チュートリアル: Tableau Cloud を構成し、自動ユーザープロビジョニングに対応させる

[アーティクル]
11/30/2023

このチュートリアルでは、自動ユーザープロビジョニングを構成するために Tableau Cloud と Microsoft Entra ID の両方で行う必要がある手順について説明します。構成すると、Microsoft Entra ID で、Microsoft Entra プロビジョニングサービスを使用して、Tableau Cloud に対するユーザーおよびグループのプロビジョニングおよびプロビジョニング解除が自動的に行われます。このサービスが実行する内容、しくみ、よく寄せられる質問の重要な詳細については、「Microsoft Entra ID による SaaS アプリへのユーザープロビジョニングとプロビジョニング解除の自動化」を参照してください。

サポートされる機能

Tableau Cloud のユーザーを作成する。
アクセスが不要になった Tableau Cloud のユーザーを削除する。
Microsoft Entra ID と Tableau Cloud の間でユーザー属性の同期を維持します。
Tableau Cloud でグループとグループメンバーシップをプロビジョニングする。
Tableau Cloud にシングルサインオンする (推奨)。

前提条件

このチュートリアルで説明するシナリオでは、次の前提条件目があることを前提としています。

Microsoft Entra テナント
アプリケーション管理者ロール、クラウドアプリケーション管理者ロール、またはアプリケーション所有者ロールのいずれか。
Tableau Cloud テナント。
管理者アクセス許可がある Tableau Cloud のユーザーアカウント

Note

Microsoft Entra プロビジョニング統合は、Tableau Cloud REST API に依存しています。この API は Tableau Cloud 開発者が利用できます。

手順 1:プロビジョニングのデプロイを計画する

プロビジョニングサービスのしくみを確認します。
プロビジョニングの対象となるユーザーを決定します。
Microsoft Entra ID と Tableau Cloud の間でマップするデータを決定します。

手順 2: Microsoft Entra ID を使ったプロビジョニングをサポートするように Tableau Cloud を構成する

Microsoft Entra ID で SCIM サポートを有効にするには、次の手順に従います。

SCIM 機能を使用するには、SAML シングルサインオンをサポートするようにサイトを構成する必要があります。まだこれを行っていない場合は、「Microsoft Entra ID で SAML を構成する」の以下のセクションを完了します。
- 手順 1: Tableau Cloud SAML 設定を開きます。
- 手順 2: Tableau Cloud を Microsoft Entra アプリケーションに追加します。
Note

SAML シングルサインオンを設定していない場合、ユーザーの認証方法を Tableau Cloud で SAML から Tableau または Tableau MFA に手動で変更しない限り、ユーザーはプロビジョニングされた後に Tableau Cloud にサインインすることができなくなります。
Tableau Cloud で [設定] > [認証] ページに移動し、[Automatic Provisioning and Group Synchronization (SCIM)](自動プロビジョニングとグループ同期 (SCIM)) の下の [SCIM を有効にする] チェックボックスをオンにします。これにより [ベース URL] ボックスと [シークレット] ボックスに、IdP の SCIM 構成で使用する値が設定されます。

Note

シークレットトークンは、生成されたすぐ後だけ表示されます。 Microsoft Entra ID に適用する前に紛失した場合は、[新しいシークレットを作成する] を選択してください。さらに、シークレットトークンは、SCIM サポートを有効にするサイト管理者の Tableau Cloud ユーザーアカウントに関連付けられています。そのユーザーのサイトロールが変更されたり、サイトから削除されたりすると、シークレットトークンは無効になり、別のサイト管理者が新しいシークレットトークンを生成して Microsoft Entra ID に適用する必要があります。

手順 3: Microsoft Entra アプリケーションギャラリーから Tableau Cloud を追加する

Microsoft Entra アプリケーションギャラリーから Tableau Cloud を追加して、Tableau Cloud へのプロビジョニングの管理を開始します。 SSO のために Tableau Cloud を以前に設定している場合は、その同じアプリケーションを使用できます。ただし、統合を初めてテストするときは、別のアプリを作成することをお勧めします。ギャラリーからアプリケーションを追加する方法の詳細については、こちらを参照してください。

