チュートリアル: 自動ユーザー プロビジョニング対応に Cerby を構成する

  • [アーティクル]

このチュートリアルでは、自動ユーザー プロビジョニングを構成するために Cerby と Microsoft Entra ID の両方で行う必要がある手順について説明します。 構成すると、Microsoft Entra ID で、Microsoft Entra プロビジョニング サービスを使用して、Cerby に対するユーザーおよびグループのプロビジョニングおよびプロビジョニング解除が自動的に行われます。 このサービスが実行する内容、しくみ、よく寄せられる質問の重要な詳細については、「Microsoft Entra ID による SaaS アプリへのユーザー プロビジョニングとプロビジョニング解除の自動化」を参照してください。

サポートされる機能

  • Cerby でユーザーを作成する
  • アクセスが不要になった場合に Cerby のユーザーを削除する
  • Microsoft Entra ID と Cerby の間でユーザー属性の同期を維持する
  • Cerby でグループとグループ メンバーシップをプロビジョニングします。
  • Cerby へのシングル サインオン (推奨)。

前提条件

このチュートリアルで説明するシナリオでは、次の前提条件目があることを前提としています。

手順 1:プロビジョニングのデプロイを計画する

  1. プロビジョニング サービスのしくみを確認します。
  2. プロビジョニングの対象となるユーザーを決定します。
  3. Microsoft Entra ID と Cerby の間でマップするデータを決定します。

手順 2: Microsoft Entra ID を使用したプロビジョニングをサポートするように Cerby を構成する

Cerby では、Microsoft Entra ID 用のプロビジョニングのサポートが既定で有効になっています。 次の手順のようにして、SCIM API 認証トークンを取得することだけが必要です。

  1. 対応する Cerby ワークスペースにログインします。

  2. 左側のナビゲーション メニューの一番下にある [Hi there < user >!](<ユーザー> さん、こんにちは!) ボタンをクリックします。 ドロップダウン メニューが表示されます。

  3. ドロップダウン メニューから、アカウントに関連する [Workspace Configuration](ワークスペースの構成) オプションを選びます。 [Workspace Configuration](ワークスペースの構成) ページが表示されます。

  4. [IDP Settings](IDP 設定) タブをアクティブにします。

  5. [IDP Settings](IDP 設定) タブの [Directory Sync](ディレクトリ同期) セクションにある [View Token](トークンの表示) ボタンをクリックします。ID の確認を待つポップアップ ウィンドウが表示され、プッシュ通知が Cerby モバイル アプリケーションに送信されます。 重要: ID を確認するには、プッシュ通知を受信するために、Cerby モバイル アプリケーションをインストールしてログインする必要があります。

  6. Cerby モバイル アプリケーションの [Confirmation Request](確認要求) 画面で [It's me!](自分です) ボタンをクリックして、ID を確認します。 Cerby ワークスペースのポップアップ ウィンドウが閉じて、[Show Token](トークンの表示) ポップアップ ウィンドウが表示されます。

  7. [Copy](コピー) ボタンをクリックして、SCIM トークンをクリップボードにコピーします。

    ヒント

    いつでもトークンをコピーできるように、[Show Token](トークンの表示) ポップアップ ウィンドウを開いたままにします。 Microsoft Entra ID でプロビジョニングを構成するには、トークンが必要です。

Microsoft Entra アプリケーション ギャラリーから Cerby を追加して、Cerby へのプロビジョニングの管理を開始します。 SSO のために Cerby を以前に設定している場合は、同じアプリケーションを使用できます。 ただし、統合を初めてテストするときは、別のアプリを作成することをお勧めします。 ギャラリーからアプリケーションを追加する方法の詳細については、こちらを参照してください。

手順 4:プロビジョニングの対象となるユーザーを定義する

Microsoft Entra プロビジョニング サービスを使用すると、アプリケーションへの割り当てやユーザーとグループの属性に基づいてプロビジョニングされるユーザーのスコープを設定できます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合、以下の手順を使用して、ユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合、こちらで説明されているスコープ フィルターを使用できます。

  • 小さいところから始めましょう。 全員にロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当て済みユーザーとグループに設定される場合、これを制御するには、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てます。 スコープがすべてのユーザーとグループに設定されている場合は、属性ベースのスコープ フィルターを指定できます。

  • 追加のロールが必要な場合は、アプリケーション マニフェストを更新して新しいロールを追加できます。

手順 5: Cerby への自動ユーザー プロビジョニングを構成する

このセクションでは、Microsoft Entra ID でのユーザー割り当てとグループ割り当てに基づいて、Cerby でユーザーとグループが作成、更新、無効化されるように Microsoft Entra プロビジョニング サービスを構成する手順について説明します。

