ID 同期（LDAP）
LDAP ID 同期を設定し、企業ディレクトリサービスのユーザーとグループを自動的に MaiAgent へインポートします。LDAP パスワードによるプラットフォームへの直接ログインにも対応します
ID 同期を使うと、企業ディレクトリサービス（AD、JumpCloud、OpenLDAP など）のユーザーおよびグループのデータを自動的に MaiAgent へインポートでき、アカウントを一つひとつ作成する手間を省けます。LDAP アカウント・パスワードによるログイン 機能と組み合わせれば、従業員は企業で既に使用しているパスワードをそのまま使って MaiAgent にログインでき、別途パスワードを覚える必要がありません。
利用シーン
企業に既存の AD / LDAP ディレクトリがある場合：従業員データを自動的に MaiAgent へ流し込み、二重の名簿を手動で管理したくない
退職アカウントの同期停止：従業員が退職する際に企業側でアカウントを停止すると、MaiAgent 側でもアクセス権が同期的に失われる
パスワードの一元管理：従業員には企業の 1 組のパスワードだけを覚えてもらい、システムごとに別々のパスワードを持たせたくない
部門ごとの権限マッピング：企業ディレクトリ内のグループに基づき、対応する MaiAgent のロール権限を自動的に付与する
大量ユーザーのインポート：MaiAgent を初めて導入する際に、100 名以上の従業員を一括でプラットフォームへ取り込む
SSO とは何が違いますか？
ID 同期（LDAP）と サードパーティログイン（SSO） は、いずれもエンタープライズ向けの ID 統合機能ですが、解決する課題が異なります。
主な目的
「人」を企業ディレクトリから MaiAgent へ同期する
ユーザーが企業アカウントで MaiAgent に「ログイン」できるようにする
ユーザー作成
✅ 自動作成
❌ JIT または事前作成との併用が必要
ログイン方法
Bind ログインを有効化すると企業パスワードでログイン
企業 IdP へリダイレクトしてログインを完了
グループ / ロール同期
✅ グループに基づき自動マッピング
⚠️ IdP や統合方式によって異なる
よくある統合対象
Microsoft AD、JumpCloud、OpenLDAP
Azure AD、Okta、Keycloak
両者は同時に有効化できます。SSO でリダイレクトログインを担当し、LDAP でアカウント一覧の同期・維持を担当する、という使い分けが可能です。
事前条件
LDAP ID 同期を有効化する前に、以下の情報を準備してください。
IT 担当者から提供してもらう必要があるもの
LDAP サーバーアドレス：例
ldaps://ad.company.com:636Base DN：ユーザーを検索する起点。例
DC=company,DC=comまたはou=Users,o=<org>,dc=jumpcloud,dc=comBind DN：読み取り権限を持つサービスアカウントの完全な DN
Bind パスワード：サービスアカウントのパスワード
ファイアウォールの開放：MaiAgent サーバーから自社の LDAP サーバーへの接続を許可（デフォルトは LDAPS で port 636、LDAP で port 389）
MaiAgent 側で必要な権限
組織オーナー（Owner） または 組織管理権限 を持つロール
平文 LDAP（port 389）ではなく、LDAPS（port 636）の使用を強く推奨します。LDAPS は通信を暗号化するため、パスワードがネットワーク上で盗まれるのを防げます。
ID 同期設定を開く
左側メニューから 組織設定 > 組織概要 をクリックします
ID 同期 をクリックして設定ページに入ります
同期方式を選択 をクリックし、Modal で LDAP を選択します
設定に入ると、5 つのタブが表示されます。接続設定、同期範囲、グループマッピング、ログインと同期、同期ログ です。以下、それぞれ説明します。
1. 接続設定
まず、MaiAgent と LDAP サーバーの接続を確立します。4 つの項目を入力したら、必ず先に「接続テスト」で検証し、問題がないことを確認してから保存してください。
各項目の入力ルール
サーバーアドレス
LDAP サーバーの接続アドレス。プロトコルと port を含める必要があります
ldaps://ldap.jumpcloud.com:636
ldaps://ad.company.com:636
Base DN
ユーザーを検索する起点。DC=（大文字小文字を区別しない）を必ず含めます
ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com
DC=company,DC=com
Bind DN
認証に使用するサービスアカウントの完全なパス
