Google Workspace 連携手順書 (OIDC & Directory Sync)
本手順書は、Google Workspace を導入している企業において、AegisMesh とのシングルサインオン（SSO）および社員・グループ情報の自動同期を有効化するための標準設定手順です。
AegisMesh の管理ダッシュボード（TenantAdmin 権限）の 「Integrations」 画面から、Google サービスアカウントを登録することで、安全かつ迅速に連携を構成できます。
1. 概要と導入メリット
- 社用 Google アカウントでの一発認証: 従業員が日常利用している Google アカウントで AegisMesh にワンクリック接続。
- Passkey（パスキー）/ FIDO2 対応: 指紋認証（Touch ID）や Windows Hello、Google Authenticator を用いたパスワードレスゼロトラストを実現。
- 組織・グループの自動同期: Google 管理コンソールのグループ（例:
[email protected],[email protected]）を AegisMesh のアクセス制御グループへ自動マッピング。 - 個人アカウントの完全遮断: 組織ドメイン（例:
company.co.jp）以外のアカウント（私用@gmail.com等）からのアクセスを自動的にブロック。
2. 事前準備・前提条件チェックリスト
設定を開始する前に、以下の準備が整っていることを確認してください。
| チェック | 項目 | 必要条件・推奨値 | 備考 |
|---|---|---|---|
| [ ] | Google 特権管理者権限 | Google Workspace 特権管理者 (Super Admin) | サービスアカウントの権限付与に必要です |
| [ ] | Google Cloud プロジェクト | 任意の GCP プロジェクト | サービスアカウントを作成するプロジェクト |
| [ ] | AegisMesh 管理者権限 | TenantAdmin または SuperAdmin | https://app.aegismesh.kusa-cloud.com/integrations にアクセス可能なこと |
| [ ] | 作業時間の目安 | 約 10 〜 15 分 | 反映待ち時間は含みません |
3. 【STEP 1】Google 側でのサービスアカウント作成と顧客ID確認
Google Cloud Console でサービスアカウントと認証キーを作成し、Google Workspace 管理コンソールから顧客 ID を確認します。
1-1. Google Cloud Console でのサービスアカウント作成
- Google Cloud Console に社内管理者アカウントでログインします。
- 任意のプロジェクトを選択（または「AegisMesh-SSO」等の新規プロジェクトを作成）します。
- 画面左上のナビゲーションメニューから 「IAM と管理」>「サービス アカウント」 を開きます。
- 「+ サービス アカウントを作成」 をクリックし、以下を入力して 「作成して続行」 をクリックします：
- サービス アカウント名:
aegismesh-directory-sync - サービス アカウント ID: 自動入力されます（例:
aegismesh-directory-sync@<project-id>.iam.gserviceaccount.com）
- サービス アカウント名:
- ロールの選択画面では、そのまま 「続行」 ➔ 「完了」 をクリックします。
1-2. 秘密鍵（JSON ファイル）の発行とダウンロード
- 作成したサービスアカウントの一覧から、作成したアカウントのメールアドレスをクリックします。
- 「キー」 タブを選択し、「鍵を追加」>「新しい鍵を作成」 をクリックします。
- キーのタイプとして 「JSON」 を選択し、「作成」 をクリックします。
- 秘密鍵ファイル（
xxxx-xxxx.json）がローカル PC にダウンロードされます。大切に保管してください。
1-3. Admin SDK API の有効化
- Google Cloud Console の上部検索バーに
Admin SDK APIと入力します。 - 「Admin SDK API」 を選択し、「有効にする」 をクリックします。
[!IMPORTANT] この API が有効になっていない場合、AegisMesh から Google Workspace のユーザーやグループ情報を取得できません。必ず有効化してください。
1-4. Google Workspace 顧客 ID (Customer ID) の取得
- 別のタブで Google Workspace 管理コンソール (admin.google.com) を開きます。
