Microsoft Entra IDを使用した自動ユーザー プロビジョニング用に Secure Cloud User Integration を構成する

このチュートリアルでは、Microsoft Entra ID と Secure Cloud の間で自動ユーザー プロビジョニングを構成する方法について説明します。 構成すると、Microsoft Entra ID は SCIM 2.0 プロトコルを使用して、Secure Cloud でユーザーとグループを自動的に作成、更新、およびプロビジョニング解除します。 これにより、管理オーバーヘッドが軽減され、Microsoft Entra IDと Secure Cloud の間でユーザー アクセスの同期が維持されます。

サービスの動作、しくみ、よく寄せられる質問に関する重要な詳細については、「Microsoft Entra ID を使用して SaaS アプリケーションへのユーザー プロビジョニングとプロビジョニング解除を自動化する」を参照してください。

サポートされている機能

Prerequisites

開始する前に、次の前提条件を満たしていることを確認してください。

• シングル サインオンは、手順 3: Microsoft Entra テナントへの Secure Cloud ユーザー統合の追加に従って、既に構成されています。
• 1 つの Microsoft Entra テナント。
• Secure Cloud User Integration エンタープライズ アプリケーションは、Microsoft Entra テナントに存在します。
• 次のいずれかのロールを持つ Microsoft Entra アカウント:
  • アプリケーション管理者。
  • クラウド アプリケーション管理者。
  • アプリケーション所有者。
• 自動プロビジョニングをサポートする Secure Cloud User Integration サブスクリプション。
• プロビジョニングを構成するアクセス許可を持つ Secure Cloud への管理者アクセス。
• SECURE Cloud プロビジョニング構成ページにアクセスして、SCIM プロビジョニング資格情報を取得します。
• 手順 3 で同意を付与した管理者のMicrosoft Entra アカウントと一致する電子メール アドレスを持つ Secure Cloud User Integration ユーザー アカウント。

手順 1: プロビジョニングデプロイメントの計画を立てる

1. プロビジョニング サービスのしくみを確認します。
2. プロビジョニングの対象を決めます。
3. Microsoft Entra IDと Secure Cloud ユーザー統合の間でマップするデータを決定します。

手順 2: セキュリティで保護されたクラウド ユーザー統合を構成して、Microsoft Entra IDでのプロビジョニングをサポートする

1. Secure Cloud User Integration 管理ポータルに管理者としてサインインします。

2. サービス管理>アカウント管理>ユーザー統合>インポート計画 に移動します。

   

3. [新しいMicrosoft Entraプラン] を選択します。

   

4. [プロビジョニング設定] で、[Microsoft Entra プロビジョニングを有効にする] をオンにします。

   

5. [ サービス] で、プロビジョニングされたユーザーに割り当てるサービスを選択します。 これらのサービスは、新しくプロビジョニングされたユーザーにのみ割り当てられます。 既存の Secure Cloud User Integration ユーザーは、この設定では変更されません。

   

6. 必要に応じて、通知でウェルカムメールの送信を選択します。

   

7. 保存 を選択します。 [プランの詳細 - Microsoft Entraプロビジョニング プラン] ページが開きます。

   

8. [Microsoft Entra管理センター] セクションで、次の値をコピーします。 手順 5のMicrosoft Entra IDにそれらを入力します。

   セキュア クラウド ユーザー統合値	Microsoft Entra フィールド
   テナント URL (例: https://api.appriver.com/scim/api)	テナント URL
   トークン エンドポイント、たとえば https://account.appriver.com/identity/connect/token	OAuth トークン エンドポイント
   クライアント ID	クライアント識別子
   クライアント シークレット（表示 を選択して表示して確認）	クライアント シークレット

   

手順 3: Secure Cloud User Integration を Microsoft Entra テナントに追加する

Secure Cloud User Integration エンタープライズ アプリケーションでは、同意ベースのオンボーディングが使用されます。 アプリケーションは、管理者が最初に Microsoft Entra ID を使用して Secure Cloud User Integration にサインインし、同意を付与したときに、お客様の Microsoft Entra テナントに作成されます。 シングル サインオンを有効にし、手順 5 でプロビジョニング用に構成するアプリケーションを作成するには、この手順を完了してください。

Microsoft Entra 認証を有効にする

1. Secure Cloud User Integration 管理ポータルで、サービス管理>アカウント管理>ユーザー統合>認証 に移動します。

   

