Skip to main content
Iru Identity は、少数の中核となるオブジェクトを中心に構成されています。それぞれが何であり、どのように接続されているかを理解すれば、製品の他の部分も理解しやすくなります。

​
全体像

​
ID オブジェクト

ユーザーは、ディレクトリ内の人です。各ユーザーには、属性 (名前、メールアドレス、および定義したカスタムフィールド) で構成されるプロファイルがあります。ユーザーはライフサイクルを経ます。pending (作成済みだがまだアクティブではない)、active、または suspended になります。ユーザーを一時停止すると、記録や履歴を削除せずにアクセスがブロックされます。
スキーマは、すべてのユーザープロファイルが保持できる属性を定義します。組み込みフィールドに加えて、独自のタイプを持つカスタム属性を追加し、必須または一意としてマークし、許可された値の固定リストを指定し、カテゴリに整理できます。属性は、ポリシー、アプリケーションマッピング、Auto Groups のすべての基盤となる素材です。スキーマを参照してください。
グループは、1 つの単位としてアクセスを割り当てるユーザーのコレクションです。3 種類あります。
  • 手動グループ: メンバーを自分で選択します。
  • 組み込みグループ: すべてのユーザーを含むグループなど、すべてのテナントに存在します。
  • Auto Groups: メンバーシップは属性ルールによって決定され、プロファイルの変更に応じて自動的に更新されます。
グループおよび Auto Groups を参照してください。

​
アクセスオブジェクト

アプリケーションは、ユーザーが Iru を通じてサインインするものです。Iru は SAML または OIDC のいずれかを使用して、アプリの ID プロバイダーとして機能します。各アプリケーションはユーザーのプロファイル属性を送信するアサーションまたはトークンにマッピングするため、アプリは期待する ID 情報を受け取ります。アプリケーションはバージョン管理されます。ドラフトを編集してから公開すると現在のバージョンになり、Iru は古いバージョンを参照用に保持します。アプリケーションは active または inactive にすることができます。
テンプレートは、既知のサービス用の既製のアプリケーション定義です。テンプレートからアプリを作成すると標準構成が入力されるため、テナント固有の情報のみを指定すれば済みます。アプリケーションテンプレートを参照してください。
アプリケーションにグループを割り当てることでアクセスを付与します。それらのグループを通じて最終的にアクセスを得るユーザーの完全なセットが、アプリケーションの有効なユーザーです。アクセスの割り当てを参照してください。
プロビジョニングはアカウントを同期し続けます。インバウンドプロビジョニングは、接続された HR システムまたはファイルインポートからユーザーをディレクトリに取り込みます。アウトバウンドプロビジョニングは、ディレクトリから接続されたアプリにアカウントの作成、更新、削除をプッシュするため、アプリのアカウントはアクセスが付与されている間だけ存在します。プロビジョニングを参照してください。

​
信頼とポリシーのオブジェクト

ポリシーは、サインインが許可されるかどうか、およびユーザーが最初に何を証明する必要があるかを決定するルールのセットです。誰かがアプリにサインインすると、Iru は適用されるポリシーを評価し、その決定を記録します。認証ポリシーを参照してください。
認証器は、パスキーや Iru Access など、ユーザーが本人であることを証明するために使用するものです。ユーザーはセルフサービスで自分の認証器を管理し、すべてのサインインに強力な認証器が必要です。認証器を参照してください。
ポリシーはデバイスを考慮します。デバイストラストは、ユーザーが既知の正常なデバイスを使用しているかどうかを反映し、アクセスの必須条件にすることができます。リスクレベルは、機密性によってアプリを整理するために割り当てる分類です。リスクとアダプティブアクセスおよび Device trust を参照してください。
ID プロバイダー接続を使用すると、ユーザーはすでに運用しているプロバイダーを通じて Iru プラットフォームにサインインできます。Iru Identity がプライマリ ID プロバイダーではなく認証レイヤーである場合、または移行を容易にする場合に使用します。フェデレーション認証を参照してください。(代わりに HR システムからディレクトリにユーザーを取り込むには、Directory Sync を参照してください。)

​
管理オブジェクト

​
サインインでのこれらのオブジェクトの使用方法

  1. ユーザーがアプリケーションを開こうとすると、サインインのために Iru にリダイレクトされます。
  2. ユーザーはパスキーまたは Iru Access アプリ、あるいは接続されたプロバイダーを通じて Iru に認証し、Iru はディレクトリ内の一致するユーザーを特定します。
  3. アプリケーションの認証ポリシーが、サインインをデバイストラストについて評価します。ユーザーは前のステップで認証器を使用してすでに本人であることを証明しています。
  4. ポリシーに合格し、ユーザーがアプリケーションに割り当てられている場合、Iru はサインオンを発行し、ユーザーはアプリにアクセスします。
  5. アクティビティログに結果が記録されます。
グループにアクセスを割り当て、可能な限りグループメンバーシップを属性に基づかせてください。これにより、プロファイルの変更に応じてアクセスがユーザーに自動的に追従します。これが Iru Identity のライフサイクル自動化です。