この記事では、自動ユーザー プロビジョニングを構成するために Palo Alto Networks SCIM Connector と Microsoft Entra ID の両方で実行する必要がある手順について説明します。 構成すると、Microsoft Entra ID は、Microsoft Entra プロビジョニング サービスを使用して、ユーザーとグループを Palo Alto Networks SCIM Connector に自動的にプロビジョニングおよびプロビジョニング解除します。 このサービスの機能、しくみ、よく寄せられる質問の重要な詳細については、「 Microsoft Entra ID を使用して SaaS アプリケーションへのユーザー プロビジョニングとプロビジョニング解除を自動化する」を参照してください。
サポートされている機能
- Palo Alto Networks SCIM Connector でユーザーを作成する。
- アクセスが不要になったら、Palo Alto Networks SCIM Connector のユーザーを削除します。
- Microsoft Entra ID と Palo Alto Networks SCIM Connector の間でユーザー属性の同期を維持する。
- Palo Alto Networks SCIM Connector でグループとグループ メンバーシップをプロビジョニングする。
[前提条件]
この記事で説明するシナリオでは、次の前提条件が既にあることを前提としています。
- Microsoft Entra テナント。
- アプリケーション管理者、クラウド アプリケーション管理者、またはアプリケーション所有者のいずれかのロール。
- 管理者権限を持つ Palo Alto Networks のユーザー アカウント。
手順 1: プロビジョニングデプロイメントを計画する
- プロビジョニング サービスのしくみについて説明します。
- プロビジョニングの対象範囲にいるユーザーを決定します。
- Microsoft Entra ID と Palo Alto Networks SCIM Connector の間でマップするデータを決定します。
手順 2: Microsoft Entra ID でのプロビジョニングをサポートするように Palo Alto Networks SCIM Connector を構成する
SCIM URL と対応するトークンを取得するには、Palo Alto Networks カスタマー サポートにお問い合わせください。
手順 3: Microsoft Entra アプリケーション ギャラリーから Palo Alto Networks SCIM Connector を追加する
Microsoft Entra アプリケーション ギャラリーから Palo Alto Networks SCIM Connector を追加して、Palo Alto Networks SCIM Connector へのプロビジョニングの管理を開始します。 以前に Palo Alto Networks SCIM Connector を SSO 用に設定している場合は、同じアプリケーションを使用できます。 ただし、最初に統合をテストするときは、別のアプリを作成することをお勧めします。 ギャラリーからのアプリケーションの追加の詳細については、 こちらをご覧ください。
手順 4: プロビジョニングのスコープに含まれるユーザーを定義する
Microsoft Entra プロビジョニング サービスを使用すると、アプリケーションへの割り当てに基づいて、またはユーザーまたはグループの属性に基づいてプロビジョニングされるユーザーをスコープできます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合は、 手順を使用してユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合は、 スコープ フィルターを使用できます。
小規模から始めます。 すべてのユーザーとグループにロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当てられたユーザーとグループに設定されている場合は、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てることで、これを制御できます。 スコープがすべてのユーザーとグループに設定されている場合は、 属性ベースのスコープ フィルターを指定できます。
追加のロールが必要な場合は、 アプリケーション マニフェストを更新 して新しいロールを追加できます。
手順 5: Palo Alto Networks SCIM Connector への自動ユーザー プロビジョニングを構成する
このセクションでは、Microsoft Entra ID でのユーザー割り当てやグループ割り当てに基づいて、Palo Alto Networks SCIM Connector でユーザーが作成、更新、無効化されるように Microsoft Entra プロビジョニング サービスを構成する手順について説明します。
Microsoft Entra ID で Palo Alto Networks SCIM Connector に対して自動ユーザー プロビジョニングを構成するには、次のようにします。
Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。
Entra ID>Enterprise アプリにブラウズする
アプリケーションの一覧で Palo Alto Networks SCIM Connector を選択します。
[プロビジョニング] タブ を 選択します。
![[プロビジョニング] タブ](common/provisioning.png)
[プロビジョニング モード] を[自動] に設定します。
