OktaとBoxを連携し、プロビジョニングを実現してみた。
はじめに
社内外にかかわらず、すべての領域のコンテンツを共有できるコンテンツクラウド「Box」は、世界で11万、日本だけで約1.6万の企業で導入されているコンテンツクラウドです。（参考：https://www.boxsquare.jp/box）
今回はそんなBoxとOktaを連携し、 Oktaのプロビジョニング機能によって、BoxのID・フォルダー運用の自動化を実現しました。 プロビジョニングの必要性と実際の動作の流れをまとめていますので、「プロビジョニングとは何か」「Oktaで何ができるのか」について、本ブログをご参考にして頂けますと幸いです。
OktaからBoxへのプロビジョニング
プロビジョニングとは
OktaとSaaSがSCIMやAPIで連携し、自動でアカウントのライフサイクル管理をする機能をプロビジョニングといいます。
プロビジョニングの必要性
クラウドサービスの普及に伴い、クラウドサービスごとにユーザーの状態（入社、異動、退職）に応じて、アカウントの作成・変更・廃止や、権限の設定を行う必要が出てきました。Oktaのプロビジョニング機能を利用すれば、Oktaのユーザー情報・属性を管理するだけで、自社のSaaSのIDの状態を一元的に管理することができます。
OktaからBoxへのプロビジョニング（ユーザー作成）
Okta上のプロビジョニング設定で、Create Usersを有効化することによって、
Oktaで追加されたユーザーが、連携しているBoxのテナントで自動的に作成されます。
ユーザーの作成と同時にフォルダーを作成
Okta上のプロビジョニング設定にて、“Create personal Box folder when new user account is provisioned”にチェックを入れることで、OktaからBoxにプロビジョニングをする際に、Boxにユーザーのフォルダーを作成することができます。
- Owner of the Box Personal Folder ：作成されるフォルダーの所有者を誰にするかを設定。
- Admin as Owner＝管理者アカウントの ”すべてのファイル” にフォルダーが作成される
- User as Owner＝プロビジョニングしたアカウントの ”すべてのファイル” にフォルダーが作成される
- Full path to parent folder：フォルダーが作成されるパスを設定
- All Files＝“すべてのファイル” の直下にフォルダーが作成される。
例えば「All Files/Parent Folder」など、パスを入力すると、フォルダーを作成する場所を変更することができる
- User folder permission-level：作成されるユーザーのフォルダーに対するアクセス権限レベルを設定
- Editor＝フォルダーに対して、読み取り/書き込みが可能
- Co-Owner＝フォルダーに対して、Editorより一部の高度なフォルダー設定を変更できる
- Personal folder name format：作成されるフォルダーの名前を設定
- Okta username prefix＝ Oktaのユーザー名の@以前の部分（デフォルト設定）
（例：user1@example.comの場合、フォルダー名はuser1）
- Sync personal folder to desktop：有効化すると、作成されるフォルダーをユーザーのデスクトップと同期(デスクトップ上から簡単にBoxフォルダーにアクセスできるようになる）
OktaからBoxへのプロビジョニング（ユーザープロファイルアップデート）
OktaとBoxそれぞれにおけるユーザーの属性値を、Oktaのマッピングという機能により、紐づけることができます。
このマッピング機能によって紐づけられた属性値は、Okta側で属性値にアップデートがあった際、SaaS(Box)側にそのアップデートが自動的に反映されます。
Update User Attributes 有効化
- 「Update User Attributes」の「Enable」にチェックを入れる
- マッピングしたい属性をプルダウンから選択する
（下図は、First name・Last name・Mobile phoneを紐づけ）
- Okta側にない属性に関してはカスタム属性を追加する
Okta管理者画面の Directory > Profile Editor からデフォルトのOktaを選択し、”+ Add Attribute” から、属性を追加。(下図は、job_titleを作成)
- 追加した「job_title」というOkta属性を、Box側の「job_title」という属性に紐づけ
上記の設定で、Okta側でjob_title属性の変更があった場合、その属性変更をBoxに反映させることができます。
まとめ
今回は、多くの方々に利用されているコンテンツクラウド「Box」を例に挙げ、Oktaによるプロビジョニングの必要性と実際の動作の流れについてご紹介しました。
Oktaを導入することで、IDの管理をより安全かつ簡単に行うことができます。
今回は基本的な機能であるプロビジョニングについてご紹介しましたが、Oktaで実現できることはまだまだこんなものではありません。
次回は「Okta Workflowsを利用したBoxの超便利な活用方法」として、「こんなこともできるのか！」と驚くような機能をご紹介しますので、是非ご覧いただければと思います。
ご興味のある方、その他Oktaに関するお問い合わせなどある方は、是非弊社までご連絡ください。
お問い合わせ・資料請求
株式会社マクニカ Okta 担当
- TEL：045-476-2010
- E-mail：okta@macnica.co.jp
月～金 8：45～17：30