データ レプリケーション用に Workday インスタンスを構成する

Workday インスタンスから BigQuery や Cloud Storage などのサポートされている宛先にデータを複製するには、Workday を Datastream ソースとして接続します。接続を認証するには、統合システム ユーザー（ISU）を作成し、セキュリティ グループの権限を付与して、OAuth 2.0 の API クライアントを登録します。

始める前に

Datastream で使用する Workday の構成を開始する前に、次のことを行う必要があります。

  • 有効な Workday インスタンスにアクセスできること。
  • Workday での設定の操作方法と変更方法を理解している。
  • Workday で統合システム ユーザーとセキュリティ グループを作成する方法を理解している。

Datastream で使用する Workday インスタンスを構成する

Workday インスタンスと Datastream の接続を確立するには、Workday 接続プロファイルの作成時に、インスタンスのホスト名とテナント名、OAuth 2.0 クライアント認証情報（クライアント ID、クライアント シークレット、更新トークンなど）を指定する必要があります。

ホスト名とテナント名を特定する

Workday インスタンスのホスト名とテナント名は、次のいずれかの方法で確認できます。

  • ログイン URL アドレスを使用する。ホスト名とテナント名は、Workday へのログインに使用するインスタンス URL アドレスの一部です。たとえば、ログイン URL が https://wd5-impl.workday.com/google/d/home.html の場合、wd5-impl.workday.com の部分はホスト名です。URL のホスト名の直後に表示されるインスタンスの略称またはエイリアスは、テナント名です（この場合は google）。

  • 登録済みの API クライアントの詳細を使用します。すでに API クライアントを登録している場合は、REST エンドポイント URL アドレスからこの情報を直接取得できます。

    1. Workday で、[View API Client] タスクを検索して選択します。
    2. [Client Details] で、[Workday REST API Endpoint] フィールド（例: https://wd2-impl-services1.workday.com/ccx/api/v1/mytenant）を見つけます。

    3. 認証情報を確認します。

      • ホスト名は URL のドメイン部分です（例: wd2-impl-services1.workday.com）。
      • テナント名は、/v1/ に続く URL の最後のパス セグメントです（例: mytenant）。

API エンドポイントの確認方法については、Workday API のドキュメントをご覧ください。

ユーザーとセキュリティ グループを構成する

Workday からデータをストリーミングするには、専用の統合システム ユーザー（ISU）を構成し、制約のないセキュリティ グループに割り当てて、そのグループに必要なドメイン権限を付与する必要があります。

統合システム ユーザー（ISU）を作成する

  1. Workday の検索バーで、[Create Integration System User] タスクを検索して選択します。

  2. ISU アカウントを構成します。

    1. ユーザー名を入力します（例: datastream_isu）。
    2. 安全なパスワードを作成します。
    3. [Session Timeout Minutes] フィールドに「0」（タイムアウトなし）と入力します。
    4. [UI セッションを許可しない] チェックボックスをオフにします。

  3. [OK] をクリックし、[完了] をクリックします。

統合システム セキュリティ グループを作成する

  1. [Create Security Group] タスクを検索して選択します。

  2. セキュリティ グループのオプションを構成します。

    1. [テナント化されたセキュリティ グループ] プルダウンから、[統合システム セキュリティ グループ（制限なし）] を選択します。
    2. [名前] フィールドに、セキュリティ グループの名前を入力します（例: datastream_sg）。

  3. [OK] をクリックします。

  4. 表示されたページの [Integration System Users] フィールドで、前の手順で作成した ISU を検索して選択します。

  5. [OK] をクリックします。

ドメイン セキュリティ ポリシーの権限を付与する

標準データドメインを完全にカバーするには、必要な Workday ドメインに対する取得のみ権限をセキュリティ グループに付与する必要があります。

  1. セキュリティ グループの詳細ページで、セキュリティ グループ名の横にある [関連アクション] の省略記号アイコン (...) をクリックします。
  2. [セキュリティ グループ] > [セキュリティ グループのドメイン権限を維持] に移動します。

