インバウンドSCIMを構成する

SCIM は、ユーザーID関連情報をプロビジョニング、デプロビジョニング、管理するためにエンタープライズ組織が使用するプロトコルおよびスキーマの標準です。

Auth0のインバウンドSCIM機能は、B2B SaaS開発者のエンタープライズIDプロバイダーとの統合をサポートします。現在サポートされているAuth0接続タイプは、SAML、OpenID Connect、Okta Workforce Identity Cloud、Microsoft Azure AD / Entra IDです。

1. Auth0 Dashboardを起動し、構成したいテナントを選択します。

2. ［Authentication（認証）］ > ［Enterprise（エンタープライズ）］に移動し、その後SAML、OpenID Connect、Okta Workforce、Microsoft Azure ADから選択します。

3. 既存の接続を選択するか、［Create Connection（接続の作成）］を使用して新しく作成します。

4. 接続の［Provisioning（プロビジョニング）］タブで、［Sync user profile attributes at each login（ログインの度にユーザープロファイル属性を同期する）］のトグルを［Off（オフ）］にし、［Sync user profiles using SCIM（SCIMを使用してユーザープロファイルを同期する）］を［On（オン）］に切り替えます。

5. ［Sync user profiles using SCIM（SCIMを使用してユーザープロファイルを同期する）］の［Setup（セットアップ）］タブを選択し、SCIMエンドポイントURL とPostmanのテストに必要なSCIMトークンを取得します。

SCIM構成をテストするために、以下からPostman collectionをダウンロードできます。

1. Postmanを起動し、 ［File（ファイル）］ > 「Import（インポート）…］を選択して、ファイル scim_postman_collection.json をインポートダイアログボックスに移動します。

2. SCIM 2.0 Tests コレクションを選択し、［Variables（変数）］タブを選択します。

3. Auth0 DashboardからSCIMエンドポイントURL値をコピーし、SCIM-ENDPOINT-URL 変数の隣にある［Current Value（現在の値）］フィールドに貼り付けます。

4. Auth0 Dashboardで［Generate New Token（新しいトークンを生成）］を選択した後に［Generate Token（トークンを生成）］を選び、［Copy and Close（コピーして閉じる）］を選択します。

5. Postmanに戻り、 ［Authorization（認可）］タブを選択し、トークンの値を［Token（トークン）］フィールドに貼り付けます。

6. ［Save（保存）］

7. 表示される順序でテストを実行します。POSTコマンドで開始して、DELETEで終了します。各ユーザーオペレーションの結果は、Auth0 Dashboardの［User Management（ユーザー管理）］ >［Users（ユーザー）］ および［Monitoring（モニタリング）］ > ［Logs（ログ）］のテナントログに表示されます。

特定のIDプロバイダーのテストについては、「SAMLまたはOpenIDを使用してIDプロバイダーに対してインバウンドSCIMを構成する」をご覧ください。

Auth0は、ユーザー管理のために以下のSCIM 2.0操作をサポートします：

Auth0は、ユーザーリソースのためにSCIM 2.0 コアスキーマおよびユーザーリソースのためにエンタープライズスキーマ、そして複数のエンタープライズIDプロバイダーとの幅広い互換性のためにクライアント認証ベアラートークンを使用します。

各エンタープライス顧客は、接続固有のSCIMエンドポイントおよびAuth0テナントに保存されているユーザーアカウントをプロビジョニング、デプロビジョニング、管理するためのトークンを取得します。

エンドポイントおよびトークンは、Auth0 Dashboardの［Authentication（認証）］ > ［Enterprise（エンタープライズ）］ > [connecton-type（接続タイプ）] > [your-connection（あなたの接続）] > ［Provisioning（プロビジョニング）］ >  ［Sync user profiles using SCIM（SCIMを使用してユーザープロファイルを同期する）］ > セットアップに表示され、構成可能です。

SCIMエンドポイントURLにより、SCIMクライアントは、特定のIDプロバイダーに対してAuth0に保存されているユーザーアカウントを管理できます。

［Generate New Token（新しいトークンを生成）］オプションは、このSCIMエンドポイントに対して最大2つのアクティブトークンを生成し、SCIMクライアントが使用するトークンをダウンタイムなしで更新できます。またトークンは、［Delete（削除）］を選択することで、この画面上で取り消すことができます。

以下のトークン生成の設定を使用できます。

• ［No expiration date（有効期限なし）］：トークンが期限切れするか、しないかを選択します。

• ［Expiration date in seconds（秒単位の有効期限）］：トークンに有効期限がない場合、トークンに対して有効時間を選択できます。トークンの期限が切れると、SCIMエンドポイントは、次回使用された時にエラー応答を返します。許容最小有効時間は900秒です。

• ［List of permissions (scopes)（許可リスト（スコープ）］：このトークンを使用して実行できるSCIM操作の詳細です。次が許可されます。

  • get:users - ユーザーを取得、検索できます。

  • post:users - ユーザーを作成できます。

  • put:users - PUTメソッドを使用してユーザーを更新できます。

  • patch:users - PATCHメソッドを使用してユーザーを更新できます。

  • delete:users - ユーザーを削除できます。

各新規接続は、Auth0 Dashboardの［Authentication（認証）］ > ［Enterprise（エンタープライズ）］ > [connecton-type（接続タイプ）] > [your-connection（あなたの接続）] > ［Provisioning（プロビジョニング）］ >  ［Sync user profiles using SCIM（SCIMを使用してユーザープロファイルを同期する）］ >  ［Mapping（マッピング）］にあるデフォルト属性マップを使用し、ここで接続のニーズに合わせてマップを編集およびカスタマイズできます。

