Microsoft Entra ID Connector に移行する前に
手順を開始する前に、以下を確認してください。
- Entra ID の本番環境。
- テスト用の Dropbox サンドボックス環境。
- テストおよび検証用の Microsoft Entra ID サンドボックス環境。
- Dropbox と Microsoft Entra ID の管理者権限。
- Dropbox のメンバーとグループの完全なリスト。
Dropbox サンドボックスが必要な場合は、カスタマーサクセスマネージャーまでご連絡ください。また、Microsoft の開発者向けのサンドボックスをテスト用に使用することもできます。
変更を加える前に、Microsoft Entra ID を使用して Dropbox のプロビジョニングを行う方法に関する Microsoft の手順をご確認ください。
Microsoft Entra ID で Dropbox エンタープライズアプリケーションを準備する方法
コネクタを切り替える前に、Microsoft Entra ID で Dropbox エンタープライズアプリケーションを設定してください。
次の設定を確認して、どのメンバーとグループが含まれているかを把握してください。
大規模な環境の場合、プロビジョニングのパフォーマンスに影響を与えうる要因がいくつかあります。
- 対象のメンバー、グループ、メンバーシップの数。
- 既存の Dropbox アカウントと一致するか、新しいアカウントが作成されるか。
- プロビジョニングエラー。
- グループの規模と複雑さ。
- 大規模な同期時のレート制限。
Microsoft Entra ID のスコープフィルタを使用すると、初回のプロビジョニングの実行範囲を制限することができます。範囲を制限することで、結果を検証しやすくなります。
Dropbox AD Connector を無効にする方法
Microsoft Entra ID でのプロビジョニングを有効にする前に、Dropbox AD Connector を無効にしてください。
- Dropbox AD Connector を実行するようスケジュールされたタスクを見つけます。
- コネクタを実行する可能性のある、他のスケジュールされたタスクがないか確認します。
- コネクタを実行するようスケジュールされたすべてのタスクを無効にするか、削除します。
- Dropbox AD Connector が変更を行えなくなったことを確認します。
Dropbox のメンバーとグループの外部 ID を消去する方法
従来の AD Connector と Entra ID Connector はどちらも、ディレクトリオブジェクトと Dropbox アカウント間の ID リンク情報を使用します。Entra ID が適切な関連付けを新たに作成できるように、従来の関連付けを削除してください。
Dropbox 管理コンソールから外部 ID を管理することはできません。
次のいずれかの方法を使用してください。
- set_profile エンドポイントなどの、Dropbox API を使用したカスタムスクリプト。
- Watermint（オブジェクトの一覧表示や外部 ID の一括消去を行えるオープンソースのコマンドラインツール）。
お好みの方法を本番環境で使用する前に、まずは Dropbox サンドボックスでテストしてください。すべてのメンバーとグループの外部 ID が消去されることを確認します。
Microsoft Entra ID で Dropbox のプロビジョニングを有効にする方法
プロビジョニングを有効にする前に、Dropbox AD Connector が無効になっていることを確認してください。また、すべてのメンバーとグループの外部 ID が消去されていることも確認する必要があります。
プロビジョニングを有効にする手順は次のとおりです。
- 管理者の認証情報を設定します。
- プロビジョニングの範囲を定義します。
- 初回の実行では、対象範囲を一部のメンバーに制限します。
- 属性マッピングを確認します。
- プロビジョニングを開始します。
- 最初の同期サイクルとプロビジョニングログを監視します。
移行を検証する方法
Microsoft Entra ID でのプロビジョニングを有効にした後、次の点を確認してください。
- 既存の Dropbox メンバーが正しく一致しており、重複していないこと。
- 想定されるグループが同期されていること。
- グループのメンバーシップが正しいこと。
- 予期せず使用停止になっているメンバーがいないこと。
- 同期が正常に完了すると、Microsoft Entra ID に表示されます。
- プロビジョニングログに未解決のエラーが含まれることはあまりありません。
- 最初の同期後は、増分同期が正常に継続して行われます。
Microsoft Entra ID でネストされたグループを管理する方法
Microsoft Entra ID でのプロビジョニングでは、ネストされたグループはサポートされていません。ネストされたグループとは、他のグループをメンバーとして含むグループを指します。
たとえば、Microsoft Entra IDのグループ構造として次のようなものが挙げられます。
- sg-dbx-all-engineering
- sg-dbx-platform
- sg-dbx-security
- sg-dbx-endpoint
Microsoft Entra ID でグループを管理する方法をご確認ください。
Dropbox AD Connector では、sg-dbx-all-engineering を割り当てることで、ネストされたグループを介してメンバーをプロビジョンすることができます。
Microsoft Entra ID でのプロビジョニングでは、sg-dbx-all-engineering のみを割り当てても、ネストされたグループに属するメンバーがプロビジョンされることはありません。プロビジョンする各グループを個別に割り当てる必要があります。
グループとメンバーの管理には、Active Directory を引き続き使用します。Microsoft Entra Connect または Microsoft Entra Cloud Sync を使用して、必要なセキュリティグループが Microsoft Entra ID に同期されるようにしてください。
グループの同期後：
- Microsoft Entra 管理センターを開きます。
- [エンタープライズアプリケーション] に移動します。
- Dropbox Business を開きます。
- [ユーザーとグループ] を選択します。
- [ユーザー/グループを追加] を選択します。
- sg-dbx-platform、sg-dbx-security、sg-dbx-endpoint など、同期された子グループをそれぞれ個別に割り当てます。
ネストされた子グループを介して親グループ（sg-dbx-all-engineering など）のメンバーが属している場合は、親グループのみを割り当てないでください。
Microsoft の ID ガバナンスに関するベストプラクティスを確認してください。
移行後にグループを管理する方法
移行後も、引き続き Active Directory でグループメンバーシップの管理を行ってください。チームメンバーが部署に配属されたり、別の部署に異動したり、組織を退職したりした場合は、そこで変更を行います。
Microsoft Entra ID が、更新されたグループの同期を行います。その後、Dropbox エンタープライズアプリケーションが自動的に変更内容をプロビジョンします。Dropbox 上でこれらの変更を直接行う必要はありません。
移行に関する問題のトラブルシューティング
移行後に問題が発生した場合は、次の対応を行ってください。
- Dropbox AD Connector が実行されなくなったことを確認します。
- すべてのメンバーとグループの外部 ID が消去されていることを確認します。
- Microsoft Entra プロビジョニングログを参照し、一致エラーやスコープエラーがないかどうかをチェックします。
- プロビジョニングの範囲を縮小し、段階的に移行を再試行します。
割り当ての規模が大きい場合、最初のプロビジョニングの同期には時間がかかることがあります。割り当てられたメンバー、グループ、またはグループメンバーごとに約 0.01～0.08 分かかると考えてください。
増分同期の場合は、通常 30 分以内に完了します。
同期にかかる時間はサードパーティのプロビジョニングプロバイダによって異なり、変動する場合があります。同期に想定外の時間がかかる場合は、プロバイダの管理コンソールでステータスとログを確認してください。
