate用であることが判別可能でしたらお客様任意の名前で問題ありません。 - 組織：変更しません
- 親リリース：変更しません
1-3.APIを有効にする
Google Cloud ロゴの隣がCloudGate（作成したプロジェクト名）であることを確認します。異なる場合、ロゴ隣のプルダウンからCloudGateを選択します。
画面左上のナビゲーションメニューから、APIとサービス ＞ライブラリ と進みます。
CloudGate UNOで利用する以下2つのAPIをライブラリ内から検索し、有効にします。有効にできたAPIは「有効なAPIとサービス」メニュー内に表示されます。
- Admin SDK API
- Google People API
1-4.サービスアカウントを作成する
「1−1．ポリシーを設定する」がお済みでない場合、以下のようなエラーが表示され本手順を実施できません。エラー等を確認された場合、1-1完了後にあらためて本手順の操作をお試しください。
- サービス アカウント キーの作成が無効になっています
- 組織ポリシー制約「iam.disableServiceAccountKeyCreation」が組織に適用されます。
APIとサービス内の 認証情報 ＞認証情報を作成 ＞サービスアカウント と進みます。
サービスアカウントの作成画面では、各ステップ内の設定を以下の内容で設定します。
-
サービスアカウントの作成
サービスアカウント名：CloudGate
サービスアカウントID：cloudgate
作成して続行することで次のステップが設定できます。 -
権限
ロールを選択にて、Project のオーナーを選択します。 -
アクセス権を持つプリンシパル
省略します。何も入力せず完了をクリックしてください。
1-5.サービスアカウントの情報を取得する
CloudGate UNOの管理者サイトならびにGoogle管理コンソールに設定する以下の情報を取得、保管します。
- サービスアカウントのメール
- 一意のID
- p12形式のファイル
作成したサービスアカウントは認証情報内に表示されていますので、そちらをクリックし「詳細」タブの以下の値をメモ帳などに控えます。
- （サービスアカウントの）メール
- 一意のID
続けて「鍵」タブへと移動し、キーを追加 ＞新しい鍵を作成 ＞P12 を選択し、作成をクリックします。
「CloudGate-**************.p12」という名称のプライベートキーが自動でダウンロードされますので保管してください。秘密鍵のパスワードは利用しません。
2.Google管理コンソールでAPIスコープを承認する
API アクセスをドメイン全体の委任で制御する＜外部サイト＞ の「クライアントに対してドメイン全体の委任を設定する」を参考に、Google管理コンソールで、セキュリティ ＞アクセスとデータ管理 ＞API の制御 ＞ドメイン全体の委任を管理 にアクセスします。
「新しく追加」にて、以下の値を入力、承認しましたらGoogle側のプロビジョニング設定は完了です。
- クライアントID：「1-5.サービスアカウントの情報を取得する」で保管した「一意のID」
- OAuth スコープ：以下の4つのURLすべてをコピー＆ペーストします。
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/contacts
3.CloudGate UNO管理者サイトでサービスアカウントを設定する
（左メニュー）サービスプロバイダー ＞Google[編集] ＞プロビジョニング設定タブ にアクセスし、以下の通り設定します。
| 接続設定 項目 | 入力する情報 |
|---|---|
| アカウント ID | 1.Google Cloudでプロビジョニングを設定する を実施したGoogleの特権管理者 |
| サービス アカウント キー | 1-5.サービスアカウントの情報を取得する でダウンロードされたp12形式のファイル |
| サービス アカウント ID | 1-5.サービスアカウントの情報を取得する で取得したサービスアカウントのメール |
各項目を入力し「テスト」をクリックします。画面内に「Google Workspaceのプロビジョニングテストが成功しました。」と表示されましたら、「保存」をクリックします。
以上で事前設定は完了ですので、お客様任意のタイミングで プロビジョニングをOn に切り替えていただきますと、CloudGate UNOからGoogle Workspaceへのプロビジョニングをご利用いただけるようになります。
