Active DirectoryユーザーをLDAP経由でONLYOFFICE DocSpaceと同期する

LDAPまたはMicrosoft Active DirectoryアカウントをONLYOFFICE DocSpaceと同期するには、「設定」>「統合」>「LDAP設定」でLDAP認証を有効にし、ディレクトリ接続と検索パラメータを入力して保存し、インポートを確認します。その後、自動同期を有効にすると、ディレクトリの変更が最初の設定を繰り返すことなくDocSpaceに反映されます。

この手順は、DocSpaceのLDAP統合に関するものであり、スタンドアロンのONLYOFFICE Docsドキュメント編集サーバーには適用されません。ONLYOFFICE Workspaceの場合、同等の設定はコントロールパネル > ポータル設定 > LDAPにあります。2026年10月に確認した最新のONLYOFFICEドキュメントによると、LDAPはDocSpace SaaS版の有料ビジネス機能です。ご自身のセルフホスト版の機能については、別途ご確認ください。DocSpaceの公式LDAPリファレンスとWorkspaceサーバーの手順書を参照してください。

まず、小規模なディレクトリのインポートを計画してください。

具体例： Acme Corp は、という名前の Active Directory ドメインを持っていますacme.local。同社の IT 管理者は、Employees 組織単位 (OU) 内の各従業員に DocSpace アカウントを作成し、必要に応じて別の Groups OU からセキュリティ グループをインポートしたいと考えています。以下の名前、パス、アカウントの例は、構成値の例であり、展開された環境の結果ではありません。

DocSpace を操作する前に、サーバーがドメイン コントローラーに接続できることを確認し、含める必要のあるアカウントを特定し、読み取りアクセス権を持つディレクトリ アカウントを設定してください。ドメイン管理者ではなく、専用の読み取り専用サービス ID を使用してください。ディレクトリの場所を識別する正確な LDAP 識別名 (DN) と、Active Directory ですでに使用されているログイン属性および電子メール属性を記録してください。

Acme の検索ベースの例は ですOU=Employees,DC=acme,DC=local。この OU から始めると、サービス アカウントや無関係なユーザーをインポートする可能性が低くなります。ユーザーやドキュメントを含む既存のポータルについては、LDAP フィルタを変更する前に、適切なバックアップを作成し、復元手順を確認してください。ONLYOFFICE は、サーバー、ユーザー、またはグループの検索設定の変更が、以前にインポートされたアカウントとそのデータに影響を与える可能性があると警告しています。バックアップと復元に関するドキュメントを確認してください。

DocSpaceをディレクトリに接続します

1. LDAP設定を開き、認証を有効にします。

DocSpace管理者としてサインインします。左下のオプションメニューから「設定」を選択し、「統合」>「LDAP設定」を開きます。「LDAP認証」をオンにします。設定フォームが折りたたまれている場合は、「表示」を使用して展開します。SAMLシングルサインオンページとLDAP同期ページを混同しないでください。

2. 保護されたLDAPトランスポートを選択します

TLS にアップグレードされた LDAP 接続の場合は、通常 TCP ポートでStartTLS を有効にするか389、LDAPS の場合は通常 TCP ポートでSSL を有効にしてください636。Acme のシナリオでは、ドメイン コントローラが有効なサーバー証明書を使用して LDAPS 用に構成されていると仮定します。LDAPS://dc1.acme.localと を使用してください636。サポートされている安全な方法を 1 つ選択してください。保護されていない LDAP 経由でバインド パスワードを送信しないでください。

ADドメインコントローラー上のLDAPSには、適切な証明書、一致するDNS名、およびネットワークアクセスが必要です。Microsoftは、これらの要件を「SSL経由のLDAPの証明書の構成」で説明しています。TLS検証を弱めるのではなく、サーバー側で証明書の信頼性の問題を解決してください。

3. サーバーとバインド認証情報を入力します

サーバーにはLDAPまたはLDAPSのURLを、ポート番号には選択したポート番号を設定してください。ユーザーおよびグループレコードを読み取るためにディレクトリアカウントが必要な場合は、フォームの認証オプションを有効にし、承認されたログイン名とパスワードを入力してください。サンプルサービスIDは のようになりますがsvc_docspace@acme.local、ディレクトリで実際に受け入れられているバインド形式を使用してください。パスワードや実際のアカウント名は、公開ガイドやスクリーンショットには絶対に記載しないでください。

インポートするユーザーを正確に選択してください。

4. 検索対象とフィルターを定義する

ユーザーDNOU=Employees,DC=acme,DC=localを入力してください。Active Directoryの場合、ONLYOFFICEが推奨する開始フィルターは です。これは、選択した検索範囲内のユーザープリンシパル名を持つレコードを選択します。これだけでは、すべての結果が有効な従業員であることを保証するものではありません。組織でより狭いメンバーシップが必要な場合は、OUの内容を確認するか、慎重に検証されたフィルターを使用してください。(userPrincipalName=*)

(uid=*)OpenLDAPディレクトリでは、ユーザーフィルタとログイン属性に関するデフォルト設定が異なりますuid。これらのデフォルト設定をそのままActive Directory環境にコピーしないでください。