uid=svcaccount,ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com
CN=svc-maiagent,OU=ServiceAccounts,DC=company,DC=com
パスワード
Bind DN アカウントのパスワード
—
—
各項目の具体的な値は IT 担当者から提供してもらう必要があります。実際の連携事例は後述の 操作例（JumpCloud の場合） の章を参照してください。
接続テスト
各項目を入力したら 接続テスト をクリックします。成功すると、緑色の「Connection successful」メッセージと応答時間が表示されます。
保存する前に必ず接続テストを行ってください。接続が検証されるまでは、同期範囲やプレビュー一覧などの機能は使用できません。
よくあるエラー
Invalid credentials
Bind DN またはパスワードが誤っている
Bind DN の形式を確認し、パスワードが最新かどうかを確認する
Server unreachable
サーバーアドレスの誤り、またはファイアウォールが未開放
URL と port を確認し、IT に MaiAgent から該当 LDAP サーバーへの接続を開放してもらう
Invalid DN syntax
Base DN の形式が不正
Base DN には必ず DC= を含めます。カンマや階層が正しいか確認する
Timeout
接続が 10 秒を超えても応答がない
LDAP サーバーが正常に稼働しているか、ネットワーク経路が到達可能かを確認する
2. 同期範囲
LDAP のどのユーザーを MaiAgent へ同期するかを選択します。2 つのモードに対応しています。
シンプルモード（推奨）
同期したい 組織単位（OU） または グループ（Group） にチェックを入れます。チェック後、下部の 一覧をプレビュー をクリックすると、同期対象となるユーザーを確認できます。
高度なモード
より細かい絞り込みが必要な場合（例えば「職位が Manager 以上のエンジニアリング部門の従業員だけを同期する」など）は、高度なモードに切り替えて LDAP Filter をカスタマイズできます。
よく使う Filter の例：
有効なユーザーのみを同期
(&(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
特定部門のみを同期
(&(objectClass=user)(department=Engineering))
サービスアカウントを除外
(&(objectClass=user)(!(sAMAccountName=svc-*)))
高度なモードの LDAP Filter は構文を誤ると同期が失敗します。LDAP Filter に不慣れな場合は、シンプルモードを使用し、IT に OU / Group 構造の調整を協力してもらうことをおすすめします。
3. グループマッピング
LDAP グループと MaiAgent ロールの対応関係を設定します。マッピングされていないグループは、自動的に同名の MaiAgent ロールが作成されます（このスイッチでオフにできます）。
操作オプション
マッピングを追加：1 つの LDAP グループを MaiAgent ロールに手動で対応させます
テンプレートをダウンロード：CSV テンプレートを取得し、マッピングを一括作成します
ファイルをインポート：記入済みの CSV をアップロードします
マッピングされていないロールを自動作成：デフォルトで有効です。同期時にまだマッピングされていない LDAP グループを検出すると、自動的に MaiAgent に同名のロールを作成します
マッピング例
Engineering
エンジニア
エンジニアリング部門の共用ロール
Finance
財務
財務部門の共用ロール
AI-Project
AI プロジェクトメンバー
部門横断プロジェクトのロール。メンバーは他部門からも参加できます
「デフォルトロール」はマッピングできません：MaiAgent の「デフォルトロール」はシステムロールであり、すべての組織メンバーに自動的に割り当てられるため、LDAP グループマッピングで対応させることはできません。全社員に共通の権限を持たせたい場合は、「デフォルトロール」自体の権限設定を調整してください。マッピング対象として扱わないでください。
4. ログインと同期
このページでは 2 つのことを管理します。LDAP アカウント・パスワードログインのスイッチ と 同期の手動実行 です。
LDAP アカウント・パスワードログイン
有効にすると、同期されたユーザーは追加設定なしで LDAP パスワード を使って直接 MaiAgent にログインできます。
有効化の事前条件：LDAP 接続が検証済みであり、少なくとも 1 回は同期を実行していること。
