カスタム SCIM プロファイルを使用してユーザーの自動プロビジョニングを設定する（ベータ版）

カスタム SCIM プロファイルを使用したユーザーの自動プロビジョニングは、限られた数の参加者のみが利用できるベータ版機能です。アプリの詳細ページに [自動プロビジョニング] が表示されない場合、そのアプリは組織でまだ利用できません。

カスタム SCIM プロファイルを使用した自動ユーザー プロビジョニングを使用すると、SCIM 2.0 をサポートするカスタムまたは事前統合された SAML アプリでユーザー アカウントを自動的に設定、管理できます。

始める前に

カスタム SCIM プロファイルを設定するには、次のものが必要です。

• 特権管理者ロールを持つ Cloud Identity アカウント。詳しくは、既定の管理者ロールをご確認ください。
• 管理コンソールでユーザー向けに設定され、有効になっているカスタムまたは統合対応の SAML アプリ

アプリには、次の条件を満たす SCIM サーバーが必要です。

• SCIM バージョン 2.0 をサポート
• 標準の HTTP メソッド（POST、GET、PATCH（PUT へのフォールバックあり）、DELETE など）を使用します。
• 署名なしトークン認証をサポートします。OAuth トークン認証はサポートされていません。

カスタム SCIM プロファイルを使用してユーザーの自動プロビジョニングを設定する

1. Google 管理コンソールで、メニュー アイコン [アプリ] [ウェブアプリとモバイルアプリ] に移動します。

   [ウェブアプリとモバイルアプリ] に移動

   この操作を実施するには、特権管理者としてログインする必要があります。

2. SAML アプリの名前をクリックします。
3. [自動プロビジョニング] で [自動プロビジョニングを設定] をクリックします。
4. [アクセス トークン] にアプリの署名なしトークンを入力し、[続行] をクリックします。
5. [エンドポイント URL] 欄にアプリの SCIM エンドポイント URL を入力し、[続行] をクリックします。Google は SCIM エンドポイントに接続して、サポートされている属性を自動的に検出します。
6. Google ディレクトリの属性を対応するアプリの属性にマッピングします。アプリがスキーマ検出をサポートしている場合、検出された属性がテーブルに事前入力されます。カスタム属性を手動でマッピングするには、[マッピングを追加] をクリック 完了したら [続行] をクリックします。
7. （省略可）グループを追加しない場合、SAML アプリへのアクセス権を持つすべてのユーザーがプロビジョニングされます。自動プロビジョニングを特定のユーザー グループに制限するには:
   • [グループを検索] で、グループ名の文字を 1 つ以上入力し、グループ名を選択して、スコープを選択します。
   • グループを追加します。
   • （省略可）グループを削除するには、[削除] をクリックします。
     グループにセカンダリ ドメインのユーザーまたは組織外のユーザーが含まれている場合、それらのユーザーはプロビジョニングされません。
8. ユーザーに対してアプリを無効にした後、または Google Workspace アカウントが停止または削除された後に、ユーザーがアプリにアクセスできる期間を指定します。アカウントを一時停止するか、完全に削除するか、一時停止してから完全に削除するかを選択できます。遅延期間は、アクションごとに個別に設定できます。
   1. 必要に応じて、次の各イベントのオプションを選択します。
      • ユーザーのアプリがオフになった場合
      • ユーザーが Google で停止された場合
      • ユーザーが Google から削除された場合
        ユーザー アカウントを停止すると、そのアカウントは非アクティブとしてマークされます。ユーザー アカウントを完全に削除すると、そのアカウントはアプリから完全に削除されます。ユーザーのアカウントを完全に削除する前に、必ず猶予期間を設定してください。停止と削除について詳しくは、デプロビジョニングの期間を編集するをご覧ください。
   2. [続行] をクリックします。

9. 接続をテストします。

   1. [Google Directory user] で、アプリにアカウントを持っていないユーザーを検索して選択します。

   2. [テスト] をクリックします。
      

      Google がアプリ内でユーザーのアカウントを作成、更新、削除します。各オペレーションには、[成功]、[失敗]、[未実行] のいずれかが表示されます。オペレーションが失敗した場合は、HTTP コード、SCIM エラータイプ、アプリの [未加工のレスポンスを表示] の詳細を確認します。
      

      注: ユーザーがすでに存在しているなどの理由で、アプリが新規ユーザーに対して 201 Created を返さない場合、ユーザーの作成は失敗し、Google は更新オペレーションと削除オペレーションをスキップします。Delete User が失敗した場合は、アプリでテスト アカウントを手動で削除します。

10. [完了] をクリックします。
    テストが失敗した場合でも、[完了] をクリックして、後で再度テストできます。このステップでは構成を保存しますが、自動プロビジョニングは有効になりません。有効にするには、アプリの詳細ページ [自動プロビジョニング] に移動し、切り替えボタンを [有効] に設定します。
    注: ユーザーに対してアプリがオンになっていない場合、この設定は無効になります。自動プロビジョニングを有効にするには、[ユーザー アクセス] をクリックしてアプリをオンにします。

プロビジョニング情報を編集する

自動プロビジョニングを無効にして設定情報を削除する

設定情報を失うことなく、アプリの自動プロビジョニングを無効にできます。自動プロビジョニングを無効にして、設定情報をすべて削除できます。

使用状況に関する情報を確認する

• 自動プロビジョニングを有効にすると、使用状況に関する情報を確認できます。詳しくは、ユーザーの自動プロビジョニングの管理をご覧ください。
• 過去 30 日間の利用情報が表示されます。

管理ログイベント	説明
自動プロビジョニングによるユーザーの作成	自動プロビジョニングによって作成されたユーザー
自動プロビジョニングされたユーザーの更新	自動プロビジョニングによって更新されたユーザー
自動プロビジョニングされたユーザーの停止	自動プロビジョニングによって停止されたユーザー
自動プロビジョニングされたユーザーの停止解除	自動プロビジョニングによって再アクティブ化されたユーザー
自動プロビジョニングされたユーザーの完全削除	自動プロビジョニングによって削除されたユーザー
失敗	失敗したリクエスト

自動プロビジョニングが機能しなくなった場合

Google がアプリに接続できなくなると、自動プロビジョニングは機能しなくなります。たとえば、署名なしトークンの有効期限が切れたか、取り消された場合、またはアプリの SCIM URL が変更された場合です。この問題を解決するには、トークンまたは URL を更新します。

1. Google 管理コンソールで、メニュー アイコン [アプリ] [ウェブアプリとモバイルアプリ] に移動します。

   [ウェブアプリとモバイルアプリ] に移動

   この操作を実施するには、特権管理者としてログインする必要があります。

2. SAML アプリの名前をクリックします。
3. [自動プロビジョニング] をクリックします。
4. 署名なしトークンを更新するには:
   1. [アプリの承認] で [再承認] をクリックします。
   2. [アクセス トークン] に、アプリから新しい署名なしトークンを貼り付けます。
   3. [再承認] をクリックします。
5. SCIM ベース URL を更新するには、[エンドポイント URL] で [編集] をクリックし、新しい URL を入力して [更新] をクリックします。
6. （省略可）接続を確認するには、[接続をテスト] で [テスト] をクリックします。

自動プロビジョニングが機能しなくなるその他の理由について詳しくは、アプリのドキュメントをご覧ください。