その他 SAML2.0 サービスプロバイダー連携：SCIM2.0 のプロビジョニングを初期設定する
CloudGate UNOのプロビジョニング機能は、Google WorkspaceやMicrosoft 365のようなサービス独自のAPIを利用する方式のほかに、SCIM（System for Cross-domain Identity Management）を利用する方式にも対応しています。
CloudGate UNOはSCIM2.0に対応しているため、連携サービスが同様にSCIM2.0に対応してる場合、本機能によるユーザー情報の連携もご利用できます。本記事では、弊社で動作を確認したサービス（Slack）を例にSCIMプロビジョニングを利用する際の手順をご案内します。
- プロビジョニングに関する説明は、プロビジョニングとは もご参考ください。
- サービス独自のAPIを利用したプロビジョニング設定手順は、サービスプロバイダー連携内からご確認ください。
- 連携サービスがSCIM2.0に対応しているかどうかは、サービスの提供元にご確認ください。一例として、Slackの場合、Provisioning with SCIM 2.0＜外部サイト＞ より、「The SCIM API is only available to Slack workspaces on Business+ or Enterprise Grid plans.」との案内から「Business+」もしくは「Enterprise Grid」プランでSCIMプロビジョニングが利用できます。
SCIM2.0プロビジョニングを設定する
-
連携サービスでSCIM利用に必要な設定および値の取得
連携サービスの管理コンソールやヘルプサイト、提供元への問合せなどから、SCIM利用に必要な手順の確認や設定を実施します。設定完了後は、CloudGate UNO管理者サイトへの設定に必要なベースURI、OAuth ベアラートークンの値を取得します。
-
CloudGate UNO管理者サイトでのプロビジョニング設定
CloudGate UNO管理者サイトで連携サービスから取得した値の設定、およびCloudGate UNOのユーザー情報とサービスのユーザー情報を関連付け（マッピング）します。プロビジョニング可能なサービスのユーザー情報はサービスのヘルプサイトや提供元への問合せなどにて確認します。
-
CloudGate UNOのユーザー情報を連携サービスにプロビジョニングする
連携サービスへの新規ユーザー作成や関連付けしたユーザー情報の更新がプロビジョニングされるのか動作を確認します。
Slackでのプロビジョニング設定手順例
1.連携サービスでSCIM利用に必要な設定および値の取得
Slackではアプリを作成することで、SCIMプロビジョニングに必要な値の取得が可能です。アプリの作成手順はSlackのヘルプサイト Using the Slack SCIM API の Accessing the SCIM API＜外部サイト＞もご参考ください。
-
Create an app：Slackの管理者アカウントでログインし、ヘルプサイトもしくは https://api.slack.com/apps より「Create an app」＞「From scratch」とクリックします。
「App Name」はCloudGate UNOで利用していることが判別可能な任意の名前を入力し、「Pick a workspace to develop your app in」もお客様任意のワークスペースをご選択ください。
-
Add the admin OAuth scope：左側のメニュー「OAuth & Permissions」内の User Token Scopes＞Add an OAuth Scope と進め、「admin 」のスコープを追加します。
-
Install the app：ヘルプサイトのリンク先手順（Installing and authorizing the app）を完了すると、User OAuth Token が確認できる画面が表示されます。CloudGate UNO管理者サイトに設定しますので、表示された値をコピーし、テキストなどに保管します。
- ヘルプサイト内の記述からベースURIが「https://api.slack.com/scim/v2/」となることが確認できます。
・The base URL for all calls to the SCIM API is https://api.slack.com/scim/VERSION/
・The base URL is /scim/v2 instead of /scim/v1.
2.CloudGate UNO管理者サイトでのプロビジョニング設定
（左メニュー）サービスプロバイダー ＞サービスプロバイダータブ / Slack[編集] のプロビジョニング設定タブ で、以下のように各項目の設定ならびに接続確認のテストに成功したら、保存します。
マッピングできるユーザー属性は、SCIM API reference のUser attributes＜外部サイト＞をご参考ください。
| 項目名 | 設定値 | 備考 |
|---|---|---|
| プロビジョニング方法 | SCIM 2.0を選択することで、その他の項目が表示されます。 | |
| ベースURI | 連携サービス側から取得した値を入力します。 Slack例：https://api.slack.com/scim/v2/ |
ベースURIの値は連携サービス側にご確認ください。 |
| OAuth ベアラートークン | 連携サービス側から取得した値を入力します。 Slack例：User OAuth Token を入力します。 |
OAuth ベアラートークンの取得に必要な設定は連携サービス側にご確認ください。 |
| アカウントプロビジョニング | プロビジョニングの利用開始時にOnにします。 | Offの状態でも接続確認テストは可能です。 |
| サービスアカウント削除時の動作 |
CloudGate UNOユーザーとの連携解除などを実施した際に、連携サービス側のアカウントに停止 / 削除いずれかの処理を行いますので、お客様が希望する処理を選択します。 Slack例：停止 |
連携サービス側の仕様によって削除できない場合があります。 |
| パスワード同期 | しない | Google Workspace専用の項目ですので利用しません。 |
| SCIM user resource IDの入力方法 |
自動（推奨）もしくは手動を選択します。 Slack例：自動（推奨） |
SCIM APIのエンドポイントに「GET /Users?filter=」を利用できる場合、自動（推奨）に設定します。「GET /Users?filter=」の利用可否は連携サービス側にご確認ください。 |
| 追加とプロビジョニングのマッピング表 |
CloudGate UNOのユーザー情報を連携サービスのどちらの項目にプロビジョニングするか設定します。 CloudGate UNO：Slack 姓：familyName |
カスタムフィールドを利用することで、お客様任意のCloudGate UNOユーザー属性を作成できます。サービスのユーザー属性に対応する属性がCloudGate UNOにない場合にご利用ください。 |
3.CloudGate UNOのユーザー情報を連携サービスにプロビジョニングする
アカウントプロビジョニングを「On」に設定し、ユーザー作成やマッピングしたユーザー情報の更新などができるか確認します。その他 SAML2.0 サービスプロバイダー連携：ユーザーにサービスアカウント ID を指定 を参考に、まずは1ユーザーでサービスとの連携やユーザー情報の更新をお試しください。
-
SCIM user resource IDの入力方法が「自動（推奨）」：（左メニュー）ユーザー ＞任意のユーザーIDをクリック 連携先サービスのSCIM user resource ID に値が設定されていましたら、設定は完了です。他のユーザーも同様に連携してご利用ください。
- SCIM user resource IDの入力方法が「手動」：連携先サービスから一意の値となるユーザー情報SCIM user resource IDを取得し、連携するCloudGate UNOユーザーのSCIM user resource ID に入力します。その後、ユーザー情報の更新などが可能かご確認ください。
設定方法や設定時にエラーが表示されるなど不明点があれば、CloudGateサポートまでお問合せください。