2. [認証の種類] ボックスの一覧で、Microsoft Entra SSO を選択します。

   

3. [構成] で、[Microsoft Entra認証を有効にする] をオンにします。

   

4. 必要に応じて、初期セットアップ時に フォールバック ユーザー パスワード を有効にします。 このオプションでは、Microsoft Entra認証が使用できない場合の代替サインイン方法が提供されます。

   • フォールバック ユーザー パスワードがオンの場合、ユーザーは [Microsoftでサインイン] を選択するか、LDAP 認証が構成されている場合は、Secure Cloud User Integration 資格情報または LDAP 資格情報を使用してサインインできます。
   • フォールバック ユーザー パスワードがオフの場合、ユーザーはユーザー名を入力した後にMicrosoft Entra IDにリダイレクトされ、Secure Cloud User Integration または LDAP 資格情報は使用できません。

   

5. 保存 を選択します。

サインインして同意を付与する

1. Secure Cloud User Integration からサインアウトするか、別のブラウザーを使用して、Secure Cloud User Integration のサインイン ページに移動してください。

   

2. テナント内のアプリケーションに同意を付与できるMicrosoft Entra アカウントと一致する電子メール アドレスを持つ Secure Cloud User Integration アカウントのユーザー名を入力し、[続行] を選択します。

   

3. [フォールバック ユーザー パスワード] がオンになっている場合は、[組織のデジタル ID を使用] で [Microsoftでサインイン] を選択します。 オフの場合は、自動的にMicrosoft Entra IDにリダイレクトされます。

   

4. Microsoft Entra資格情報でサインインし、表示される多要素認証の指示に従って完了します。

5. [ 要求されたアクセス許可] ページで、要求されたアクセス許可を確認します。

   

6. 必要に応じて、ユーザーが最初のサインイン時に同意を求められないように、組織に代わって同意する を選択します。 詳細については、「 ユーザーと管理者の同意の概要」を参照してください。

   

7. [Accept](承認) を選択します。 Microsoft Entra ID は、お客様のテナントに セキュア クラウド ユーザー統合 エンタープライズ アプリケーションを作成し、サインインした状態のセキュア クラウド ユーザー統合にリダイレクトします。

8. 確認するには、Microsoft Entra 管理センターにサインインし、Entra ID>Enterprise アプリを参照して、Secure Cloud User Integration を検索します。

   

手順 4: プロビジョニングのスコープに含まれるユーザーを定義する

Microsoft Entra プロビジョニング サービスを使用すると、アプリケーションへの割り当てに基づいて、またはユーザーまたはグループの属性に基づいてプロビジョニングされるユーザーをスコープできます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合は、ステップを使用して、ユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングする対象を決定する場合、スコープフィルターを使用できます。

• 小規模から始めます。 全員にロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当てられたユーザーとグループに設定されている場合は、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てることで、これを制御できます。 スコープがすべてのユーザーとグループに設定されている場合は、 属性ベースのスコープ フィルターを指定できます。

• 追加のロールが必要な場合は、 アプリケーション マニフェストを更新 して新しいロールを追加できます。

手順 5: Secure Cloud User Integration への自動ユーザー プロビジョニングを構成する

このセクションでは、Microsoft Entra IDを Secure Cloud User Integration プロビジョニング API に接続する手順について説明します。 Microsoft Entra プロビジョニング サービスでは、この接続を使用して、Secure Cloud User Integration で割り当てられたユーザーとグループを作成、更新、無効化します。

Microsoft Entra ID で Secure Cloud User Integration の自動ユーザー プロビジョニングを構成する

1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

2. Entra ID>エンタープライズアプリケーションに移動します。

   

3. アプリケーションの一覧で、Secure Cloud User Integration を選択します。

4. プロビジョニングを選択します。

   

5. [新しい構成] を選択します。

   

6. 手順 2 でコピーした値を入力します。

   Microsoft Entra フィールド	Value
   テナント URL	セキュア クラウド ユーザー統合 テナント URL
   OAuth トークン エンドポイント	Secure Cloud ユーザー統合 トークン エンドポイント
   クライアント識別子	セキュア クラウド ユーザー統合 クライアント ID
   クライアント シークレット	セキュリティで保護されたクラウド ユーザー統合 クライアント シークレット