  3. [ドメイン セキュリティ ポリシーの権限] テーブルに、次のドメインを追加します。

    • Worker Data: Public Worker Reports
    • Workday Usage Metrics
    • Manage: Organization Integration
    • Worker Data: All Positions
    • Job Requisition Data
    • Manage: Evergreen Requisitions
    • Special OX Web Services
    • Prospects
    • Candidate Data: Job Application
    • Worker Data: Skills and Experience
    • Payroll Interface
    • Job Information
    • Staffing Organizations: Header
    • Staffing Organizations: Company
    • Staffing Organizations: Region
    • Staffing Organizations: Business Unit
    • Staffing Organizations: Custom Organization

  4. 追加したドメインごとに、[Get Only] アクセス列のチェックボックスをオンにします。

  5. [OK] をクリックし、[完了] をクリックします。

ISU をパスワードの有効期限の対象外にする

パスワードの有効期限切れによるストリームの中断を防ぐには、ISU をテナントの標準のパスワード有効期限ルールから除外します。

  1. [Maintain Password Rules] タスクを検索して選択します。
  2. [パスワードの有効期限が免除されるシステム ユーザー] フィールドに、作成した ISU を追加します。
  3. [OK] をクリックし、[完了] をクリックします。

セキュリティ ポリシーの変更を有効にする

ドメイン権限の変更を明示的に有効にしてください。有効にしないと、変更が反映されません。

  1. [Activate Pending Security Policy Changes] タスクを検索して選択します。
  2. [コメント] フィールドに、変更の説明を入力します（例: Grant permissions for Datastream Workday integration）。
  3. [OK] をクリックします。
  4. 確認ページで [確認] チェックボックスをオンにします。
  5. [OK] をクリックして変更を有効にします。

API クライアントを作成して設定する

Workday で次のタスクを使用して、Datastream 接続プロファイルに必要な認証情報を生成します。

API クライアントを登録する

  1. Workday の検索バーで、[Register API クライアント for Integrations] タスクを検索して選択します。

  2. API クライアントを構成します。

    1. Datastream 統合の名前を入力します。
    2. [権限付与タイプ] で [Authorization Code Grant] を選択します。
    3. [Access Token Type] で [Bearer] を選択します。
    4. [カスタマイズされたアクセス トークンの有効期限を適用する] チェックボックスをオンにして、任意の有効期限を指定します。

    5. 必要に応じて、[Non-expiring refresh tokens] チェックボックスをオンにして、接続の中断を防ぎます。

    6. [スコープ] で、標準のデータドメインを完全にカバーするために、次の機能領域を含めることをおすすめします。

      • Implementation
      • Jobs & Positions
      • Organizations and Roles
      • Payroll Interface
      • Pre-Hire Process
      • Recruiting
      • Staffing
      • System
      • Talent Pipeline

      必要なスコープは、データのストリーミング元のエンドポイントによって異なります。

    7. [Include Workday owned scope] チェックボックスをオンにします。

  3. [OK] をクリックします。

  4. 生成されたクライアント ID とクライアント シークレットをコピーして保存します。これらの認証情報は、Datastream 接続プロファイルを作成するために必要です。

統合の更新トークンを管理する

  1. クライアントを登録したら、クライアント名の横にある省略記号アイコン (...) をクリックし、[Manage Refresh Tokens for Integrations] を選択します。
  2. 前に作成した統合システム ユーザー（ISU）を選択します。

  3. [新しい更新トークンを生成] をクリックします。

API クライアントのセキュリティ グループを編集する

  1. API クライアントを ISU で使用できるようにするには、[Edit API Client] タスクを検索します。
  2. 登録済みのクライアントを選択し、セキュリティ設定に移動します。
  3. ISU に関連付けられている統合システム セキュリティ グループを、このクライアントの許可されたセキュリティ グループのリストに追加します。

API クライアントを表示

  1. クライアント ID とクライアント シークレットを取得するには、View API Client タスクを検索するか、API クライアントの詳細ページに移動します。
  2. [Client Details] で、[Client ID] を見つけてコピーします。
  3. [Manage Consumer Details] をクリックして、クライアント シークレットを表示してコピーします。

次のステップ