Iru Identity を ID プロバイダーとして使用しているほとんどの組織では、ユーザーはパスキーまたは Iru Access アプリで直接サインインします。Iru Identity をプライマリ ID プロバイダーではなく Iru プラットフォームへの認証レイヤーとして使用する場合、または Iru Identity への移行を容易にする場合に Google Workspace を接続します。フェデレーション認証を参照してください。
この接続を完了するには、Iru テナントの管理者アクセス権と、Google Workspace 組織の Google 管理コンソールへのアクセス権が必要です。
始める前に
1
サインインドメインを確認する
ユーザーがサインインに使用するメールドメイン (例:
yourcompany.com) を控えておきます。接続をこれらのドメインに制限して、それらのドメインのユーザーのみが使用できるようにすることができます。2
Iru によるユーザーの照合方法を決定する
ユーザーが Google を通じてサインインすると、Iru はそのユーザーをディレクトリ内のユーザーと照合します。照合に使用する値 (通常はユーザーのメールアドレスまたはユーザー名) を決定します。ユーザーマッチングを参照してください。
3
ユーザーが Iru に存在することを確認する
接続を通じたサインインは、既存の Iru ユーザーに解決されます。最初にユーザーを追加またはインポートしてください。ユーザーのインポートまたは Directory Sync を参照してください。
Google Workspace を接続する
1
接続を追加する
Access → Authentication で authentication method を追加し、Google Workspace テンプレートを選択します。テンプレートを使用すると、標準設定が自動的に入力されます。
2
Google で Iru を承認する
画面の指示に従って Google Workspace 組織に対して Iru を承認します。求められたら Google の特権管理者アカウントでサインインし、標準のサインインスコープ (
openid、email、profile) に同意します。組織が独自の OAuth クライアントを提供する場合は、Google Cloud コンソールで作成し、Iru がこの接続に表示するリダイレクト URI を追加して、そのクライアント ID とシークレットを Iru にコピーします。Google のコンソール画面は変更される可能性があるため、指示が異なる場合は Google の最新のドキュメントに従ってください。3
接続の用途を選択する
接続のユースケースとして、エンドユーザーのサインイン、デバイス登録、またはその両方を選択します。ほとんどの構成ではエンドユーザーのサインインを有効にします。
4
ドメインを制限する
特定のメールドメインのユーザーのみにこの接続を使用させたい場合は、ドメイン制限を有効にしてそれらのドメインを追加します。
5
ユーザーマッチングを設定する
Iru が Google のサインインを Iru ユーザーと照合する方法 (UPN、ユーザー名、外部 ID、またはカスタム属性) を選択します。すべてのユーザーで一意かつ安定した値を選択してください。
6
接続を保存する
保存してから、許可されたドメインのメールアドレスを持つテストユーザーとしてサインインし、Google への引き渡しがエンドツーエンドで機能することを確認します。
接続後のサインインの仕組み
ユーザーがサインインすると、Iru はサインインを Google に引き渡し、Google がユーザーを確認します。Iru はセッションを続行し、アクセスを許可する前にアプリの認証ポリシーを評価します。全体像については、システムアーキテクチャを参照してください。関連情報
フェデレーション認証
ユースケース、ドメイン制限、ユーザーマッチングを 1 か所で説明します。
Microsoft Entra ID
専用のテンプレートを使用して、サインイン用に Microsoft Entra ID を接続します。
サインインエクスペリエンス
サインイン時にユーザーに表示される内容を設定します。
カスタム SAML
テンプレートでカバーされていないプロバイダーを接続します。