権限貸出での特権アクセス

権限貸出とは、認証プロバイダ（IdP）において、申請承認にもとづき利用者のアカウントを高権限グループへ一時的に所属させることで、必要な権限を利用可能にする機能です。
利用者は、承認された期間中、高権限グループに所属した状態のアカウントでクラウドサービスを利用できます。
ログイン先のクラウドサービスは「Cloud Console」ターゲットとして登録します。

権限貸出を利用できる認証プロバイダ（IdP）およびグループに設定する権限の種類は以下です。

ワークフローを準備する

「ワークフロー」画面での準備手順は以下です。

1. 「ワークフロー設定」タブをクリックし、「権限の貸出」を「利用する」に設定する。

2. 「ワークフロー通知」タブをクリックし、「権限返却失敗通知」を有効化する。

3. 「ワークフロー一覧」タブで「追加」ボタンをクリックし、「アカウント貸出方法」-「権限貸出」のチェックボックスにチェックを入れてワークフローを作成する。

ターゲットを準備する

認証プロバイダ (IdP)とCloud Consoleを準備します。

認証プロバイダ (IdP)ターゲットを準備する

ターゲットを登録する

1. 「ターゲット」ページ左ペインのターゲットツリーで、新しくターゲットを追加したい階層、ルートまたは作成済みのターゲットグループを選択する。 次に、右ペインの「追加」ボタンをクリックしプルダウンメニューから「ターゲット追加」をクリックする。
「ターゲット追加」画面が表示されます。

2. ターゲット種別で、権限貸出を利用できる認証プロバイダ (IdP)の「Microsoft Entra ID」や「AWS IAM Identity Center」などを選択する。

3. 「ターゲット管理方式」で、アカウントの同期「する」を選択し、ウィザードの画面の案内に従って登録する。

アカウントを登録する

1. ターゲット画面で、事前に登録した認証プロバイダ (IdP)ターゲットを選択し「アカウント」タブで、「追加」ボタンまたは「アカウント同期・設定」ボタンをクリックしアカウントを登録する。

2. 登録したアカウントの「詳細」タブにある「権限付与対象」を「対象とする」に設定し、「利用可能iDoperationユーザ」を設定する。

・「ユーザを自動的に紐づける」にチェックを入れる場合は、アカウント名とメールアドレスが一致するiDoperationユーザが存在すれば自動で紐づけを行います。
・「ユーザを自動的に紐づける」にチェックを入れない場合は、手動でユーザのメールアドレスを設定します。

グループを登録する

このグループが権限貸出で設定されます。

1. ターゲット画面で、事前に登録した認証プロバイダ (IdP)ターゲットを選択し「グループ」タブで、「追加」ボタンをクリックする。

2. ターゲット側に存在するグループの「グループ名」と「オブジェクトID」（Microsoft EntraI IDの場合）を入力し、グループを登録する。
オブジェクトIDの取得手順は以下です。

オブジェクトIDの取得（Microsoft EntraI IDの場合）

オブジェクトIDに設定する、Microsoft EntraI IDのオブジェクトIDを取得します。

1.  Microsoft Entra管理センター「https://entra.microsoft.com/」にログインする。

2. 「グループ」を選択する。

3. 「すべてのグループ」を選択し、オブジェクトIDを取得したいグループを選択する。

4. 「概要」の「オブジェクトID」にiDoperationで利用するオブジェクトIDが表示される。

Cloud Consoleを準備する

ターゲットを登録する

1. 「ターゲット」ページ左ペインのターゲットツリーで、新しくターゲットを追加したい階層、ルートまたは作成済みのターゲットグループを選択する。次に、右ペインの「追加」ボタンをクリックしプルダウンメニューから「ターゲット追加」をクリックする。
「ターゲット追加」画面が表示されます。

2. ターゲット種別で、「Cloud Console」を選択する。

3. 「ターゲット接続情報」の「認証プロバイダ (IdP)」で事前に登録した認証プロバイダ (IdP)ターゲットを選択し、ウィザードの画面の案内に従って登録する。