メインコンテンツまでスキップ

identity-provider

「設定 > Identity Provider」では、Klacksを外部ディレクトリサービス — LDAP/Active DirectoryまたはOAuth2/OpenID Connect — と接続し、従業員を自動的にインポートしたり、これを通じてログイン処理を行ったりすることができます。

仕組み​

LDAP/Active Directory: ホスト、ポート(389/636)、SSL、Base DN、Bind DN、Bindパスワード、およびユーザーフィルターを設定します。「クライアントインポートに使用」というスイッチをオンにすると、自動インポートが有効になります。氏名、名、役職、会社名、住所はディレクトリの属性から取り込まれます — OpenLDAPとActive Directoryでは属性名が一部異なります(例: uidとsAMAccountName、streetとstreetAddress)。これらのフィールドの対応関係はバックエンドに固定的に定義されており、画面上から編集することはできません。

OAuth2/OpenID Connect: クライアントID、クライアントシークレット、任意でテナントID(Azure)、認可URL、トークンURL、UserInfo URL、およびスコープを設定します — Google、Microsoft、またはGitHubによるログインに使用します。

接続テストと同期: LDAP/ADプロバイダーの場合、「接続テスト」により、見つかったユーザー数とサンプルのユーザー名が表示されます。クライアントインポートが有効な場合、「今すぐ同期」により手動での照合がトリガーされます。結果(処理済み/新規/更新/無効化)は、その直後にページ上のメッセージとして表示されます。

知っておくと良いこと​

  • このページは管理者のみアクセス可能で、スーパーバイザーロールには公開されていません。
  • Bindパスワードとクライアントシークレットは暗号化して保存され、画面上ではマスク表示(***)のみとなります。変更せずに保存した場合、既存の値は保持されます。
  • 恒久的な同期ログ(履歴、エラー履歴)は現在、画面には表示されません — 直近の手動実行の結果のみが表示されます。
  • ディレクトリ上でもはや見つからない人物は、同期時に削除されるのではなく、メンバーシップの退会日により無効化されます。後で再び現れた場合は、自動的に再度有効化されます。
  • ディレクトリからの外部識別子(LDAP ObjectGUID、またはその代替としてDistinguished Name)により重複が防止されます。再同期時に同じ識別子が見つかった場合、既存の人物が新規作成ではなく更新されます。

今すぐ試す: Klacks Playground — ログイン admin@test.com / P@ssw0rt1、データは毎日リセットされます。