ID 同期（LDAP）

LDAP ID 同期を設定し、企業ディレクトリサービスのユーザーとグループを自動的に MaiAgent へインポートします。LDAP パスワードによるプラットフォームへの直接ログインにも対応します

ID 同期を使うと、企業ディレクトリサービス（AD、JumpCloud、OpenLDAP など）のユーザーおよびグループのデータを自動的に MaiAgent へインポートでき、アカウントを一つひとつ作成する手間を省けます。LDAP アカウント・パスワードによるログイン 機能と組み合わせれば、従業員は企業で既に使用しているパスワードをそのまま使って MaiAgent にログインでき、別途パスワードを覚える必要がありません。

ID 同期（LDAP）は エンタープライズ版 専用の機能です。有効化をご希望の場合は、MaiAgent 営業チームへお問い合わせのうえ、エンタープライズプランへアップグレードしてください。

利用シーン

1. 企業に既存の AD / LDAP ディレクトリがある場合：従業員データを自動的に MaiAgent へ流し込み、二重の名簿を手動で管理したくない

2. 退職アカウントの同期停止：従業員が退職する際に企業側でアカウントを停止すると、MaiAgent 側でもアクセス権が同期的に失われる

3. パスワードの一元管理：従業員には企業の 1 組のパスワードだけを覚えてもらい、システムごとに別々のパスワードを持たせたくない

4. 部門ごとの権限マッピング：企業ディレクトリ内のグループに基づき、対応する MaiAgent のロール権限を自動的に付与する

5. 大量ユーザーのインポート：MaiAgent を初めて導入する際に、100 名以上の従業員を一括でプラットフォームへ取り込む

SSO とは何が違いますか？

ID 同期（LDAP）と サードパーティログイン（SSO） は、いずれもエンタープライズ向けの ID 統合機能ですが、解決する課題が異なります。

比較項目	ID 同期（LDAP）	サードパーティログイン（SSO）
主な目的	「人」を企業ディレクトリから MaiAgent へ同期する	ユーザーが企業アカウントで MaiAgent に「ログイン」できるようにする
ユーザー作成	✅ 自動作成	❌ JIT または事前作成との併用が必要
ログイン方法	Bind ログインを有効化すると企業パスワードでログイン	企業 IdP へリダイレクトしてログインを完了
グループ / ロール同期	✅ グループに基づき自動マッピング	⚠️ IdP や統合方式によって異なる
よくある統合対象	Microsoft AD、JumpCloud、OpenLDAP	Azure AD、Okta、Keycloak

両者は同時に有効化できます。SSO でリダイレクトログインを担当し、LDAP でアカウント一覧の同期・維持を担当する、という使い分けが可能です。

事前条件

LDAP ID 同期を有効化する前に、以下の情報を準備してください。

IT 担当者から提供してもらう必要があるもの

• LDAP サーバーアドレス：例 ldaps://ad.company.com:636

• Base DN：ユーザーを検索する起点。例 DC=company,DC=com または ou=Users,o=<org>,dc=jumpcloud,dc=com

• Bind DN：読み取り権限を持つサービスアカウントの完全な DN

• Bind パスワード：サービスアカウントのパスワード

• ファイアウォールの開放：MaiAgent サーバーから自社の LDAP サーバーへの接続を許可（デフォルトは LDAPS で port 636、LDAP で port 389）

MaiAgent 側で必要な権限

• 組織オーナー（Owner） または 組織管理権限 を持つロール

平文 LDAP（port 389）ではなく、LDAPS（port 636）の使用を強く推奨します。LDAPS は通信を暗号化するため、パスワードがネットワーク上で盗まれるのを防げます。

ID 同期設定を開く

1. 左側メニューから 組織設定 > 組織概要 をクリックします

2. ID 同期 をクリックして設定ページに入ります

3. 同期方式を選択 をクリックし、Modal で LDAP を選択します

同期方式を選択する Modal。現在は LDAP に対応しており、SCIM は近日提供予定です

設定に入ると、5 つのタブが表示されます。接続設定、同期範囲、グループマッピング、ログインと同期、同期ログ です。以下、それぞれ説明します。

1. 接続設定

まず、MaiAgent と LDAP サーバーの接続を確立します。4 つの項目を入力したら、必ず先に「接続テスト」で検証し、問題がないことを確認してから保存してください。

