SCIM プロビジョニング - Okta

SCIM プロビジョニングにより、SCIM プロトコルを介したグループの自動管理が可能になります。 このトピックでは、Okta を使用して SCIM プロビジョニングを設定する手順について説明します。

このトピックでは、IdP の SCIM 構成について概要を説明します。 組織の要件に基づいて SCIM プロビジョニングを設定するには、該当する IdP ドキュメントをご参照ください。

重要

Okta の SCIM プロビジョニングを設定する前に、次の情報に注意してください。

  • SCIM プロビジョニングでは SAML ベースの認証のみをサポートしています。
  • SCIM プロビジョニングを使用するには、外部認証が設定され、アクティブになっていることを確認してください。 詳細については、「Okta 認証 (SAML)」をご参照ください。
  • 構成の前に、アプリ割り当て用とグループ プッシュ用に個別のグループを作成してください。 Okta は、アプリ割り当てとグループ プッシュに同じグループを使用することはサポートしていません。
  • アプリ割り当ては、下流のアプリケーションでユーザを作成するために使用されます。 グループ プッシュは、下流のアプリケーションでグループを作成し、グループ メンバーシップを管理するために使用されます。

  • SCIM プロビジョニングが Ivanti Neurons で想定どおりに機能するように、アプリ割り当てのユーザと、グループ プッシュのユーザを同一にしてください。

SCIM プロビジョニングの構成と有効化

  1. Ivanti Neurons で、[管理] > [認証] に移動します。
    [認証] ページが表示されます。
  2. [SCIM プロビジョニング] セクションで、[構成と有効化] をクリックします。
    [SCIM 構成] ページが表示されます。 SCIM プロビジョニングを設定するための認証資格情報と URL が表示されます。

[SCIM 構成] ページを閉じないでください。 「手順3 - 新しいプロビジョニング構成の作成」で構成をプロビジョニングするときに、これらのパラメータをコピーできます。

  1. Okta 管理コンソールに管理者としてログインします。
  2. サイドバー メニューで、[アプリケーション] セクションを展開し、[アプリケーション] を選択します。
    [アプリケーション] ページが表示されます。
  3. 作成したアプリ統合を選択し、[全般] タブに移動し、[編集] をクリックして、[アプリ設定] セクション で [SCIM] を選択し、[保存] をクリックします。
    [プロビジョニング] タブがアプリケーションに追加されました。
  1. [プロビジョニング] タブに移動し、[統合] を選択して、[編集] をクリックします。
  2. [SCIM 接続] セクションで:
    1. [ユーザの一意の ID フィールド] に、userName と入力します。
    2. [サポートされるプロビジョニング アクション] のすべてのオプションを有効にします。
    3. [認証モード] ドロップダウン リストから [OAuth 2] オプションを選択します。
      [OAuth 2] セクションが表示されます。
    4. [付与タイプ] ドロップダウン リストから [クライアント資格情報] オプションを選択します。
    5. 「手順1 - SCIM プロビジョニング パラメータの取得」での Ivanti Neurons からのパラメータを、コピーして貼り付けます。 Ivanti Neurons と Okta 管理コンソール間のフィールド マッピングについては、次の表をご参照ください。
      Okta 管理コンソールSCIM 構成ペイン (Ivanti Neurons)
      SCIM コネクタのベース URL Neurons SCIM URL
      アクセス トークン エンドポイント URINeurons 認証 Url
      クライアント IDクライアント ID
      クライアント シークレットクライアント シークレット
  3. [保存] をクリックします。
    接続が自動的にテストされます。
  4. [プロビジョニング] タブで、[接続先アプリ] を選択し、[編集] をクリックします。
  5. [ユーザの作成]、[更新されたユーザ属性]、および [ユーザの非アクティブ化] オプションを有効にします。 次に、[保存] をクリックします。
  1. [割り当て] タブに移動します。
  2. [割り当て] ドロップダウン リストから [グループに割り当て] オプションを選択します。
    [グループの割り当て] ペインが表示されます。
  3. 含めるグループの横にある [割り当て] をクリックし、[完了] をクリックします。 次に、[保存して戻る] をクリックします。
  4. [完了] をクリックします。
    選択したグループがアプリケーションに割り当てられ、[割り当て] タブで確認できます。

グループが割り当てられると、そのグループのメンバーは [ユーザ（複数)] セクションにリストされます。

  1. [グループをプッシュ] タブに移動します。
  2. [グループをプッシュ] ドロップダウン リストから、[名前でグループを検索] オプションを選択します。
    [グループをプッシュ] ページが表示されます。
  3. [名前でグループをプッシュ] セクションで、グループを検索して選択し、プッシュ グループとして割り当てます。
  4. [保存] をクリックします。
    または、[保存してもう1つ追加] をクリックして 、さらにプッシュ グループを追加します。
    このアクションによりグループがプッシュされ、プッシュ ステータスを確認できるようになります。

プッシュが完了すると、Ivanti Neurons の [認証] モジュールにある [SCIM 自動プロビジョニングの概要] セクションの下にグループが作成されます。

ロールを割り当てるには、次の手順に従います。

  1. [管理] > [アクセス コントロール] に移動します。
  2. [グループ] タブに移動します。
    これにより、既存のグループと新しく追加されたグループのリストが表示されます。

    [メンバー] 列には、ロールを持つグループからログインしたユーザの数と、そのグループに直接招待されたメンバーの数が表示されます。
    [メンバー構成] 列は、そのグループにロールを割り当てられているかどうかに関係なく、そのグループのユーザの数を示します。

    [メンバー] 列のカウントを解釈するには、次の情報に注意してください。

    • グループにロールが割り当てられ、そのグループのユーザがログインしている場合にのみ、グループのメンバー数はゼロ以外になります。

    • 直接招待されたメンバー (承諾されなかった招待を含む) がロールを持つグループのユーザである場合、そのメンバーはメンバー数に含まれます。

  3. [グループ] タブでは、次の操作を実行できます。
    • ロール ベースのアクセス コントロール (RBAC)を割り当てるには: 必要なグループを選択し、次に [グループへのロールの割り当て] オプションをクリックし、割り当てるロールを選択し、[保存] をクリックします。
    • Ivanti Neurons 経由でメンバー ログインを認証するには: グループの [認証できる] 列のチェックボックスを有効にし、[認証設定の保存] をクリックします。
    • グループ内のすべてのメンバーへのアクセスを拒否するには: グループの [認証できる] 列のチェックボックスを無効にします。

変更が保存されると、ユーザは以下に基づいてログインできます。

  • [認証できる] オプションが有効になっているグループのユーザは、Ivanti Neurons 経由で認証し、ログインできます。

  • グループにロールが割り当てられている場合、[認証できる] オプションが自動的に有効になります。 ロールを持つグループのユーザは、各自のロールでログインし、Ivanti Neurons にアクセスできます。

  • [認証できる] オプションは有効になっているが、ロールが割り当てられていないグループがある場合、そのグループのユーザはログインできますが、Ivanti Neurons コンテンツへのアクセスは制限されます。

  • [認証できる] オプションが無効になっているグループの場合、そのグループのユーザは Ivanti Neurons にアクセスできません。

  • ユーザが割り当てられたロールでログインすると、[メンバー] ページには、ロールを持つグループのユーザが表示されます。