このガイドは Mac コンピュータに適用されます
Google Workspace を使用した Passport について
Google Workspace を使用した Passport により、ユーザーは Google Workspace の資格情報を使用して Mac コンピュータにログインできます。Passport は、macOS のログイン時に組織の Google ID システムを使用します。仕組み
Passport は Secure LDAP を使用して Google Workspace インスタンスと統合し、macOS のログイン画面でユーザーを認証します。ユーザーが Google Workspace の資格情報を入力すると、Passport は Google ディレクトリに照らしてそれを検証し、ローカルの Mac ユーザーアカウントを作成または更新します。- Google Workspace
- Iru Endpoint
前提条件
- 組織の Google Workspace インスタンスが Secure Lightweight Directory Access Protocol（LDAP）をサポートしている必要があります。LDAP サービスでサポートされているライセンスの一覧は、Google のこちらのページで確認できます。
- Passport でサインインするすべての Google Workspace ユーザーに、Google Workspace で Cloud Identity Premium ライセンスが割り当てられている必要があります。
- 組織の特権管理者アカウントへのアクセス権が必要です。
- Web ブラウザで .zip ファイルが自動的に解凍される場合は、その設定を一時的に変更してファイルを再度ダウンロードするか、解凍されたフォルダを圧縮してから Passport Library Item にアップロードしてください。
Secure LDAP クライアントを作成して証明書をダウンロードする
Passport は Secure LDAP を使用して Google と通信し、ログイン資格情報を確認して、基本的なユーザー情報とグループ情報を収集します。Google Workspace で新しい Secure LDAP クライアントを作成すると、通信を保護するための証明書をダウンロードし、サービスをオンにします。1
Google 管理コンソールにサインインする
Web ブラウザで、組織の特権管理者アカウントを使用して、admin.google.com の組織の Google 管理コンソールにサインインします。
2
アプリのセクションにアクセスする
左側のサイドバーで アプリ を選択します。
3
LDAP にアクセスする
Apps セクションで LDAP を選択します。
LDAP が表示されない場合、ご使用のエディションに Secure LDAP が含まれていない可能性があります。Business Starter と Business Standard では Secure LDAP サービスは提供されていません。
4
既存のクライアントがある場合に LDAP クライアントを追加する
組織にすでに 1 つ以上の Secure LDAP クライアントがある場合、前の手順で開いた LDAP ページの一覧に表示されます。右上隅で ADD CLIENT を選択して、Passport 用の別のクライアントを作成します。
5
クライアントがまだない場合に LDAP クライアントを追加する
組織にまだ Secure LDAP クライアントがない場合、LDAP アプリページには ADD LDAP CLIENT が表示されます。ADD LDAP CLIENT を選択して、Passport 用のクライアントの作成を開始します。
6
LDAP クライアント名を入力する
LDAP client name フィールドに、Iru Passport などの名前を入力します。
7
説明を入力する
説明 フィールドに、Passport: keep Mac login passwords in sync with Google Workspace などの説明を入力します。
8
設定を続行する
CONTINUE を選択します。
9
ユーザー資格情報の確認を設定する
Verify user credentials セクションで、Entire domain（ドメインが括弧内に表示されます）を選択するか、Passport を特定のアカウントに制限する場合は Selected organizational units, groups and excluded groups を選択します。
10
ユーザー情報の読み取りを設定する
Read user information セクションで、Verify user credentials と同じ設定（たとえば、これらのオプションが表示される場合は Entire domain または Selected organizational units）を構成します。
11
System Attributes を有効にする
Passport がデフォルトのユーザー属性を読み取れるよう、System Attributes のチェックボックスが選択されていることを確認します。
12
カスタム属性は選択しないままにする
Public Custom Attributes と Private Custom Attributes は選択しないままにします。Passport はカスタムユーザー属性を使用しません。
13
グループ情報の読み取りを設定する
Read group information セクションで、スイッチを On に設定します。これにより、ユーザーの Google Workspace グループ情報を使用して、ログイン時にローカル Mac アカウントを標準権限と管理者権限の間で動的に切り替えるよう Passport を設定できます。今オンにしなくても、後でこのオプションをオンにできます。
14
確認して LDAP クライアントを作成する
設定を確認し、ADD LDAP CLIENT を選択します。
15
証明書をダウンロードする
Download certificate を選択します。
16
クライアントの詳細に進む
CONTINUE TO CLIENT DETAILS を選択します。