接続設定タブ。サーバーアドレス、Base DN、Bind DN、パスワードを入力します

各項目の入力ルール

項目	説明	例（JumpCloud）	例（AD）
サーバーアドレス	LDAP サーバーの接続アドレス。プロトコルと port を含める必要があります	ldaps://ldap.jumpcloud.com:636	ldaps://ad.company.com:636
Base DN	ユーザーを検索する起点。DC=（大文字小文字を区別しない）を必ず含めます	ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com	DC=company,DC=com
Bind DN	認証に使用するサービスアカウントの完全なパス	uid=svcaccount,ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com	CN=svc-maiagent,OU=ServiceAccounts,DC=company,DC=com
パスワード	Bind DN アカウントのパスワード	—	—

各項目の具体的な値は IT 担当者から提供してもらう必要があります。実際の連携事例は後述の 操作例（JumpCloud の場合） の章を参照してください。

接続テスト

各項目を入力したら 接続テスト をクリックします。成功すると、緑色の「Connection successful」メッセージと応答時間が表示されます。

接続テスト成功。応答時間が表示されます（約 200〜300ms が正常範囲です）

保存する前に必ず接続テストを行ってください。接続が検証されるまでは、同期範囲やプレビュー一覧などの機能は使用できません。

よくあるエラー

エラーメッセージ	考えられる原因	対処方法
Invalid credentials	Bind DN またはパスワードが誤っている	Bind DN の形式を確認し、パスワードが最新かどうかを確認する
Server unreachable	サーバーアドレスの誤り、またはファイアウォールが未開放	URL と port を確認し、IT に MaiAgent から該当 LDAP サーバーへの接続を開放してもらう
Invalid DN syntax	Base DN の形式が不正	Base DN には必ず DC= を含めます。カンマや階層が正しいか確認する
Timeout	接続が 10 秒を超えても応答がない	LDAP サーバーが正常に稼働しているか、ネットワーク経路が到達可能かを確認する

2. 同期範囲

LDAP のどのユーザーを MaiAgent へ同期するかを選択します。2 つのモードに対応しています。

シンプルモード（推奨）

同期したい 組織単位（OU） または グループ（Group） にチェックを入れます。チェック後、下部の 一覧をプレビュー をクリックすると、同期対象となるユーザーを確認できます。

シンプルモード。同期したい OU またはグループにチェックを入れます。右側の数字は、その範囲内のユーザー数を表します

「一覧をプレビュー」をクリックすると、同期対象となるすべてのユーザーが一覧表示されます。Email / 氏名での検索に対応しています

OU と Group は 同時にチェックできます。1 人のユーザーが複数の条件に同時に該当する場合でも、同期されるのは 1 回のみで、グループとの対応関係はすべて保持されます。

高度なモード

より細かい絞り込みが必要な場合（例えば「職位が Manager 以上のエンジニアリング部門の従業員だけを同期する」など）は、高度なモードに切り替えて LDAP Filter をカスタマイズできます。

よく使う Filter の例：

要件	LDAP Filter
有効なユーザーのみを同期	(&(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))
特定部門のみを同期	(&(objectClass=user)(department=Engineering))
サービスアカウントを除外	(&(objectClass=user)(!(sAMAccountName=svc-*)))

高度なモードの LDAP Filter は構文を誤ると同期が失敗します。LDAP Filter に不慣れな場合は、シンプルモードを使用し、IT に OU / Group 構造の調整を協力してもらうことをおすすめします。

3. グループマッピング

LDAP グループと MaiAgent ロールの対応関係を設定します。マッピングされていないグループは、自動的に同名の MaiAgent ロールが作成されます（このスイッチでオフにできます）。

ID 同期と権限管理の役割分担

ID 同期は「ユーザー」と「ロールの所属」を LDAP から MaiAgent へ同期することだけを担当します。各ロールの具体的な権限範囲（どの機能を使えるか、どのリソースにアクセスできるか）は、管理者が事前に ロール権限管理 ページで一度設定しておく必要があります。

