Microsoft AD にユーザーを追加したときの、WorkDocs 側の挙動を確認する

# はじめに

WorkDocs では、Directory Service (Microsoft AD, Simple AD, AD Connector) と連携してユーザー管理を行います。Directory Service 上で新たなユーザーを作成したときに、WorkDocs 側でどのように認識されるのか、また WorkDocs へのログインを許可したいときに、どういった作業が必要なのかわからなかったので、検証してみました。

次の観点で検証を行いました

- ユーザーは、どの作業を行うと「アクティブ」になるのか。WorkDocs では、東京リージョンだと 1 アクティブユーザー あたり 7.00 USD の費用が発生するが、Directory Service 側のユーザー数がどのように反映されるのか
- 「アクティブ」になったときのユーザーの権限は、どの権限になっているのか



# WorkDocs のセキュリティ設定

Directory Service で新規作成されたユーザーの挙動は、WorkDocs 側のセキュリティ設定によって左右されます。管理者で WorkDocs にログインして、管理コントロールパネルを開きます。

![image-20220708213157435.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/4066eb63-e45c-39af-8a10-f44687d8c2b1.png)



セキュリティ欄で変更をおします。

![image-20220708213319795.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/fd6731e9-1b61-8518-57b1-b7485b68604c.png)



これがデフォルトの設定になっています。この「自動アクティベーション」や「新しいユーザーに対するロールの設定」が、Microsoft AD 上で作成したあらたなユーザーの挙動に影響を与えます。

![image-20220708213337741.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/16163f86-b58d-5f9f-4ef2-55a85a75af73.png)



それぞれ、具体的に見ていきましょう。



# デフォルトの設定

デフォルトの設定の場合、初めに結論を書きます

- Microsoft AD (Directory Service) で管理されているユーザーは、WorkDocs にログインをすることで、自動アクティベーションが可能
- 自動アクティベーションの結果、一般的なユーザー (有料) として扱われる
- そのため、ログインするユーザーの数が増えると、WorkDocs の費用が上がるデメリットがあると考えられる。一方、ユーザー側で自由にアクティベーションできるので、セルフサービスがやりやすいメリットもある。



デフォルトの設定の場合は、このような設定です。

![image-20220708213337741.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/16163f86-b58d-5f9f-4ef2-55a85a75af73.png)



Microsoft AD 上で新しいユーザーを作成しました

![image-20220708135705060.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/662fa31c-5856-8116-f4b2-bcd37c2f3a87.png)



WorkDocs の管理コントロールパネルでは、作成したユーザーは、非アクティブなゲストユーザーとして認識されています

![image-20220708135955971.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/a54fcbf8-c5f7-a3fc-f860-49289c6f295c.png)



該当のユーザーでログインをしてみると

![image-20220708221215048.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/7baf107d-ec0a-af81-7f6d-9293ad8be9d2.png)



一般的なユーザーとして、ログインされました

![image-20220708221254881.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/bfb4ddf9-ebeb-be10-a623-01f51ca4dd14.png)



管理コントロールパネルを確認すると、ステータスが「アクティブ」となり、権限が「ユーザー」となりました。このユーザーは、今後 WorkDocs 上では有料ユーザーとして扱われます。

![image-20220708140147763.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/316bd4b3-8283-1e70-8a1e-4be6ac1e07d6.png)





# ロールをゲストユーザーにする

初めに結論

- Microsoft AD (Directory Service) で管理されているユーザーは、通常のログインをすることで、自動アクティベーションが可能
- 自動アクティベーションの結果、ゲストユーザー (無料) として扱われる
- ユーザーがいくらログインしても費用の増加は発生しないので、管理者によるコントロールがやりやすい方法と言える
- ゲストユーザーは、閲覧のみのユーザー。自分で何かファイルをアップロードすることはできない
- 閲覧についても、他の一般ユーザーからファイルやフォルダの共有をしてもらないと、何も閲覧できない



以下の設定をオフにしている状態です。

![image-20220708213403719.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/5734ec92-fb34-c77f-aa94-30bea8c22682.png)



Microsoft AD 上で、新しいユーザーを作成します。

![image-20220708223808338.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/bcb74349-81ef-3d32-4606-a84b4cf7b104.png)



WorkDocs の管理コントロールパネルでは、作成したユーザーは、非アクティブなゲストユーザーとして認識されています

![image-20220708223909221.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/3a982700-37d7-6b04-0bd7-eacac0818cec.png)



サインインを行うと

![image-20220708223943199.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/6ec3651e-f117-bc7f-0c6e-71cb509ebe3d.png)



ゲストユーザーとしてログインされました。何も共有されていないので、何も閲覧できませんが。

![image-20220708224139740.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/738a4ec9-1e5d-7214-ee3a-732735efc3b1.png)



管理者でユーザー一覧を確認すると、「非アクティブ」から「アクティブ」に代わっていて、権限はゲストユーザーになっています。

![image-20220708224201622.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/29fe8473-89c7-5bbb-1bf3-e8711b0117d5.png)



# 自動アクティベート禁止

初めに結論

- Microsoft AD (Directory Service) で管理されているユーザーは、管理者が手動でアクティブ化しないかぎり、WorkDocs にログインできない
- より厳密に管理したい場合は、こういった方法で管理するのもよいでしょう



以下の設定の状況です。

![image-20220708224653816.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/f30f1ef1-80ab-d17e-7473-5cde45b318ec.png)



Microsoft AD で新たなユーザーを作成

![image-20220708224741409.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/7df224e2-f515-2e61-b3a9-927d1a7082a1.png)



WorkDocs の管理コントロールパネルでは、作成したユーザーは、非アクティブなゲストユーザーとして認識されています

![image-20220708224820695.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/e4f72621-bd05-6b6f-9e0d-82734fb9aad8.png)



サインイン

![image-20220708224906346.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/94427f3e-36a8-58db-6627-5c0c9986300e.png)



アクティブではないので、ログインできませんでした！

![image-20220708224945495.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/4296480f-a1d6-3faa-9c7d-27627047cedd.png)



管理者がアクティブ化すると、、、

![image-20220708225006091.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/80dc7a67-452a-275a-bcef-00309e405f8d.png)



ログインできました

![image-20220708225025366.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1002774/103b4033-ec4f-8912-48fd-3031590b1604.png)



# 検証を通じてわかったこと

- Microsoft AD 上で作成されたユーザーは、WorkDocs では「非アクティブ」ステータスになる。Microsoft AD 上でユーザーを作成しただけでは WorkDocs の追加料金は発生しない
- デフォルトでは、Microsoft AD 上のユーザーは、だれでも WorkDocs に有料ユーザーとしてアクティベーションできるため、設定内容の検討はしても良いと考えられる