★ LINE WORKS 組織連携手順書 (API 2.0)

本手順書は、LINE WORKS（ラインワークス） をご利用の企業において、AegisMesh との組織・社員データ自動同期（Directory Sync）を有効化するための標準設定手順です。

AegisMesh の管理ダッシュボード（TenantAdmin 権限）の 「Integrations」 画面から、LINE WORKS Developer Console の API 2.0 認証情報を登録することで、LINE WORKS 上の組織階層や社員の所属が AegisMesh のアクセスコントロールグループに完全自動で反映されます。

1. 概要と導入メリット

国内ビジネス現場のデファクトと完全連動: 現場・店舗・外回り営業で使われる LINE WORKS のアカウント基盤をそのままゼロトラストに活用。
組織階層（OrgUnit）のグループ自動生成: LINE WORKS 上の「営業第一部」「製造課」などの部署ツリーが、AegisMesh 側のグループとして自動作成・同期。
人事異動・退職の即時追従: LINE WORKS 側で社員の所属変更や退職処理を行うと、数分以内に AegisMesh 側の社内システムアクセス権限も自動剥奪。
API 2.0 & JWT 秘密鍵認証: セキュアな OAuth 2.0 Service Account（PEM 秘密鍵方式）による最高水準のエンプラセキュリティ。

2. 事前準備・前提条件チェックリスト

設定を開始する前に、以下の準備が整っていることを確認してください。

チェック	項目	必要条件・推奨値	備考
[ ]	LINE WORKS 管理者権限	「最高管理者」または「Developer Console 管理者」	API アプリの登録と Service Account 発行に必要
[ ]	LINE WORKS プラン	スタンダード / アドバンスト等（API 利用可能プラン）	API 2.0 利用可能であること
[ ]	AegisMesh 管理者権限	`TenantAdmin` または `SuperAdmin`	`https://app.aegismesh.kusa-cloud.com/integrations` にアクセス可能なこと
[ ]	作業時間の目安	約 10 〜 15 分	反映待ち時間は含みません

3. 【STEP 1】LINE WORKS Developer Console でのアプリ登録と認証情報発行

LINE WORKS Developer Console にて、AegisMesh 同期用のアプリを作成し、API 2.0 認証情報を取得します。

1-1. アプリの新規作成

LINE WORKS Developer Console に管理者アカウントでログインします。
左メニューの 「Apps」 をクリックし、「アプリの新規追加」 を選択します。
アプリ名に AegisMesh Directory Sync と入力し、「追加」 をクリックします。

1-2. OAuth Scopes（API スコープ）の追加

作成したアプリの詳細画面で、「OAuth Scopes」 の横にある 「管理」 をクリックします。
以下の 2 つのスコープにチェックを入れて保存します：
- user.read （メンバー情報の読み取り）
- orgunit.read （組織・部署情報の読み取り）

1-3. Service Account の発行

「Service Account」 の横にある 「発行」 をクリックします。
生成された Service Account ID（例: service-account@xxxxxxxx）を控えます。

1-4. Private Key（秘密鍵 PEM）の発行とダウンロード

「Private Key」 の横にある 「発行 / ダウンロード」 をクリックします。
秘密鍵ファイル（private_xxxxxxxx.key）がダウンロードされます。
ダウンロードしたファイルをテキストエディタ等で開き、以下の形式であることを確認します：
```
-----BEGIN PRIVATE KEY-----
MIIEvgIBADANBgkqhkiG9w0BAQEFAASCBKgwggSkAgEAAoIBAQC...
-----END PRIVATE KEY-----
```

1-5. 認証情報の確認・控え

アプリ詳細画面から、以下の項目を控えます：

Client ID: （例: LW_CLIENT_ID_XXXXXXXX）
Client Secret: （表示ボタンを押してコピー）
Service Account ID: （手順 1-3 で発行した文字列）
Domain ID / Domain: （自社の LINE WORKS ドメイン、例: company.worksmobile.com）

4. 【STEP 2】AegisMesh 管理コンソールでの登録

取得した LINE WORKS の認証情報を、AegisMesh 管理コンソールに登録します。

ブラウザで AegisMesh 管理コンソール (app.aegismesh.kusa-cloud.com) に TenantAdmin 権限でログインします。
左メニューから 「Integrations」 画面を開きます。
「LINE WORKS Directory Sync」 カードの 「設定」（Connect）ボタンをクリックします。
設定ウィザードが表示されます。

設定項目対比マトリクス表

AegisMesh 入力項目	LINE WORKS 側の対応項目	設定値の入力例	注意点
クライアント ID	Client ID	`lw_cli_xxxxxxxxxxxx`	Developer Console の Apps 概要からコピー
クライアントシークレット	Client Secret	`lw_sec_xxxxxxxxxxxx`	クライアントシークレット文字列
Service Account	Service Account ID	`sa_xxxxxxxx@...`	発行した Service Account の識別子
Domain / Tenant	組織ドメイン	`company.worksmobile.com`	自社 LINE WORKS のドメイン名
Private Key (PEM)	ダウンロードした秘密鍵ファイル	`-----BEGIN PRIVATE KEY-----...`	`-----BEGIN...-----` を含めて全文貼り付け

「次へ」 を進み、Private Key を貼り付けたら 「保存」 をクリックします。

5. 【STEP 3】疎通確認と組織・部署自動同期の検証

連携ステータスの確認:
- 「Integrations」画面で、LINE WORKS のステータスが 「Active（接続中・緑色）」 になっていることを確認します。
組織階層（部署）の同期確認:
- 左メニューの 「Groups」 を開きます。
- LINE WORKS 上の組織図（例: lw-org-sales, lw-org-engineering 等）が自動的に作成されていることを確認します。
社員アカウントの同期確認:
- 左メニューの 「Users」 を開き、LINE WORKS のメンバーが該当グループに所属した状態で同期されていることを確認します。

6. 【STEP 4】エンドユーザー端末での SSO 動作確認

LINE WORKS 連携組織の社員端末から、AegisMesh へのログインをテストします。

社員の PC またはスマートフォンで AegisMesh クライアントを起動します。
「Connect」 をクリックします。
ブラウザで SSO 認証を通過後、LINE WORKS 上で所属している部署に応じたアクセスポリシーが自動適用され、社内システムへアクセスできることを確認します。

7. トラブルシューティング（FAQ）

Q1. 「Invalid Private Key format」と表示される

原因: 秘密鍵の貼り付け時に先頭の -----BEGIN PRIVATE KEY----- や末尾の -----END PRIVATE KEY----- が欠落しているか、余分な改行・空白が含まれています。
対応: ダウンロードした .key ファイルをテキストエディタで開き、最初から最後まで漏れなくコピーして貼り直してください。

Q2. 「API Scope not authorized」エラーが発生する

原因: LINE WORKS Developer Console で user.read または orgunit.read のスコープが有効化されていません。
対応: Developer Console の Apps 詳細 ➔ 「OAuth Scopes」の管理を開き、両方のスコープにチェックが入っていることを確認してください。

Q3. 社員情報の一部（メールアドレス等）が同期されない

原因: LINE WORKS 管理者画面で、該当メンバーの外部連携権限やプロファイル公開設定が制限されている場合があります。
対応: LINE WORKS 管理画面（admin.worksmobile.com）の「メンバー」一覧から、対象メンバーのアカウントが「利用中」かつメールアドレスが設定されているか確認してください。