設定が完了すれば、以降は新入社員が LDAP 側で対応するグループに追加されるだけで、自動的に MaiAgent へ同期され、そのロールの権限を取得します。管理者が新入社員一人ひとりに個別設定する必要はありません。

グループマッピングタブ。1 件ずつ設定するか、CSV で一括インポートできます

操作オプション

• マッピングを追加：1 つの LDAP グループを MaiAgent ロールに手動で対応させます

• テンプレートをダウンロード：CSV テンプレートを取得し、マッピングを一括作成します

• ファイルをインポート：記入済みの CSV をアップロードします

• マッピングされていないロールを自動作成：デフォルトで有効です。同期時にまだマッピングされていない LDAP グループを検出すると、自動的に MaiAgent に同名のロールを作成します

マッピング例

LDAP グループ	MaiAgent ロール	用途
Engineering	エンジニア	エンジニアリング部門の共用ロール
Finance	財務	財務部門の共用ロール
AI-Project	AI プロジェクトメンバー	部門横断プロジェクトのロール。メンバーは他部門からも参加できます

従業員が複数の LDAP グループに所属している場合（例えば Engineering と AI-Project の両方）、同期後は 対応する 2 つの MaiAgent ロールが同時に付与されます。

「デフォルトロール」はマッピングできません：MaiAgent の「デフォルトロール」はシステムロールであり、すべての組織メンバーに自動的に割り当てられるため、LDAP グループマッピングで対応させることはできません。全社員に共通の権限を持たせたい場合は、「デフォルトロール」自体の権限設定を調整してください。マッピング対象として扱わないでください。

4. ログインと同期

このページでは 2 つのことを管理します。LDAP アカウント・パスワードログインのスイッチ と 同期の手動実行 です。

ログインと同期タブ。Bind ログインのスイッチ、手動同期ボタン、前回の同期結果が含まれます

LDAP アカウント・パスワードログイン

有効にすると、同期されたユーザーは追加設定なしで LDAP パスワード を使って直接 MaiAgent にログインできます。

LDAP アカウント・パスワードログインを有効にした後は、ユーザーが LDAP ディレクトリサービスでパスワードを変更すると 即座に反映 され、次回の同期を待つ必要はありません。

有効化の事前条件：LDAP 接続が検証済みであり、少なくとも 1 回は同期を実行していること。

有効化後の動作：同期済みのユーザーの認証ソースが一括で LDAP に変更され、MaiAgent のローカルパスワードは無効になります。後日このスイッチをオフにした場合、ユーザーが再びログインするには管理者によるパスワードのリセットが必要です。

同期の手動実行

今すぐ同期を実行 をクリックすると、LDAP から最新のデータを取得して MaiAgent を更新します。

• 自動同期：システムはデフォルトで 30 分ごとに自動で同期するため、手動での介入は不要です

• クールダウン時間：手動同期には 60 秒のクールダウン制限があり、短時間での重複実行を防ぎます

• 同期動作：「追加（Active ユーザー）」、「更新（データ変更）」、「停止（LDAP の範囲外になった、または Suspended になった）」を含みます

前回の同期結果

直近の同期の統計サマリーを表示し、追加・更新・停止・失敗の件数が含まれます。詳細な明細は 同期ログ タブで確認してください。

5. 同期ログ

各回の同期の完全な明細を確認できます。時刻、動作、影響を受けたユーザー、実行方法が表示されます。

同期ログタブ。Email / 氏名 / ロールで検索したり、動作タイプで絞り込んだりできます

動作タイプ

動作	意味
追加	ユーザーが LDAP から初めて MaiAgent へ同期された
更新	ユーザーデータの変更（氏名、Email、グループ所属）
停止	ユーザーが LDAP で範囲外になった、Suspended になった、または削除された
失敗	そのユーザーの同期が失敗した（明細内のエラーメッセージを参照）