7. [テスト接続] を選択して、Microsoft Entra IDが Secure Cloud User Integration に接続できることを確認します。 接続に失敗した場合は、セキュア クラウド ユーザー統合プロビジョニング プランに示されている値と一致していること、および Microsoft Entra プロビジョニングを有効にする がオンになっていることを確認します。

8. 作成を選択します。

9. [ プロビジョニング>概要 ] ページで、[ プロパティ ] を選択し、[ 設定 ] を編集します。

10. 通知メール に、プロビジョニング エラー通知を受信するメール アドレスを入力し、エラーが発生したときに電子メール通知を有効にします。

11. [ 誤って削除されないようにする ] を有効にし、適切なしきい値を設定します。

12. を選択してを適用します。

    

13. [属性マッピング] を選択し、[ユーザー] を選択します。

14. Microsoft Entra IDから Secure Cloud ユーザー統合に同期されるユーザー属性を確認します。 既定のユーザー一致属性は userNameで、 userPrincipalNameから取得されます。 照合プロパティとして選択された属性は、更新操作のために Secure Cloud User Integration でユーザー アカウントを照合するために使用されます。 一致するターゲット属性を変更する場合は、Secure Cloud User Integration API で、その属性によるユーザーのフィルター処理がサポートされていることを確認します。 すべての変更をコミットするには、 [保存] を選択します。

    特性	タイプ	照合/フィルタリングに対応	セキュア クラウド ユーザー統合値の要件	Notes
    userName	String	Yes	Yes	userPrincipalNameからマッピングされます。
    active	ブール値			Switch([IsSoftDeleted], , "False", "True", "True", "False") からマッピングされます。
    displayName	String			displayNameから対応付けられます。
    title	String			jobTitleからマッピングされます。
    emails[type eq "work"].value	String			mailからマッピングされます。
    name.givenName	String			givenNameからマップされます。
    name.familyName	String			surnameからマッピングされます。
    externalId	String			mailNicknameからマッピングされます。
    phoneNumbers[type eq "work"].value	String			telephoneNumberからマッピングされます。
    phoneNumbers[type eq "mobile"].value	String			mobileからマッピングされます。
    phoneNumbers[type eq "fax"].value	String			facsimileTelephoneNumberからマッピングされます。
    addresses[type eq "work"].streetAddress	String			streetAddressからマッピングされます。
    addresses[type eq "work"].locality	String			cityからマッピングされます。
    addresses[type eq "work"].region	String			stateからマッピングされます。
    addresses[type eq "work"].postalCode	String			postalCodeからマッピングされます。
    addresses[type eq "work"].country	String			countryからマッピングされます。
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	String			departmentからマッピングされます。
    urn:ietf:params:scim:schemas:extension:opentext:2.0:Mailbox:proxyAddresses	String			Join(",", [proxyAddresses])からマッピングされます。

15. [ 属性マッピング] を選択し、[ グループ] を選択します。

16. Microsoft Entra IDから Secure Cloud User Integration に同期されるグループ属性を確認します。 既定のグループ一致属性は displayName。 照合プロパティとして選択された属性は、更新操作時に Secure Cloud User Integration でグループを照合するために使用されます。 すべての変更をコミットするには、 [保存] を選択します。

    特性	タイプ	照合/フィルタリングに対応	セキュア クラウド ユーザー統合値の要件	Notes
    displayName	String	Yes	Yes	displayNameからマッピングされます。
    members	Reference			membersからマッピングされます。
    externalId	String			objectId からマッピングされます。
    urn:ietf:params:scim:schemas:extension:opentext:2.0:Mailbox:proxyAddresses	String			Join(",", [proxyAddresses])からマッピングされます。

17. [スコープ] を [割り当てられたユーザーとグループのみを同期する] に設定します (推奨)。 [すべてのユーザーとグループの同期] を使用する場合は、スコープ フィルターを使用して、プロビジョニングされるオブジェクトを制限します。 スコープ フィルターを構成するには、スコープ フィルターを使用した属性ベースのアプリケーション プロビジョニングの手順に従います。

18. より広範にデプロイする前に、オンデマンド プロビジョニングを使用して、少数のテスト ユーザーとの初期同期を検証します。 プロビジョニング解除テスト用の破棄可能なテスト アカウントを含めます。