5. ログイン属性を設定し、プロファイルデータをマッピングする

AD の場合、 ONLYOFFICE の手順で指定されているとおり、ログイン属性を に設定してくださいsAMAccountName。設定されたログイン属性によって、ユーザーが DocSpace サインイン ページで入力する内容が決まります。サポートされている形式には、シンプルなログイン、LDAP ドメイン付きログイン、ドメインバックスラッシュログインなどがあります。インポート後、管理者以外の従業員アカウントで形式をテストしてください。

属性マッピングでは、ADスキーマにこれらのフィールドが存在する場合、名をgivenName、名をsn、メールをにマッピングしますmail。これらは、実際のディレクトリと照合するためのマッピング例であり、すべての環境で想定される値ではありません。メールは重要です。ONLYOFFICEでは、メールマッピングがDocSpaceのメールアドレスに使用されるとされています。メールデータが欠落している場合、ログインとLDAPドメインから派生したアドレスが生成され、ユーザーに通知が届かない可能性があります。

グループをインポートしてから、継続的な同期を有効にします。

6. オプションのグループメンバーシップを設定する

Acme がディレクトリ グループも必要とする場合は、グループ メンバーシップを有効にします。この例では、OU=Groups,DC=acme,DC=localグループ DN に を、(objectClass=group)グループ フィルタに を使用します。ONLYOFFICE が文書化した AD マッピングでは、distinguishedNameユーザー属性として を、memberグループ属性として を使用します。ディレクトリに適した既存のグループ名属性を使用してください。

保存前にメンバーシップを確認してください。ONLYOFFICEでは、グループインポートを有効にすると、インポートされるユーザーは少なくとも1つの一致するグループに属するユーザーに限定されることを明示的に示しています。Acmeのパイロット従業員が選択したグループに属していない場合は、最初はグループインポートを無効にするか、インポート前にディレクトリスコープを修正してください。ユーザー数を増やすためだけに、グループフィルタをドメイン全体に拡張しないでください。

7. 設定を保存し、インポートを確認します。

検索ベース、アカウントマッピング、およびディレクトリメンバーシップの予定内容を確認し、「保存」をクリックします。インポートの確認ダイアログで「OK」を選択して開始します。ディレクトリの検索とインポートには時間がかかります。所要時間は環境によって異なります。大規模な AD 展開の場合、ONLYOFFICE のドキュメントでは、AD クエリのエントリ数を 1,000 件に制限しています。ページングやディレクトリ制限の変更は、確認せずにドメインコントローラーの設定を変更するのではなく、必ず AD 管理者と調整してください。

アカウントでインポートされたアカウントを確認してください。LDAP にリンクされたプロファイルには、管理者ビューに LDAP インジケーターが表示されます。最初の実行は意図的に範囲を狭めて、組織全体を追加する前に、誤ったフィルタ、メール マッピング、またはグループ ルールを修正できるようにしてください。保存が成功したからといって、ユーザーが認証できると断定しないでください。

8. 自動同期をスケジュールし、手動同期を1回実行する

LDAP設定に戻り、自動同期を有効にして、DocSpaceのバージョンでサポートされている間隔（1時間ごと、毎日、毎週、毎月）を選択します。スケジュールを保存します。すぐに更新するには、 LDAPページの下部にある「ユーザーの同期」を選択します。ONLYOFFICEでは、LDAPユーザーがログインした後のユーザーごとの更新についても説明していますが、このログイン動作は、グループやアカウントレコードを更新する必要がある場合のディレクトリ全体の定期的な同期の代わりとなるものではありません。

サインインと次回の更新を確認してください

パイロットアカウントを使用して、そのAD認証情報でサインインし、DocSpaceプロファイルに期待どおりの名前とメールアドレスが表示されていることを確認します。グループが有効になっている場合は、従業員がインポートされたグループに属しており、DocSpaceのアクセス許可によって付与された会議室のみにアクセスできることを確認します。最後に、パイロットアカウントの重要度の低いディレクトリフィールドを変更し、「ユーザーの同期」を実行して、DocSpaceプロファイルに変更が反映されていることを確認します。

• ユーザーが表示されない場合は、ユーザーDN、フィルタ、サービスアカウントの読み取りアクセス権限、およびグループメンバーシップを有効にした際にパイロットユーザーが除外されていないかを再確認してください。
• 認証に失敗しました。ログイン属性、アカウントのディレクトリステータス、ネットワークアクセス、およびTLS証明書の信頼性を確認してください。
• 名前またはメールアドレスが間違っています。確立済みの検索範囲を変更する前に、マッピングされたLDAP属性を実際のディレクトリレコードと比較してください。
• 後からの変更が反映されない場合：自動同期が保存されたことを確認し、手動でユーザーの同期を実行して、変更されたアカウントが設定されたフィルター内に残っているかどうかを確認してください。

設定が完了したとみなされるのは、選択したユーザーがインポートされ、パイロットユーザーがディレクトリの認証情報を使用して認証でき、意図したグループ制限が適用され、かつ、少なくとも1つの後続のプロファイル変更が正しく同期された場合のみです。