手順 4:プロビジョニングの対象となるユーザーを定義する

Microsoft Entra プロビジョニングサービスを使用すると、アプリケーションへの割り当てやユーザーとグループの属性に基づいてプロビジョニングされるユーザーのスコープを設定できます。割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合、以下の手順を使用して、ユーザーとグループをアプリケーションに割り当てることができます。ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合、こちらで説明されているスコープフィルターを使用できます。

小さいところから始めましょう。全員にロールアウトする前に、少数のユーザーとグループでテストします。プロビジョニングのスコープが割り当て済みユーザーとグループに設定される場合、これを制御するには、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てます。スコープがすべてのユーザーとグループに設定されている場合は、属性ベースのスコープフィルターを指定できます。
追加のロールが必要な場合は、アプリケーションマニフェストを更新して新しいロールを追加できます。

Recommendations

Tableau Cloud には、ユーザーに割り当てられている最高の特権ロールのみが格納されます。つまり、あるユーザーが 2 つのグループに割り当てられている場合、そのユーザーのロールには最も高い権限を持つロールが反映されます。

ロールの割り当てを把握するために、ロールの割り当てに 2 つの目的別のグループを作成することができます。たとえば、Tableau – Creator、Tableau – Explorer のようなグループを作成できます。すると、割り当ては次のようになります。

Tableau – Creator: Creator
Tableau – Explorer: Explorer
など

プロビジョニングが設定されたら、ロールの変更を直接 Microsoft Entra ID で編集する必要があります。そうしないと、Tableau Cloud と Azure Microsoft Entra ID の間でロールの不一致が発生する可能性があります。

有効な Tableau サイトロールの値

Azure portal の [ロールを選択] ページで、有効になっている Tableau サイトロールの値は Creator、SiteAdministratorCreator、Explorer、SiteAdministratorExplorer、ExplorerCanPublish、Viewer、Unlicensed などです。

上記の一覧にないロール、たとえばレガシ (v2018.1 より前) のロールなどを選択すると、エラーが発生します。

手順 5: Tableau Cloud への自動ユーザープロビジョニングを構成する

このセクションでは、Microsoft Entra ID でのユーザーとグループの割り当てに基づいて、Tableau Cloud でユーザーとグループが作成、更新、無効化されるように、Microsoft Entra プロビジョニングサービスを構成する手順について説明します。

ヒント

Tableau Cloud に対する SAML ベースのシングルサインオンを有効にする必要があります。 Tableau Cloud のシングルサインオンに関するチュートリアルの手順に従ってください。 SAML が有効になっていない場合、プロビジョニングされたユーザーはサインインできません。

Microsoft Entra ID で Tableau Cloud の自動ユーザープロビジョニングを構成するには:

クラウドアプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズアプリケーション] の順に移動します
アプリケーションの一覧で [Tableau Cloud] を選択します。
[プロビジョニング] タブを選択します。
[プロビジョニングモード] を [自動] に設定します。
[管理者資格情報] セクションで、Tableau Cloud の [テナントの URL] と [シークレットトークン] を入力します。 [接続テスト] をクリックして、Microsoft Entra ID で Tableau Cloud に接続できることを確認します。接続できない場合は、使用中の Tableau Cloud アカウントに管理者アクセス許可があることを確認してから、もう一度試します。

Note

認証方法には、ベアラー認証と基本認証という 2 つのオプションがあります。ベアラー認証を選択していることを確認します。基本認証は SCIM 2.0 エンドポイントでは機能しません。
[通知用メール] フィールドに、プロビジョニングのエラー通知を受け取るユーザーまたはグループの電子メールアドレスを入力して、 [エラーが発生したときにメール通知を送信します] チェックボックスをオンにします。
[保存] を選択します。
[マッピング] セクションで、[Microsoft Entra ユーザーを Tableau Cloud に同期する] を選択します。
[属性マッピング] セクションで、Microsoft Entra ID から Tableau Cloud に同期されるユーザー属性を確認します。 [照合] プロパティとして選択されている属性は、更新処理で Tableau Cloud のユーザーアカウントとの照合に使用されます。一致する対象の属性を変更する場合は、その属性に基づいたユーザーのフィルター処理が確実に Tableau Cloud API でサポートされているようにする必要があります。 [保存] ボタンをクリックして変更をコミットします。