19. プロビジョニングスコープをテスト ユーザーとグループに限定し、[概要] ページで [プロビジョニングの開始] を選択します。

20. Microsoft Entra IDでテスト ユーザーの属性を更新し、変更が Secure Cloud User Integration に同期されることを確認します。

21. 使い捨てのテスト ユーザーのアプリケーション割り当てを削除し、適切なプロビジョニング サイクルで割り当ての削除を処理できるようにします。 構成されたプロビジョニング動作に従って、ユーザーがプロビジョニング解除されていることを確認します。 最初のオンデマンド プロビジョニング操作だけでは、プロビジョニング解除は検証できません。

22. より広範なデプロイのためにプロビジョニング スコープを拡張する前に、これらの検証チェックを完了してください。

手順 6: デプロイを監視する

プロビジョニングを構成したら、次のリソースを使用してデプロイを監視します。

1. プロビジョニング ログを使用して、どのユーザーが正常にプロビジョニングされたか、または正常にプロビジョニングされなかったかを判断する
2. 進行状況バー を確認して、プロビジョニング サイクルの状態と完了までの時間を確認します
3. プロビジョニング構成が異常な状態にあると思われる場合、アプリケーションは検疫に入ります。 検疫状態についての詳細は、アプリケーションプロビジョニングの隔離状態に関する記事をご覧ください。

Secure Cloud User Integration の結果を確認するには、 サービス管理>Users>User Management を参照してプロビジョニングされたユーザーを確認し、 サービス管理>Users>User Groups を参照してプロビジョニングされたグループとメンバーシップを確認します。

また、より広範に展開する前に、テスト ユーザーの期待される属性とグループ メンバーシップを確認します。

Troubleshooting

Secure Cloud User Integration がエンタープライズ アプリに表示されない

• 原因:エンタープライズ アプリケーションは、管理者がMicrosoft Entra IDでサインインし、同意を付与した後にのみ作成されます。
• 解決方法:
  1. 手順 3 で再度サインインします。
  2. [アクセス許可の要求] ページで [同意する] を選択し、Secure Cloud User Integration にリダイレクトされたことを確認します。

ユーザーは同意を与えられない

• 現象: ユーザーには、管理者の承認が必要であるというメッセージが表示されます。
• 解決策: テナントの同意設定を確認するか、組織に代わって同意を付与するようにクラウド アプリケーション管理者に依頼します。 詳細については、「 ユーザーと管理者の同意の概要」を参照してください。

ユーザーがサインインできない

• 解決策:ユーザーが Secure Cloud User Integration に存在すること、ユーザーの電子メール アドレスがMicrosoft Entra アカウントと一致していること、および [Microsoft Entra認証を有効にする] がオンになっていることを確認します。

テスト接続に失敗しました

• 解決方法:
  1. テナント URL、トークン エンドポイント、クライアント ID、およびクライアント シークレットが、Secure Cloud User Integration プロビジョニング プランから正確にコピーされたことを確認します。
  2. プランで Microsoft Entra Provisioning を有効にする がオンになっていることを確認します。
  3. Secure Cloud User Integration SCIM エンドポイントへのネットワーク アクセスが使用可能であることを確認します。

ユーザーまたはグループがプロビジョニングされていない

• 解決方法:
  1. プロビジョニングの状態が [オン] に設定されていることを確認します。
  2. ユーザーまたはグループが Secure Cloud User Integration アプリケーションに直接割り当てられ、構成されたスコープ内にあることを確認します。
  3. プロビジョニングログでエラーがないか確認してください。

既知の制限

• Microsoft Entra IDは、入れ子になったグループを介してのみ、割り当てられたグループのメンバーであるユーザーをプロビジョニングしません。 必要なすべてのユーザー、またはそれらのユーザーが直接所属するグループをアプリケーションに割り当てます。
• Secure Cloud User Integration プロビジョニング プランで選択されたサービスは、新しくプロビジョニングされたユーザーにのみ割り当てられます。 既存のユーザーは変更されません。

その他のリソース

• エンタープライズ アプリのユーザー アカウント プロビジョニングを管理する
• Microsoft Entra ID におけるアプリケーションアクセスとシングルサインオンとは何ですか？

関連するコンテンツ

• ログを確認し、プロビジョニング アクティビティに関するレポートを取得する