有効化後の動作：同期済みのユーザーの認証ソースが一括で LDAP に変更され、MaiAgent のローカルパスワードは無効になります。後日このスイッチをオフにした場合、ユーザーが再びログインするには管理者によるパスワードのリセットが必要です。
同期の手動実行
今すぐ同期を実行 をクリックすると、LDAP から最新のデータを取得して MaiAgent を更新します。
自動同期：システムはデフォルトで 30 分ごとに自動で同期するため、手動での介入は不要です
クールダウン時間：手動同期には 60 秒のクールダウン制限があり、短時間での重複実行を防ぎます
同期動作：「追加（Active ユーザー）」、「更新（データ変更）」、「停止（LDAP の範囲外になった、または Suspended になった）」を含みます
前回の同期結果
直近の同期の統計サマリーを表示し、追加・更新・停止・失敗の件数が含まれます。詳細な明細は 同期ログ タブで確認してください。
5. 同期ログ
各回の同期の完全な明細を確認できます。時刻、動作、影響を受けたユーザー、実行方法が表示されます。
動作タイプ
追加
ユーザーが LDAP から初めて MaiAgent へ同期された
更新
ユーザーデータの変更（氏名、Email、グループ所属）
停止
ユーザーが LDAP で範囲外になった、Suspended になった、または削除された
失敗
そのユーザーの同期が失敗した（明細内のエラーメッセージを参照）
実行方法
手動：管理者が ログインと同期 タブで「今すぐ同期を実行」をクリックした
自動：システムが 30 分ごとに自動スケジュールで実行した
同期が成功したか検証する
同期を実行した後は、以下の 3 か所でユーザーが正しくインポートされたか、LDAP グループが MaiAgent ロールに対応しているかを確認できます。
検証 1：メンバー管理ページでユーザーを確認する
組織設定 > メンバー管理 に入ると、LDAP 同期されたユーザーが一覧に表示されます。Email で検索すると、特定のユーザーをすばやく見つけられます。
各ユーザーの「ロール」欄には、所属する MaiAgent ロールが表示されます。例えば One Chen は Group 1 と Group 2 の 2 つのロールに対応しており、これは彼が LDAP 側でこの 2 つのグループに同時に所属していることを反映しています。
メンバー一覧には「ソース」欄が表示されません。LDAP 同期されたユーザーと手動で招待されたメンバーは、一覧上では同じように見えます。あるユーザーが LDAP 由来かどうかを明確に追跡するには、ID 同期 > 同期ログ でその Email を検索してください。
検証 2：ロール権限管理ページでロールを確認する
組織設定 > ロール権限 に入ると、LDAP グループマッピングに対応するロールが一覧に表示され、「メンバー」欄には現在同期によってこのロールに追加されているユーザーが表示されます。
上図から、次のことが分かります。
Group 1には 2 名のメンバー（Two Chen、One Chen）がおり、LDAP 側 Group 1 のメンバーに対応していますGroup 2には 2 名のメンバー（Three Chen、One Chen）がおり、LDAP 側 Group 2 のメンバーに対応していますOne Chen は両方のロールに同時に表示されており、LDAP 側で 2 つのグループに所属していることを表しています
これらのロールは手動で作成したロールと外観が同じで、クリックして権限範囲を調整できます
検証 3：同期ログで実行履歴を確認する
ID 同期 > 同期ログ に入ると、各回の同期の時刻、動作（追加 / 更新 / 停止）、対応するユーザー、実行方法を確認できます。ここが「同期が失敗していないか、どのユーザーで失敗したか」を判断できる唯一の場所です。
検証ニーズ別の対照表
ユーザーが正常にインポートされたか
メンバー管理 一覧で Email を検索
ユーザーがどのロールに割り当てられたか
メンバー管理 一覧の、当該ユーザーの「ロール」欄
LDAP グループがロールになったか
ロール権限 一覧
あるロールに実際どのメンバーがいるか
ロール権限 一覧の、当該ロールの「メンバー」欄
あるユーザーが LDAP 同期か手動追加か
同期ログ で Email を検索。記録があれば LDAP 同期
同期が失敗したか、その原因
同期ログ で動作タイプを「失敗」で絞り込み
前回の同期で何名取り込み / 停止したか
ログインと同期 の「前回の同期結果」統計
運用に関するおすすめ
ID 同期を有効化した後、メンバー / ロール管理ページで一部の手動操作を行うと LDAP と競合します。以下の点にご注意ください。
メンバー管理ページ：
LDAP 同期されたユーザーを手動で削除する
次回の同期で再び作成されます