属性 Type フィルター処理のサポート Tableau Cloud で必須

userName String ✓ ✓

active Boolean

roles String
[マッピング] セクションで、[Microsoft Entra グループを Tableau Cloud に同期する] を選択します。
[属性マッピング] セクションで、Microsoft Entra ID から Tableau Cloud に同期されるグループ属性を確認します。 [照合] プロパティとして選択されている属性は、更新処理で Tableau Cloud のグループとの照合に使用されます。 [保存] ボタンをクリックして変更をコミットします。

属性 Type フィルター処理のサポート Tableau Cloud で必須

displayName String ✓

members リファレンス
スコープフィルターを構成するには、スコープフィルターのチュートリアルの次の手順を参照してください。
Tableau Cloud に対して Microsoft Entra プロビジョニングサービスを有効にするには、[設定] セクションで [プロビジョニングの状態] を [オン] に変更します。
[設定] セクションの [スコープ] で目的の値を選択して、Tableau Cloud にプロビジョニングするユーザーとグループを定義します。
プロビジョニングの準備ができたら、 [保存] をクリックします。

属性	Type	フィルター処理のサポート	Tableau Cloud で必須
userName	String	✓	✓
active	Boolean
roles	String

属性	Type	フィルター処理のサポート	Tableau Cloud で必須
displayName	String	✓
members	リファレンス

この操作により、 [設定] セクションの [スコープ] で定義したすべてのユーザーとグループの初期同期サイクルが開始されます。初期サイクルは次からのサイクルよりも完了に時間がかかります。後続のサイクルは、Microsoft Entra のプロビジョニングサービスが実行されている限り約 40 分ごとに実行されます。

Tableau Cloud アプリケーションを更新して Tableau Cloud SCIM 2.0 エンドポイントを使用できるようにする

2022 年 6 月、Tableau は SCIM 2.0 コネクタをリリースしました。以下の手順を完了すると、Tableau API エンドポイントを使用するように構成されたアプリケーションが、SCIM 2.0 エンドポイントを使用するように更新されます。これらの手順により、Tableau Cloud アプリケーションに対してこれまでに行われたカスタマイズが削除されます。これには次が含まれます。

認証の詳細 (SSO に使用される資格情報ではなく、プロビジョニングに使用される資格情報)
スコープフィルター
カスタム属性マッピング

Note

以下の手順を完了する前に、上記の設定に加えた変更を必ずメモしておいてください。そうしないと、カスタマイズされた設定が失われる可能性があります。

クラウドアプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズアプリケーション]>[Tableau Cloud] に移動します。
新しいカスタムアプリの [プロパティ] セクションで、[オブジェクト ID] をコピーします。
新しい Web ブラウザーウィンドウで https://developer.microsoft.com/graph/graph-explorer に移動し、アプリの追加先の Microsoft Entra テナントの管理者としてサインインします。
使用されているアカウントに適切なアクセス許可が付与されていることを確認します。この変更を行うには、アクセス許可 "Directory.ReadWrite.All" が必要です。
前にアプリから選択したオブジェクト ID を使用して、次のコマンドを実行します。

GET https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/
上記の GET 要求の応答本文から "id" 値を取得し、次のコマンドを実行します。"[job-id]" は GET 要求からの id 値で置き換える必要があります。値は、"Tableau.xxxxxxxxxxxxxxx.xxxxxxxxxxxxxxx" という形式にする必要があります。

DELETE https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs/[job-id]
Graph エクスプローラーで、次のコマンドを実行します。 "[object-id]" を、手順 3 でコピーしたサービスプリンシパル ID (オブジェクト ID) に置き換えます。

POST https://graph.microsoft.com/beta/servicePrincipals/[object-id]/synchronization/jobs { "templateId": "TableauOnlineSCIM" }
最初の Web ブラウザーウィンドウに戻り、アプリケーションの [プロビジョニング] タブを選択します。構成がリセットされます。アップグレードが実行されたことは、ジョブ ID が TableauOnlineSCIM で始まっていることで確認できます。
[管理者資格情報] セクションで、認証方法として [ベアラー認証] を選び、プロビジョニングする Tableau インスタンスのテナント URL とシークレットトークンを入力します。
アプリケーションに対して加えた以前の変更 (認証の詳細、スコープフィルター、カスタム属性マッピング) を復元し、プロビジョニングを再び有効にします。