この機能でできること
SAML または OIDC でログインを統合し、SCIM でユーザー管理を連携します。ロールに権限を割り当て、監査ログで記録された操作と実行者を確認できます。
利用する場面
- 組織の ID プロバイダを接続するとき。
- 入退社、権限、管理操作を確認するとき。
最初の手順
- 1組織を作り、ドメインを設定します。
- 2SAML は entity ID・URL・証明書、OIDC はクライアント ID・シークレット・issuer を入力します。
- 3一般ユーザーでログインを試します。SAML の場合は生成されたログイン URL を使います。
- 4SCIM トークンを作り、表示時に保存してからプロバイダを設定します。
- 5ロールを割り当て、テストアカウントの作成・無効化と監査ログを確認します。
設定項目
| 設定項目 | 役割 | 設定のポイント | よくある間違い |
|---|---|---|---|
| SSO | ログインを ID プロバイダと連携します。 | 一般ユーザーで動作を確認するまで、管理者の代替ログイン経路を残します。 | ログインを試さず全員に適用すること。 |
| SCIM トークン | ユーザー管理の連携を認証します。 | 表示は一度だけです。その場でシークレット管理ツールに保存します。 | コピー前にダイアログを閉じること。 |
| ロールと監査 | 操作を制限し、記録されたイベントを確認できます。 | org:admin、audit:read、sso:manage などを必要な役割に割り当てます。 | 監査の閲覧だけが必要な人に管理権限を与えること。 |
利用例
状況: 入退社時のアカウント管理を自動化します。
- 1少人数で SSO を試し、SCIM を接続します。
- 2プロバイダでテストアカウントを作成し、無効化します。
- 3利用範囲を広げる前に、アクセス状態とログを確認します。
分かること: 実際の事例で、アクセス付与と取り消しを確認できます。
よくある質問
SCIM トークンを再表示できますか？
できません。紛失した場合は失効させ、新しく発行してプロバイダ側を更新してください。
別のログイン方法を残せますか？
設定によります。SSO の確認中は管理者の代替経路を残してください。
使い方のヒント
- 使わないトークンを失効させ、役割の変更時に権限を見直してください。