RFC 7643 セクション 3.1、4.1、4.3で定義されているコアSCIMユーザー属性が使用される場合があります。

これらのSCIM属性は、ユーザープロファイルのAuth0 ルートおよびメタデータ属性にマッピングできます。

またAuth0では、ログイン時にプロビジョニングされた属性と並行してSCIMを使用して属性をプロビジョニングできます。詳細については、以下の「ログイン時に追加属性を同期する」をご覧ください。

Auth0 Dashboardの［Monitoring（モニタリング）］ > ［Logs（ログ）］セクションで、Auth0が受け取るSCIＭ要求の詳細を確認できます。さらに、SCIMおよびSCIMログストリームフィルターカテゴリーを使用してユーザーが作成、更新、削除されたときに通知されるように、カスタムログストリームを統合できます。

Auth0がユーザーを無効化およびブロックするというSCIMメッセージを受け取ると、そのユーザーに対するすべてのAuth0セッションを終了し、リフレッシュトークンを取り消し、（構成済みの場合は）アプリケーションのために［OpenID Connectバックチャネルログアウト］ をトリガーします。

SCIMおよびSSO両方のセットアップについてカスタマイズされたエクスペリエンスを顧客に提供するために、アプリケーションをOkta Integration Networkおよび統合を計画しているその他ワークフォースIDプロバイダー統合ギャラリーにリスト表示することを検討します。

開発またはステージングAuth0テナントで統合を念入りにテストする前に、運用Auth0テナントでSCIMを有効にしないでください。

プレーンテキストで、またはメールや安全でないチャネルを介してSCIMトークンを送信しないでください。SendSafelyなどの安全なコミュニケーションサービスを使用するか、アプリのセルフサービスコンソールとAuth0 Management APIを統合して、SCIMトークンを直接顧客に発行してください。

Auth0 SCIMエンドポイントを顧客に提供する場合、正しく使用するために以下の情報が必要です。

• Auth0接続ためのSCIMエンドポイントURL

• SCIMエンドポイントURLに必要なSCIMトークン

また以下も推奨されます。

• SCIM属性マップで構成した、Auth0接続がサポートしているSCIM属性のリスト。

• SCIM構成と機能するようにSCIMクライアントを構成するのに必要な追加手順。Okta WorkforceおよびMicrosoft Entra IDのセットアップの指針については、「SAMLまたはOpenIDを使用してIDプロバイダーに対してインバウンドSCIMを構成する

SAML/OIDC全体およびSCIMで同じユーザー属性セットをサポートしていないIDプロバイダーと統合する場合、SCIMプロビジョニングと並行して［Sync user profile attributes at login（ログイン時にユーザープロファイル属性を同期する）］を有効にすることで、追加属性にアクセスできます。

［Sync user profile attributes at login（ログイン時にユーザープロファイル属性を同期する）］が有効の場合、ユーザープロファイルのすべてのルート属性 は、ユーザーがログインするたびに上書きされます。SCIMとログイン同期との間の滞在的な競合を避けるために、以下のガイドラインに従ってください。

• email およびusernameなどの一般的なAuth0ルート属性が、SCIM属性マップにも含まれている場合は、SAMLまたはOpenID Connect属性マップにマッピングされていることを確認します。

• SCIM属性マップで、その他SCIM属性のすべてを（active属性を除く）、Auth0 app_metadata属性内の値にマッピングします。

Auth0は、RFC7643で定義されている通り、SCIM 2.0 rolesユーザー属性の同期をサポートします。ロールを許可するために、接続のSCIM属性マップがSCIMroles属性をapp_metadata.rolesなどのAuth0ユーザー属性にマッピングされていることを確認します。

Okta Workforce Identity Cloudのアプリケーション固有ロールを同期する方法については、「SCIM Cloud統合で複数値ロールを追加する方法」をお読みください。Microsoft Entra IDロールについては、「Microsoft Entra IDでSaaSアプリケーションのユーザープロビジョニング属性マッピングをカスタマイズ」をお読みください。

Auth0は、RFC7644 セクション 3.2で定義されているように、フルグループオブジェクトおよびグループメンバーシップのプロビジョニング用の/groupsエンドポイントをサポートしていません。ただし、IDプロバイダーがグループのリストのSAMLまたはOpenID Connectを介した送信をサポートしている場合は、前述のログイン時に属性を同期する方法についてのガイドラインのセクションをご覧ください。

SCIMプロビジョニング済みのユーザーがOrganization（組織）のメンバーになるには、Organization（組織）接続にJust-In-Time Membership（Just-In-Timeメンバーシップ）を付与するで記述されているように、接続を［Enable Auto-Membership（自動メンバーシップの有効化）］に設定する必要があります。

ユーザーアカウントのリンクを使用する場合、SCIMプロビジョニング済みのユーザーアカウントは、プライマリユーザーアカウントとして設定する必要があります。セカンダリアカウントとして設定すると、SCIM id 属性をSCIM 2.0 コアスキーマ仕様に反するものに変更します。エンタープライズユーザーのアカウントと、ソーシャルおよび個人ユーザーのアカウントとのアカウントリンクは、お勧めしません。

• SAMLまたはOpenIDを使用してIDプロバイダーに対するインバウンドSCIMを構成する
• Okta Workforce接続のインバウンドSCIM
• Okta WorkforceのSAML接続のインバウンドSCIM
• Microsoft Entra ID SAML接続のインバウンドSCIM
• 新しいEntra ID接続のインバウンドSCIM
• 古いEntra ID接続のインバウンドSCIM