LDAP 同期されたユーザーの Email を直接変更する
同期時に LDAP を基準として上書きされます
Bind ログイン有効化後に手動でパスワードをリセットする
ローカルパスワードは使用できず、パスワードは LDAP 側でのみ変更できます
ロール権限管理ページ：
LDAP マッピングに対応するロールを削除する
「マッピングされていないロールを自動作成」が有効な場合、次回の同期で再作成されます
そのロールでメンバーを手動で増減する
次回の同期時にメンバー名簿が LDAP グループを基準として上書きされます
ロール名を変更する
LDAP グループとの関連が切れます。グループマッピング ページで対応をやり直すことをおすすめします
ロール権限の初回設定
同期完了後、新しく作成されたロール（例えば Group 1、Group 2）には デフォルトでは一切の権限がありません。ロール権限管理 ページで、各ロールに以下を設定してください。
機能権限：このロールがどの機能を使えるか（AI 助理、ナレッジベース、カスタマーサポート対話など）
リソースアクセス：どの特定の助理、ナレッジベース、データベースにアクセスできるか
各ロールは一度だけ設定すれば十分です。その後、そのロールの新メンバー（LDAP から同期されてきたユーザー）はこれらの権限を自動的に継承するため、管理者が新入社員一人ひとりに個別に割り当てる必要はありません。
操作例（JumpCloud の場合）
以下は、JumpCloud を LDAP サーバーとした完全な連携手順です。他のシステム（Microsoft AD、OpenLDAP など）も手順は同じで、各項目の形式が異なるだけです。文末の付録の対照表を参照してください。
Step 1：JumpCloud で接続情報を見つける
JumpCloud Admin にログインし、Access > LDAP に進みます。
JumpCloud LDAP Directory をクリックして開き、ページ内の ORG DN をコピーします。
Step 2：ユーザーが LDAP Bind DN を有効化済みか確認する
任意のユーザー（例えば bob.chen）をクリックして開き、Directories タブに切り替え、そのユーザーが JumpCloud LDAP にバインドされ LDAP Bind DN として表示されていることを確認します。
Bind DN アカウントは LDAP Bind DN でなければなりません。一般ユーザーを Bind DN として使用し、このオプションにチェックを入れていない場合、接続は失敗します。
Step 3：接続パラメータを組み立てる
ORG DN が o=69de10c5be030ec43849f7a1,dc=jumpcloud,dc=com の場合を例にします。
サーバーアドレス
ldaps://ldap.jumpcloud.com:636
Base DN
ou=Users,o=69de10c5be030ec43849f7a1,dc=jumpcloud,dc=com
Bind DN
uid=bob.chen,ou=Users,o=69de10c5be030ec43849f7a1,dc=jumpcloud,dc=com
パスワード
Bob Chen の JumpCloud パスワード
Step 4：MaiAgent で入力してテストする
MaiAgent の接続設定に貼り付け、接続テスト をクリックし、緑色の「Connection successful」が表示されたら保存します。
Step 5：同期範囲を設定して実行する
同期範囲 に切り替えて ou=Users にチェックを入れ、保存 → ログインと同期 で 今すぐ同期を実行 をクリック → 同期ログ でユーザーが追加されたことを確認します。
よくある質問
Q1. 接続テストで「Invalid credentials」と表示されますが、パスワードは確かに合っています
3 か所を確認してください。
Bind DN の形式：すべての
ou=、dc=階層を含む完全なパスになっているか確認するLDAP Bind DN のチェック（JumpCloud）：当該ユーザー > Directories に進み、「Enable as LDAP Bind DN」にチェックが入っているか確認する
パスワードの特殊文字：パスワードに
$、!などの文字が含まれる場合、システムによってはエスケープが必要です
Q2. なぜ一部のユーザーが同期されないのですか？
以下の項目を確認してください。
LDAP でのユーザーの状態が Active かどうか（JumpCloud の Staged / Suspended は同期されません）
チェックした OU / Group の範囲内かどうか（高度なモードの場合は Filter 条件を満たす必要があります）
ユーザーの Email 欄が空でないかどうか（MaiAgent は Email を一意の識別子とするため、Email がないとスキップされます）