実行方法

• 手動：管理者が ログインと同期 タブで「今すぐ同期を実行」をクリックした

• 自動：システムが 30 分ごとに自動スケジュールで実行した

同期が成功したか検証する

同期を実行した後は、以下の 3 か所でユーザーが正しくインポートされたか、LDAP グループが MaiAgent ロールに対応しているかを確認できます。

検証 1：メンバー管理ページでユーザーを確認する

組織設定 > メンバー管理 に入ると、LDAP 同期されたユーザーが一覧に表示されます。Email で検索すると、特定のユーザーをすばやく見つけられます。

メンバー管理一覧。LDAP 同期された Chen ファミリーと、もともと手動で招待したメンバーが並んで表示されています

各ユーザーの「ロール」欄には、所属する MaiAgent ロールが表示されます。例えば One Chen は Group 1 と Group 2 の 2 つのロールに対応しており、これは彼が LDAP 側でこの 2 つのグループに同時に所属していることを反映しています。

メンバー一覧には「ソース」欄が表示されません。LDAP 同期されたユーザーと手動で招待されたメンバーは、一覧上では同じように見えます。あるユーザーが LDAP 由来かどうかを明確に追跡するには、ID 同期 > 同期ログ でその Email を検索してください。

検証 2：ロール権限管理ページでロールを確認する

組織設定 > ロール権限 に入ると、LDAP グループマッピングに対応するロールが一覧に表示され、「メンバー」欄には現在同期によってこのロールに追加されているユーザーが表示されます。

ロール権限管理一覧。Group 1 と Group 2 は、LDAP 同期時に自動作成されたロールです

上図から、次のことが分かります。

• Group 1 には 2 名のメンバー（Two Chen、One Chen）がおり、LDAP 側 Group 1 のメンバーに対応しています

• Group 2 には 2 名のメンバー（Three Chen、One Chen）がおり、LDAP 側 Group 2 のメンバーに対応しています

• One Chen は両方のロールに同時に表示されており、LDAP 側で 2 つのグループに所属していることを表しています

• これらのロールは手動で作成したロールと外観が同じで、クリックして権限範囲を調整できます

検証 3：同期ログで実行履歴を確認する

ID 同期 > 同期ログ に入ると、各回の同期の時刻、動作（追加 / 更新 / 停止）、対応するユーザー、実行方法を確認できます。ここが「同期が失敗していないか、どのユーザーで失敗したか」を判断できる唯一の場所です。

検証ニーズ別の対照表

知りたいこと	どこを見るか
ユーザーが正常にインポートされたか	メンバー管理 一覧で Email を検索
ユーザーがどのロールに割り当てられたか	メンバー管理 一覧の、当該ユーザーの「ロール」欄
LDAP グループがロールになったか	ロール権限 一覧
あるロールに実際どのメンバーがいるか	ロール権限 一覧の、当該ロールの「メンバー」欄
あるユーザーが LDAP 同期か手動追加か	同期ログ で Email を検索。記録があれば LDAP 同期
同期が失敗したか、その原因	同期ログ で動作タイプを「失敗」で絞り込み
前回の同期で何名取り込み / 停止したか	ログインと同期 の「前回の同期結果」統計

運用に関するおすすめ

ID 同期を有効化した後、メンバー / ロール管理ページで一部の手動操作を行うと LDAP と競合します。以下の点にご注意ください。

メンバー管理ページ：

操作	結果
LDAP 同期されたユーザーを手動で削除する	次回の同期で再び作成されます
LDAP 同期されたユーザーの Email を直接変更する	同期時に LDAP を基準として上書きされます
Bind ログイン有効化後に手動でパスワードをリセットする	ローカルパスワードは使用できず、パスワードは LDAP 側でのみ変更できます

ロール権限管理ページ：

操作	結果
LDAP マッピングに対応するロールを削除する	「マッピングされていないロールを自動作成」が有効な場合、次回の同期で再作成されます
そのロールでメンバーを手動で増減する	次回の同期時にメンバー名簿が LDAP グループを基準として上書きされます
ロール名を変更する	LDAP グループとの関連が切れます。グループマッピング ページで対応をやり直すことをおすすめします

