Alteryx Server 認証を設定する

Serverが実行するドメインには、他のドメインユーザーと同じ信頼ポリシーを設定して、Active Directoryがユーザー権限を解決して決定できるようにする必要があります。

両方のドメインが同じフォレストに属している必要があります。

両方のドメインのCN=UsersおよびCN=Computersコンテナからすべての属性をAlteryx serviceが読み取ることができる必要があります。Alteryx serviceは、インストールされているサーバー上のローカルシステムアカウントで実行されます。ローカルシステムを使用する代わりに専用サービスアカウントを定義する場合、両方のドメインの認証を有効にするには、両方のコンテナからすべての属性を読み取る権限をアカウントに設置する必要があります。

Azure Active Directoryを使用してSCIM用のAlteryx Serverを構成する方法については、「 Azure Active Directoryを使用してSCIM用のAlteryx Serverを構成する」を参照してください。

Azure SCIMの詳細については、Microsoft Azureのドキュメントを参照してください。

AzureでSCIMエンドポイントを導入してテストする方法については、「チュートリアル: Azure Active DirectoryでサンプルSCIMエンドポイントを開発する」を参照してください。

SCIMを有効にすると、Azure(または他のIDP)のエンティティはServerと同期され、これらのエンティティがその後変更されるとServerの関連オブジェクトも変更されます。IDPにも存在するServer内の既存ユーザーとグループは、IDPからの変更にリンクして更新されます。IDPは、これらのオブジェクトの信頼すべき情報源として機能します。たとえば、ユーザー「John Smith」が両方に存在し、SCIMを有効にした場合、Serverで「John Smith」を「John Doe」に変更しても、次回の同期で元の「John Smith」に変更されます。

グループは名前でリンクし、ユーザーはEメールでリンクします。

Serverにのみ存在するローカルユーザーおよびグループは、IDPの範囲外であり、Serverによって管理されるオブジェクトのままで存在します。

一部の文字がSCIMからServerに転送されない場合がありますが、その動作はIDPによって異なります。IDPでグループまたはユーザーオブジェクトの名前に特殊文字、制限文字、あるいは予約文字が許可されている場合、その文字はServerに同期されます。オブジェクト名について特定の文字を明示的に許可または禁止することはありません。

Serverは、SCIMのためのIDPへの接続を開始しません。代わりに、IDPがServerへの接続を開始するために使用する、多数のAPIエンドポイントとアクセストークンを提供します。これらのエンドポイントは、Postmanなどの標準APIテストツールを使用して手動でテストできます。

Server監査ログは、ユーザーとグループのオブジェクトに対するすべての変更を監査します。これには、SCIMによって行われた変更も含まれます。

SCIMでは、アセットの所有権、ロール、権限は更新されません。そのため、既存のユーザーとグループは、現在所有しているアセットと、それらに割り当てられているロールと権限を保持します。

Serverのグループ設定によって権限が決まります。Azure Active Directoryに権限は保存されません。

ADグループをAzureからServerに同期すると、管理者はServerで新しく作成されたグループの権限を設定できます。その後、そのADグループに新しいユーザーを追加すると、SCIMは自動的にそのユーザーをServerのグループに追加します。その後、そのユーザーはそのServerグループに基づいて権限を取得します。

SCIMの機能には、ユーザーとグループによるAzure ADからServerへのアクセスの許可のみが含まれます。この同期には、データベースなど、Azure内の他のアセットに対する権限は含まれません。そのため、すべてのデータに対してDCMまたはServerデータ接続を使用する必要があります。

SCIMを含まない古いバージョンのServerにロールバックする必要がある場合、SCIMは機能せず、Serverを再アップグレードするまで使用できません。

SCIMを設定する前の状態からDBバックアップを復元する場合は、復元後にSCIMを再設定し、初期同期を実行する必要があります。

SCIMを使用しているServerのバージョンにバックアップを復元する必要がある場合は、IDP側から完全な再同期を実行して、データベースを再度IDPと同期させる必要があります。

SCIMを使用してユーザーを無効にした場合、スケジュールの動作はユーザーを無効化または削除したときと同様になります。Server UIまたはAPIを介してユーザーを無効化した場合や、APIを介してユーザーを削除した場合と同じように動作します。詳細については、ユーザーを無効化を参照してください。

同期時間はIDPによって異なり、設定可能な場合があります。Azureの場合、同期には最大40分かかることがあり、これは設定で変更できない静的な値です。

Azureでは広範なテストを行い、Oktaでは限定的にテストを実施しました。ただし、Oktaプロビジョニングエージェントは有料の顧客にのみ提供されているため、テストできませんでした。他のIDPは機能するはずですが、未検証です。