同期ログ で詳細な失敗原因を確認できます。
Q3. 特定の部門だけを同期できますか？
できます。2 つの方法があります。
シンプルモード：LDAP 内でその部門を独立した OU または Group にし、MaiAgent ではその項目だけにチェックを入れる
高度なモード：カスタム LDAP Filter を使う。例
(&(objectClass=user)(department=Engineering))
Q4. 従業員が LDAP パスワードを変更しました。MaiAgent 側は同期を待つ必要がありますか？
不要です。LDAP アカウント・パスワードログイン を有効にしてさえいれば、ユーザーが新しいパスワードでログインする際に MaiAgent がリアルタイムで LDAP に対して認証を行うため、完全に即時反映されます。
Q5. LDAP アカウント・パスワードログインを有効にした後、もともとの MaiAgent のローカルパスワードはまだ使えますか？
使えません。有効化後は、同期済みのすべてのユーザーの認証ソースが LDAP に変更され、もともとの MaiAgent パスワードは使用不可に設定されます。ユーザーは LDAP パスワードでのみログインできます。
後日このスイッチをオフにした場合、ユーザーは管理者によるパスワードのリセット後でないと再びログインできません。
Q6. 従業員が退職しました。MaiAgent 側で自動的に停止されますか？
されます。LDAP 側でユーザーを Suspend または Disable にすると、次回の同期（手動または 30 分ごとの自動）で MaiAgent はそのユーザーを停止します。Bind ログインを有効にしている場合、その従業員はその時点で再びログインできなくなります。
Q7. LDAP グループの名前変更や削除を行うと、MaiAgent はどうなりますか？
グループの名前変更：MaiAgent 側の元のロール名は自動的には変更されません。対応するグループマッピングを手動で更新することをおすすめします
グループの削除：マッピングが既に作成されている場合、マッピングは保持されますが、その LDAP グループにはユーザーがいない状態になります。手動でのクリーンアップをおすすめします
Q8. 自動同期は何分ごとですか？調整できますか？
現在は固定で 30 分ごとであり、まだカスタムの周期には対応していません。急ぎの場合は「今すぐ同期を実行」で手動実行できます。
付録：各種 LDAP システムの接続例
Microsoft Active Directory
サーバーアドレス
ldaps://ad.company.com:636
Base DN
DC=company,DC=com
Bind DN
CN=svc-maiagent,OU=ServiceAccounts,DC=company,DC=com
JumpCloud
サーバーアドレス
ldaps://ldap.jumpcloud.com:636
Base DN
ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com
Bind DN
uid=<username>,ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com
OpenLDAP / FreeIPA
サーバーアドレス
ldaps://ldap.company.local:636
Base DN
dc=company,dc=local
Bind DN
uid=maiagent,ou=system,dc=company,dc=local
Azure AD（Entra ID）
Azure AD 自体は LDAP port を開放しませんが、Azure AD Domain Services（AADDS） という Azure の有料アドオンを通じて LDAP インターフェースを提供できます。自社が Azure AD を使用している場合は、以下のいずれかの方法を選べます。
ユーザーの同期
AADDS を有効化し、AADDS を LDAP サーバーとして入力する（項目の形式は Microsoft AD と同じ）
ログイン認証
サードパーティログイン（SSO） と SAML / OAuth を直接利用し、LDAP Bind を経由しない
オンプレミス AD も併用している
Microsoft AD としてそのまま連携し、AADDS は不要
次のステップ
サードパーティログイン（SSO） — 併用すると、従業員が企業アカウントでそのままリダイレクトログインできるようになります
ロール権限管理 — グループマッピングが対応するロールの権限範囲をこのページで設計します
メンバー管理 — LDAP 同期と手動招待を含む、すべての組織メンバーを確認します
最終更新
役に立ちましたか？