- 左メニューから 「アカウント」>「アカウント設定」>「プロファイル」 を開きます。
- 「顧客 ID (Customer ID)」（例:
C01234567形式の英数字）をコピーしてメモ帳等に控えます。
4. 【STEP 2】AegisMesh 管理コンソールでの登録
取得したサービスアカウントキーと顧客 ID を、AegisMesh の管理コンソールに登録します。
- ブラウザで AegisMesh 管理コンソール (app.aegismesh.kusa-cloud.com) に
TenantAdmin権限でログインします。 - 左メニューから 「Integrations」 画面を開きます。
- 「Google Workspace」 カードの 「設定」（または Connect）ボタンをクリックします。
- セットアップウィザードが表示されます。
設定項目 対比マトリクス表
| AegisMesh 入力項目 | Google 側の対応項目 | 設定値の形式・入力例 | 注意点 |
|---|---|---|---|
| Service Account Key | ダウンロードした JSON 鍵ファイル | xxxx-key.json | ファイル選択ダイアログからアップロードします |
| Customer ID | Google Workspace の顧客 ID | C01234567 | admin.google.com のアカウント設定で確認した値 |
| Group Prefixes (任意) | 同期対象グループ名のプレフィックス | aegismesh-, vpn- 等 | 特定の接頭辞を持つグループのみ同期したい場合に指定 |
- 画面の指示に従ってファイルをアップロードし、顧客 ID を入力後、「保存して有効化」（Connect）をクリックします。
5. 【STEP 3】疎通確認と組織・グループ自動同期の検証
- 連携ステータスの確認:
- 「Integrations」画面で、Google Workspace のステータスが 「Active（接続中・緑色）」 になっていることを確認します。
- ユーザー一覧の確認:
- 左メニューの 「Users」 を開き、Google Workspace 上の社員アカウントが自動的に一覧へインポートされていることを確認します。
- グループ一覧の確認:
- 左メニューの 「Groups」 を開き、Google Workspace 上のグループが同期されていることを確認します。
6. 【STEP 4】エンドユーザー端末での SSO 動作確認
社員端末の AegisMesh クライアントから、Google アカウントによるログインを検証します。
- 社員端末の AegisMesh クライアントアプリを起動します。
- 「Connect」 をクリックします。
- ブラウザが起動し、Google のログイン画面が表示されます。
- 社用 Google アカウント（例:
[email protected]）を選択し、パスワードまたはパスキー（Passkey）で認証します。[!TIP] 単一ドメイン制限ポリシーが設定されている場合、AegisMesh は認可 URL に
hd=company.co.jpを自動付与するため、個人の@gmail.comアカウントは選択肢から除外され、社用アカウントの選択画面へ直接誘導されます。 - 認証完了後、端末上で 「Connected（接続済み・緑色アイコン）」 となり、仮想 IP が正常に割り当てられたことを確認します。
7. トラブルシューティング（FAQ）
Q1. 「Error 403: Not Authorized to access the Resource API」と表示される
- 原因: Google Cloud Console 側で「Admin SDK API」が有効になっていないか、API の反映に数分程度の時間がかかっています。
- 対応: Google Cloud Console で「Admin SDK API」が確実に「有効」になっていることを確認し、5分ほど待機してから再度同期をお試しください。
Q2. 「Invalid Customer ID」と表示される
- 原因: 顧客 ID の入力間違いです。ドメイン名（
company.co.jp）ではなく、Cから始まる英数字（例:C01234567）を入力する必要があります。 - 対応: Google 管理コンソールの「アカウント」>「アカウント設定」>「プロファイル」にある「顧客 ID」をコピーして再設定してください。
Q3. 私用の Gmail アカウントでログインしようとすると拒否される
- 仕様です: AegisMesh の「ドメイン SSO セーフガード」機能により、組織外のドメイン（
@gmail.comや他社ドメイン）からのサインインは Fail-Closed（安全側に倒して拒否）され、即座に遮断されます。