[ 管理者資格情報 ] セクションで、Palo Alto Networks SCIM コネクタのテナント URL とシークレット トークンを入力します。 [ テスト接続] を選択して、Microsoft Entra ID が Palo Alto Networks SCIM Connector に接続できることを確認します。 接続できない場合は、使用している Palo Alto Networks アカウントに管理者アクセス許可があることを確実にしてから、もう一度試します。
[ 通知メール ] フィールドに、プロビジョニング エラー通知を受け取るユーザーまたはグループのメール アドレスを入力し、[ エラーが発生したときに電子メール通知を送信 する] チェック ボックスをオンにします。
[保存] を選択します。
[マッピング] セクション で 、[ Microsoft Entra ユーザーを Palo Alto Networks SCIM Connector に同期する] を選択します。
[属性マッピング] セクションで、Microsoft Entra ID から Palo Alto Networks SCIM Connector に同期されるユーザー 属性 を確認します。 [照合プロパティ] として選択されている属性は、更新操作で Palo Alto Networks SCIM Connector のユーザー アカウントとの照合に使用されます。 一致するターゲット属性を変更する場合は、Palo Alto Networks SCIM Connector API がその属性に基づくユーザーのフィルター処理をサポートしていることを確認する必要があります。 [ 保存 ] ボタンを選択して変更をコミットします。
特性 タイプ フィルター処理でサポートされます Palo Alto Networks SCIM Connector で必要 ユーザー名 糸 ✓ ✓ 活動中 ボーリアン ✓ 表示名 糸 ✓ タイトル 糸 emails[type eq "仕事"].value 糸 emails[タイプ eq "その他"].値 糸 優先言語 糸 名前.名 糸 ✓ 名前.姓 糸 ✓ 名前.整形済み 糸 ✓ name.honorificSuffix 糸 名前.敬称 糸 addresses[type eq "work"].フォーマット済み 糸 アドレス[タイプ eq "作業"].ストリートアドレス 糸 道[タイプ 等しい "仕事"].地域 糸 アドレス[タイプが"仕事"に等しい].地域 糸 addresses[タイプ eq "work"].郵便番号 糸 アドレス[タイプ Eq "仕事"].国 糸 アドレス[タイプ eq "other"].フォーマット済み 糸 addresses[type eq "その他"].streetAddress 糸 住所[タイプ eq "その他"].市区町村 糸 addresses[type eq "その他"].地域 糸 住所[タイプ eq "その他"].郵便番号 糸 住所[タイプ eq "その他"].国 糸 phoneNumbers[タイプが "職場" の場合].値 糸 電話番号[タイプ eq "携帯"].値 糸 phoneNumbers[type eq "ファックス"].value 糸 エクスターナルID 糸 urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:従業員番号 (employeeNumber) 糸 urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:部門 糸 urn:ietf:params:scim:schemas:extension:enterprise:2.0:ユーザー:マネージャー 糸
注
このアプリでは、スキーマ検出が有効になっています。 そのため、上記の表で説明したよりも多くの属性がアプリケーションに表示される場合があります。
[マッピング] セクション で 、[ Microsoft Entra グループを Palo Alto Networks SCIM Connector に同期する] を選択します。
[属性マッピング] セクションで、Microsoft Entra ID から Palo Alto Networks SCIM Connector に同期されるグループ 属性 を確認します。 [照合プロパティ] として選択されている属性は、更新操作で Palo Alto Networks SCIM Connector のグループとの照合に使用されます。 [ 保存 ] ボタンを選択して変更をコミットします。
特性 タイプ フィルター処理でサポートされます Palo Alto Networks SCIM Connector で必要 表示名 糸 ✓ ✓ メンバー リファレンス スコープ フィルターを構成するには、スコープ フィルターに関する記事に記載されている次の手順 を参照してください。
Palo Alto Networks SCIM Connector の Microsoft Entra プロビジョニング サービスを有効にするには、[設定] セクションで [プロビジョニングの状態] を [オン] に変更します。
[設定] セクションの [スコープ] で目的の値を選択して、Palo Alto Networks SCIM Connector にプロビジョニングするユーザーやグループを定義します。
プロビジョニングの準備ができたら、[ 保存] を選択します。
この操作により、[設定] セクションの [スコープ] で定義されているすべてのユーザーとグループの初期同期サイクルが開始されます。 最初のサイクルは、Microsoft Entra プロビジョニング サービスが実行されている限り、約 40 分ごとに発生する後続のサイクルよりも実行に時間がかかります。
手順 6: デプロイを監視する
プロビジョニングを構成したら、次のリソースを使用してデプロイを監視します。
- プロビジョニング ログを使用して、どのユーザーが正常にプロビジョニングされたか、または正常にプロビジョニングされなかったかを判断する
- 進行状況バーを確認して、プロビジョニング サイクルの状態と完了までの近さを確認します
- プロビジョニング構成が異常な状態にあると思われる場合、アプリケーションは検疫に入ります。 検疫状態の詳細については、 アプリケーションプロビジョニングの検疫状態 に関する記事を参照してください。