シンプルな原則：権限は MaiAgent ロールで制御し、メンバーの所属は LDAP グループで制御します。権限を変えたいならロール設定で、誰がどのグループにいるかを変えたいなら LDAP 側で行ってください。

ロール権限の初回設定

同期完了後、新しく作成されたロール（例えば Group 1、Group 2）には デフォルトでは一切の権限がありません。ロール権限管理 ページで、各ロールに以下を設定してください。

• 機能権限：このロールがどの機能を使えるか（AI 助理、ナレッジベース、カスタマーサポート対話など）

• リソースアクセス：どの特定の助理、ナレッジベース、データベースにアクセスできるか

各ロールは一度だけ設定すれば十分です。その後、そのロールの新メンバー（LDAP から同期されてきたユーザー）はこれらの権限を自動的に継承するため、管理者が新入社員一人ひとりに個別に割り当てる必要はありません。

操作例（JumpCloud の場合）

以下は、JumpCloud を LDAP サーバーとした完全な連携手順です。他のシステム（Microsoft AD、OpenLDAP など）も手順は同じで、各項目の形式が異なるだけです。文末の付録の対照表を参照してください。

Step 1：JumpCloud で接続情報を見つける

JumpCloud Admin にログインし、Access > LDAP に進みます。

JumpCloud Admin の左側メニュー Access > LDAP

JumpCloud LDAP Directory をクリックして開き、ページ内の ORG DN をコピーします。

JumpCloud LDAP Directory 詳細ページ。ORG DN 欄の値が、必要となる組織識別子です

Step 2：ユーザーが LDAP Bind DN を有効化済みか確認する

任意のユーザー（例えば bob.chen）をクリックして開き、Directories タブに切り替え、そのユーザーが JumpCloud LDAP にバインドされ LDAP Bind DN として表示されていることを確認します。

ユーザー詳細ページ > Directories。LDAP Bind DN がバインドされていることを確認します

Bind DN アカウントは LDAP Bind DN でなければなりません。一般ユーザーを Bind DN として使用し、このオプションにチェックを入れていない場合、接続は失敗します。

Step 3：接続パラメータを組み立てる

ORG DN が o=69de10c5be030ec43849f7a1,dc=jumpcloud,dc=com の場合を例にします。

項目	値
サーバーアドレス	ldaps://ldap.jumpcloud.com:636
Base DN	ou=Users,o=69de10c5be030ec43849f7a1,dc=jumpcloud,dc=com
Bind DN	uid=bob.chen,ou=Users,o=69de10c5be030ec43849f7a1,dc=jumpcloud,dc=com
パスワード	Bob Chen の JumpCloud パスワード

Step 4：MaiAgent で入力してテストする

MaiAgent の接続設定に貼り付け、接続テスト をクリックし、緑色の「Connection successful」が表示されたら保存します。

Step 5：同期範囲を設定して実行する

同期範囲 に切り替えて ou=Users にチェックを入れ、保存 → ログインと同期 で 今すぐ同期を実行 をクリック → 同期ログ でユーザーが追加されたことを確認します。

よくある質問

Q1. 接続テストで「Invalid credentials」と表示されますが、パスワードは確かに合っています

3 か所を確認してください。

1. Bind DN の形式：すべての ou=、dc= 階層を含む完全なパスになっているか確認する

2. LDAP Bind DN のチェック（JumpCloud）：当該ユーザー > Directories に進み、「Enable as LDAP Bind DN」にチェックが入っているか確認する

3. パスワードの特殊文字：パスワードに $、! などの文字が含まれる場合、システムによってはエスケープが必要です

Q2. なぜ一部のユーザーが同期されないのですか？

以下の項目を確認してください。

• LDAP でのユーザーの状態が Active かどうか（JumpCloud の Staged / Suspended は同期されません）

• チェックした OU / Group の範囲内かどうか（高度なモードの場合は Filter 条件を満たす必要があります）

• ユーザーの Email 欄が空でないかどうか（MaiAgent は Email を一意の識別子とするため、Email がないとスキップされます）

同期ログ で詳細な失敗原因を確認できます。

Q3. 特定の部門だけを同期できますか？

できます。2 つの方法があります。

• シンプルモード：LDAP 内でその部門を独立した OU または Group にし、MaiAgent ではその項目だけにチェックを入れる

• 高度なモード：カスタム LDAP Filter を使う。例 (&(objectClass=user)(department=Engineering))

