認証サーバー情報を登録する

外部認証サーバーとして、Google Workspaceを利用する場合は、使用するサーバー情報を登録します。
 
サーバー情報は、パソコンからリモートUIを使用して登録します。操作パネルを使用して登録することはできません。
Administrator権限が必要です。登録の反映には、本機の再起動が必要となります。
必要な準備
DNSや日付／時刻の設定など、Google Workspaceの使用に必要な設定が完了している必要があります。
使用するGoogle Workspaceへのアクセス情報を手元に用意します。
Google Workspace情報を設定する場合は、［ウェブブラウザー］の［ブラウザーエンジン］を［WebKit2］に設定する必要があります。
1
リモートUIに管理者ユーザーでログインする
2
リモートUIのポータル画面で、［設定/登録］をクリックする
3
［ユーザー管理］［認証管理］［サーバー設定］［編集］をクリックする
［サーバー設定の編集］画面が表示されます。
4
［認証サーバー］で、Google Workspaceの情報を設定する
Google Workspace情報を設定する場合
5
［認証タイムアウト］で、認証開始からタイムアウトするまでの時間を入力する
6
［デフォルトドメイン］で、優先して接続するドメインを指定する
7
［ユーザー情報のキャッシュ］で、ユーザーの認証情報を保持するかどうかを設定する
操作パネルからログインしたユーザーの認証情報を保持する場合は、［ログインユーザーの認証情報を保存する］にチェックマークを付けます。手順5で設定した時間内に認証サーバーに接続できなかった場合は、キャッシュに保持した認証情報を使用してログインすることができます。
キーボード認証時にログインしたユーザーの認証情報を保持する場合は、［キーボード認証時のユーザー情報を保存する］にもチェックマークを付けます。チェックマークを付けると、サーバーに接続できない場合でも、保持した認証情報を使用してログインできます。
8
［ロールの関連付け］で、ユーザー情報や権限の設定をする
［参照するユーザー属性］
ユーザーの権限（ロール）を決定するために参照するサーバー上の属性を入力します。
Google Workspaceの場合
「Google Workspaceの任意のユーザ属性」「memberOf」が設定可能です。
「Google Workspaceの任意のユーザ属性」には、「customSchemas.カテゴリ名.フィールド名」の形式のカスタム属性を設定している場合のみ有効です。設定したカスタム属性は、Google Workspace上に作成しておく必要があります。
［適用するロール名を［参照するユーザー属性］から取得する］
［参照するユーザー属性］で指定した属性に登録されている文字列をそのままロール名として使用する場合は、チェックマークを付けます。あらかじめ本機で選択可能なロール名を確認し、サーバー側で登録しておく必要があります。
［適用条件］
ユーザーの権限を決定する条件を設定できます。条件は、上から順に適用されます。
［一致条件］で、［文字列］との一致条件を選択します。
［文字列］に、［参照するユーザー属性］で指定した属性に登録されている文字列を入力します。ユーザーの所属グループに応じた権限を設定する場合は、所属グループ名を入力します。
［ロール］で、条件を満たしたユーザーに適用する権限を選択します。
※Active Directoryサーバーを使用する場合は、あらかじめ「Canon Peripheral Admins」グループの所属メンバーが［Administrator］に設定されています。
9
［更新］をクリックする
10
本機を再起動する
登録が反映されます。
メモ
認証情報のキャッシュ保存を禁止する
外部認証サーバーへのログイン時に入力したパスワードのキャッシュ保存を禁止できます。
キャッシュ保存を禁止した場合、手順7の［ログインユーザーの認証情報を保存する］の設定が自動的に無効になります。手順7の設定を有効にする場合は、［ログインユーザーの認証情報を保存する］にチェックマークを付け、認証サーバー情報を更新します。
Active Directory側でKerberosポートのポート番号を変更している場合
以下の情報をSRVレコードとしてDNSサーバーに登録します。
サービス：「_kerberos」
プロトコル：「_udp」
ポート番号：Active Directoryドメイン（ゾーン）のKerberosサービスが実際に使用しているポート番号
このサービスを提供しているホスト：Active Directoryドメイン（ゾーン）のKerberosサービスを実際に提供しているドメインコントローラーのホスト名

Google Workspaceのサーバー設定を行う

Google Workspaceのアカウント連携を行うにはGoogle Workspace、GoogleCloudで以下の設定が必要になります。
サービスの更新などによって、設定方法が変更されることがあります。詳しくは、Googleのホームページを参照してください。
GoogleCloudのAPI設定
［APIとサービス］を有効にする設定で、Admin SDK APIを検索して有効に設定します。
OAuthの同意の設定
Google Workspaceのアカウントでキーボード認証を行う場合
OAuthクライアントIDの設定
［アプリケーションの種類］には、［ウェブアプリケーション］を設定します。
［承認済みのリダイレクト URI］には、「http://localhost:8000/WebViewGoogle」を設定します。
Google WorkspaceのアカウントでICカード認証を行う場合
認証情報作成（サービスアカウント）の設定
サービスアカウントのキー設定
サービスアカウント利用のためのポリシー設定
ドメイン全体の権限の委任設定
［スコープ］には以下を設定します。
https://www.googleapis.com/auth/admin.directory.user
https://www.googleapis.com/auth/admin.directory.group.readonly
Google Workspace管理者のメールアドレス設定
EL2K-01H