17
サービス設定にアクセスする
Service status セクションで、OFF または展開コントロール（山形記号）を選択して、LDAP サービスをオンにできる画面を開きます。
18
すべてのユーザーに対してサービスを有効にする
Service status ページで、ON for everyone を選択します。
19
設定を保存する
SAVE を選択します。
Secure LDAP 証明書を再ダウンロードする（オプション）
前のセクションで LDAP クライアントを設定した後は、Passport と Google の間の LDAP 通信を保護するために使用される証明書をいつでもダウンロードできます。証明書の名前の変更、追加の証明書の生成、証明書の削除など、他にも多くのオプションがあります。1
Google 管理コンソールにサインインする
Web ブラウザで、組織の特権管理者アカウントを使用して、admin.google.com の組織の Google 管理コンソールにサインインします。
2
アプリのセクションにアクセスする
左側のサイドバーで アプリ を選択します。
3
LDAP にアクセスする
Apps セクションで LDAP を選択します。
4
LDAP クライアントを選択する
LDAP クライアントの一覧で、Passport 用に作成した LDAP クライアントを選択します。
5
認証セクションにアクセスする
クライアントの 認証 セクションを開きます。
6
証明書をダウンロードする
Certificates で、証明書の行のダウンロードアイコンを選択します。このコントロールのツールチップには Download certificate と表示されます。
ユーザープロビジョニング用にグループのメールプレフィックスを収集する
Google グループのメンバーシップに基づいて各ユーザーの Mac アカウントの種類を Passport で設定する場合は、マッピングする予定の各グループの Group email プレフィックスを収集します。これらの値は、Passport Library Item の Iru Endpoint タブの ユーザープロビジョニング で使用します。1
Google 管理コンソールでグループを開く
Google 管理コンソールで、Passport のユーザープロビジョニングに使用するグループを開きます。
2
グループのメールプレフィックスをコピーする
Group email から、@ 記号の前の部分をすべてコピーします。Passport の Library Item では、グループの表示名ではなく、このプレフィックスが必要です。
3
プレフィックスをドキュメントに貼り付ける
プレフィックスを安全なテキストドキュメントまたは社内の手順書に貼り付けます。複数のグループを使用する場合は、どのプレフィックスがどのグループのものかを記録しておきます。
4
各グループについて繰り返す
Passport で参照する予定のすべての Google グループについて、前の手順を繰り返します。
Secure LDAP クライアントと証明書の準備ができたら、Iru Endpoint タブを開いて証明書をアップロードし、そこで Library Item の手順を完了します。
初期設定後
証明書の有効期限と更新
Google Workspace の Secure LDAP 証明書には有効期限があります。Passport が中断なくユーザーを認証し続けられるよう、現在の証明書の有効期限が切れる前に、代わりの証明書を生成、ダウンロード、アップロードしてください。1
Google 管理コンソールで Passport の LDAP クライアントを開く
Google 管理コンソールにサインインし、アプリ → LDAP を開いて、Passport に使用している LDAP クライアントを選択します。
2
証明書の有効期限を確認する
そのクライアントの 認証 セクションを開きます。
3
更新計画のために有効期限を記録する
事前に更新を計画できるよう、証明書の表の Expiration date（およびその列を使用している場合は アプリ → LDAP のクライアント一覧の Earliest Certificate Expires in）を記録します。
4
新しい証明書を生成する
Certificates で、GENERATE NEW CERTIFICATE を選択します。可能な限り、現在の証明書の有効期限が切れるまで待たないでください。
5
新しい証明書をダウンロードする
Secure LDAP 証明書を再ダウンロードすると同じダウンロードアイコン（ツールチップ Download certificate）を使用して、新しい証明書バンドルをダウンロードします。
6
Passport Library Item の証明書を置き換える
Iru Endpoint で Iru Endpoint タブを開き、証明書の有効期限と更新を使用して、古い圧縮された証明書を削除し、新しいバンドルをアップロードして保存します。
7
Google 管理コンソールで以前の証明書を削除する
Google 管理コンソールで、Passport の LDAP クライアントの 認証 セクションに戻ります。以前の証明書の行で、行の その他 メニュー（縦の三点リーダー）を開き、DELETE CERTIFICATE を選択します。
このワークフローの次の手順については、Iru Endpoint タブを開き、証明書の有効期限と更新に従ってください。
トラブルシューティング
Secure LDAP 証明書の有効期限が切れている
Secure LDAP 証明書の有効期限が切れている
Google Workspace の Secure LDAP 証明書の有効期限が切れているか拒否された場合、Passport はユーザーを認証できません。Google Workspace タブの証明書の有効期限と更新では、Google 管理コンソールで新しい証明書を生成してダウンロードし、古い証明書を削除する手順を説明しています。Iru Endpoint タブの証明書の有効期限と更新では、Passport Library Item の更新について説明しています。ユーザーがサインインできなくなることがないよう、有効期限の前に更新を計画してください。