Q4. 従業員が LDAP パスワードを変更しました。MaiAgent 側は同期を待つ必要がありますか？

不要です。LDAP アカウント・パスワードログイン を有効にしてさえいれば、ユーザーが新しいパスワードでログインする際に MaiAgent がリアルタイムで LDAP に対して認証を行うため、完全に即時反映されます。

Q5. LDAP アカウント・パスワードログインを有効にした後、もともとの MaiAgent のローカルパスワードはまだ使えますか？

使えません。有効化後は、同期済みのすべてのユーザーの認証ソースが LDAP に変更され、もともとの MaiAgent パスワードは使用不可に設定されます。ユーザーは LDAP パスワードでのみログインできます。

後日このスイッチをオフにした場合、ユーザーは管理者によるパスワードのリセット後でないと再びログインできません。

Q6. 従業員が退職しました。MaiAgent 側で自動的に停止されますか？

されます。LDAP 側でユーザーを Suspend または Disable にすると、次回の同期（手動または 30 分ごとの自動）で MaiAgent はそのユーザーを停止します。Bind ログインを有効にしている場合、その従業員はその時点で再びログインできなくなります。

Q7. LDAP グループの名前変更や削除を行うと、MaiAgent はどうなりますか？

• グループの名前変更：MaiAgent 側の元のロール名は自動的には変更されません。対応するグループマッピングを手動で更新することをおすすめします

• グループの削除：マッピングが既に作成されている場合、マッピングは保持されますが、その LDAP グループにはユーザーがいない状態になります。手動でのクリーンアップをおすすめします

Q8. 自動同期は何分ごとですか？調整できますか？

現在は固定で 30 分ごとであり、まだカスタムの周期には対応していません。急ぎの場合は「今すぐ同期を実行」で手動実行できます。

付録：各種 LDAP システムの接続例

Microsoft Active Directory

項目	値
サーバーアドレス	ldaps://ad.company.com:636
Base DN	DC=company,DC=com
Bind DN	CN=svc-maiagent,OU=ServiceAccounts,DC=company,DC=com

JumpCloud

項目	値
サーバーアドレス	ldaps://ldap.jumpcloud.com:636
Base DN	ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com
Bind DN	uid=<username>,ou=Users,o=<ORG_ID>,dc=jumpcloud,dc=com

OpenLDAP / FreeIPA

項目	値
サーバーアドレス	ldaps://ldap.company.local:636
Base DN	dc=company,dc=local
Bind DN	uid=maiagent,ou=system,dc=company,dc=local

Azure AD（Entra ID）

Azure AD 自体は LDAP port を開放しませんが、Azure AD Domain Services（AADDS） という Azure の有料アドオンを通じて LDAP インターフェースを提供できます。自社が Azure AD を使用している場合は、以下のいずれかの方法を選べます。

目的	推奨される方法
ユーザーの同期	AADDS を有効化し、AADDS を LDAP サーバーとして入力する（項目の形式は Microsoft AD と同じ）
ログイン認証	サードパーティログイン（SSO） と SAML / OAuth を直接利用し、LDAP Bind を経由しない
オンプレミス AD も併用している	Microsoft AD としてそのまま連携し、AADDS は不要

従業員に Azure AD アカウントで MaiAgent に ログイン してほしいだけで、ユーザーデータの同期は不要な場合は、サードパーティログイン（SSO） のドキュメントを直接ご覧ください。この ID 同期マニュアルは不要です。

次のステップ

• サードパーティログイン（SSO） — 併用すると、従業員が企業アカウントでそのままリダイレクトログインできるようになります

• ロール権限管理 — グループマッピングが対応するロールの権限範囲をこのページで設計します

• メンバー管理 — LDAP 同期と手動招待を含む、すべての組織メンバーを確認します