Microsoft Entra ID で Cerby の自動ユーザー プロビジョニングを構成するには:

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します

    Enterprise applications blade

  3. アプリケーションの一覧で [Cerby] を選択します。

    The Cerby link in the Applications list

  4. [プロビジョニング] タブを選択します。

    Provisioning tab

  5. [プロビジョニング モード] を [自動] に設定します。

    Provisioning tab automatic

  6. [管理者資格情報] セクションで、Cerby テナント URL および前に取得した SCIM API 認証トークンとして、「https://api.cerby.com/v1/scim/v2」と入力します。

  7. [接続テスト] をクリックして、Microsoft Entra ID で Cerby に接続できることを確認します。 接続できない場合は、Cerby アカウントに管理者アクセス許可があることを確認してから、もう一度試します。

    Token

  8. [通知用メール] フィールドに、プロビジョニングのエラー通知を受け取るユーザーまたはグループの電子メール アドレスを入力して、 [エラーが発生したときにメール通知を送信します] チェック ボックスをオンにします。

    Notification Email

  9. [保存] を選択します。

  10. [マッピング] セクションで、[Microsoft Entra ユーザーを Cerby に同期する] を選択します。

  11. [属性マッピング] セクションで、Microsoft Entra ID から Cerby に同期されるユーザー属性を確認します。 [Matching](一致) プロパティとして選ばれている属性は、更新操作用に Cerby のユーザー アカウントを一致させるために使われます。 一致する対象の属性を変更する場合は、その属性に基づいたユーザーのフィルター処理が確実に Cerby API でサポートされているようにする必要があります。 [保存] ボタンをクリックして変更をコミットします。

    属性 Type フィルター処理のサポート Cerby で必要
    userName String ✓ ✓
    emails[type eq "work"].value String ✓ ✓
    active Boolean ✓
    name.givenName String ✓
    name.familyName String ✓
    externalId String

  12. [マッピング] セクションで [Synchronize Microsoft Entra groups to Cerby] (Microsoft Entra グループを Cerby に同期する) を選びます。

  13. [属性マッピング] セクションで、Microsoft Entra ID から Cerby に同期されるグループ属性を確認します。 [Matching] (照合) プロパティとして選択されている属性は、更新処理で Cerby のグループとの照合に使用されます。 [保存] ボタンをクリックして変更をコミットします。

    属性 Type フィルター処理のサポート Cerby で必要
    displayName String ✓ ✓
    externalId String
    members リファレンス

  14. スコープ フィルターを構成するには、スコープ フィルターのチュートリアルの次の手順を参照してください。

  15. Cerby に対して Microsoft Entra プロビジョニング サービスを有効にするには、[設定] セクションで [プロビジョニングの状態] を [オン] に変更します。

    Provisioning Status Toggled On

  16. [設定] セクションの [スコープ] で目的の値を選んで、Cerby にプロビジョニングするユーザーとグループを定義します。

    Provisioning Scope

  17. プロビジョニングの準備ができたら、 [保存] をクリックします。

    Saving Provisioning Configuration

この操作により、 [設定] セクションの [スコープ] で定義したすべてのユーザーとグループの初期同期サイクルが開始されます。 初期サイクルは次からのサイクルよりも完了に時間がかかります。後続のサイクルは、Microsoft Entra のプロビジョニング サービスが実行されている限り約 40 分ごとに実行されます。

手順 6:デプロイを監視する

プロビジョニングを構成したら、次のリソースを使用してデプロイを監視します。

  • プロビジョニング ログを使用して、正常にプロビジョニングされたユーザーと失敗したユーザーを特定します。
  • 進行状況バーを確認して、プロビジョニング サイクルの状態と完了までの時間を確認します
  • プロビジョニング構成が異常な状態になったと考えられる場合、アプリケーションは検疫されます。 検疫状態の詳細については、こちらを参照してください。

トラブルシューティングのヒント

SCIM API 認証トークンをもう一度生成する必要がある場合は、次の手順のようにします。

  1. Cerby サポート チームに、要求を含むメールを送信します。 Cerby チームが SCIM API 認証トークンをもう一度生成します。

  2. Cerby から応答メールを受け取り、トークンが正常に再生成されたことを確認します。

  3. Cerby から SCIM API 認証トークンを取得する方法に関する記事の手順を完了して、新しいトークンを取得します。

    注意

    Cerby チームは、現在、SCIM API 認証トークンを生成し直すためのセルフサービス ソリューションを開発しています。 トークンをもう一度生成するには、Cerby チームのメンバーが ID を検証する必要があります。

ログの変更

  • 2024 年 1 月 2 日 - グループ プロビジョニングのサポートを追加しました。

その他のリソース

次のステップ