Microsoft Entra ID のユーザープロビジョニング機能を使って cybozu.com にユーザー情報を同期する
概要
Microsoft Entra ID(以下、 Entra ID)のユーザープロビジョニング機能を使うと、Entra ID で管理しているユーザー情報を cybozu.com に同期できます。
この記事では、Entra ID のユーザープロビジョニング機能を使って、 cybozu.com のユーザーを同期する方法を説明します。
ユーザープロビジョニング機能でできること
- Entra ID で管理しているユーザー情報を cybozu.com に同期します。
たとえば、 Entra ID にユーザーを追加すると、自動で cybozu.com にユーザーが追加されるようになります。 - プロビジョニング機能は、次の操作に対応しています。
- ユーザーの追加
- ユーザー情報の更新
- ユーザーの使用停止
- 同期できるユーザー情報の項目は、以下のとおりです。
- ログイン名
- 表示名
- 姓
- 名
- Email アドレス
- 使用状態
- 利用サービスは同期されません。
追加したユーザーが kintone や Garoon などのサービスを利用できるよう設定するには、cybozu.com にユーザーが追加されたあとに、利用サービスを設定してください。
サービスの利用許可 - すでに cybozu.com にユーザーを登録している場合でも、プロビジョニング機能を利用できます。
プロビジョニングを有効化した後に cybozu.com で作成したユーザーを同期するとエラーが発生する場合があります。
その際は、cybozu.com の設定で「プロビジョニングの反映」を無効にした後再度有効にして、同期してください。
必要な環境
-
事前に Entra ID で SAML 認証を設定してください。
手順の詳細は、次のページを参照してください。
Microsoft Entra ID を使って cybozu.com にシングルサインオンSAML 認証を利用する場合は、次の注意事項も確認してください。
-
ユーザープロビジョニング機能を利用するには、次の権限が必要です。
- cybozu.com:cybozu.com 共通管理者
- Entra ID:「アプリケーション管理者」または「ユーザー管理者」以上の権限
制限事項
- 組織、役職、グループ(ロール)、利用サービスの情報は同期できません。
- 同期した後に cybozu.com からユーザーを削除すると、再度同期しても cybozu.com にユーザーは再作成されません。
cybozu.com にユーザーを再作成するには、cybozu.com の設定で「プロビジョニングの反映」を無効にした後もう一度有効にして、同期してください。 - 同期したユーザーのログイン名の変更はできません。
cybozu.com でユーザーを削除した後、Entra ID でユーザーを作り直して同期してください。
その他の制限事項は、 ヘルプサイト を参照してください。
注意事項
- 本番運用している cybozu.com で設定をする前に、必ず、本番とは別の cybozu.com の環境で検証してください。
お試し環境の申し込み方法は、次のページを参照してください。
お試しはできますか?お試し方法を教えてください。 - cybozu.com に対するアクセスを IP アドレスで制限したい場合には、Entra ID でのアクセス制限を検討してください。
Entra ID の IP アドレスは変更される可能性があり、cybozu.com の IP アドレス許可リストに Entra ID の IP アドレスを設定することは推奨しません。
設定手順
Entra ID のプロビジョニングを利用するまでの流れは、次のとおりです。
-
STEP1:cybozu.com の設定
プロビジョニングを有効化し、 API トークンを発行します。 - STEP2:Entra ID の設定
STEP1:cybozu.com の設定
- https://{sample}.cybozu.com/ にアクセスします。
サブドメイン名は、お客様の環境によって異なります。
サブドメイン名がわからない場合には、次のページを参照してください。
契約内容を確認する - cybozu.com 共通管理者のアカウントでログインします。
- 「cybozu.com 共通管理」をクリックします。
- [プロビジョニング]をクリックします。
- [API トークンの発行]をクリックします。
- 「有効期間」と「API トークンの概要」を入力し、[発行]をクリックします。
- 発行された API トークンと SCIM エンドポイントをメモに控えます。
ダイアログを閉じると、発行された値を確認できなくなります。
- [閉じる]をクリックします。
- 「プロビジョニングの反映」を「有効」にします。
STEP2:Entra ID の設定
SAML 認証を設定した Cybozu(cybozu.com)アプリケーションと cybozu.com との接続を設定します。
1. cybozu.com との接続設定
-
Microsoft Portal Azure にアクセスします。
-
管理者のアカウントでサインインします。
-
左メニューから[Microsoft Entra ID]をクリックします。
-
左メニューから[エンタープライズ アプリケーション]をクリックします。
-
SAML 認証を設定した Cybozu(cybozu.com)アプリケーションを開きます。
-
「ユーザーアカウントのプロビジョニング」の[作業を開始]をクリックします。
-
[作業の開始]をクリックします。
-
プロビジョニングモードで「自動」を選択します。
-
「管理資格情報」に、次の内容を入力します。
- テナントのURL:https://{sample}.cybozu.com/scim/v2/
サブドメイン名は、お客様の環境によって異なります。 - シークレットトークン:STEP1 で発行した API トークン
- テナントのURL:https://{sample}.cybozu.com/scim/v2/
-
「マッピング」で「Provision Azure Active Directory Users」をクリックします。
必要に応じてマッピング属性を編集してください。
警告
[externalId]には、値がユニークになる Microsoft Entra ID 属性を割り当てる必要があります。
-
[テスト接続]をクリックします。
注意
「無効な資格情報を入力した可能性があります」と表示され、テスト接続に失敗する場合には、 トラブルシューティング を参照してください。
-
「cybozu.com への接続をテストしています」と表示されたら、[保存]をクリックします。
-
「ユーザープロビジョニング設定を更新しています」と表示されることを確認します。
2. プロビジョニングの開始
- [プロビジョニングの開始]をクリックします。
- プロセスが完了したら、cybozu.com にユーザーが同期されていることを確認します。
以降、プロビジョニングは 40 分間隔で実行されます。
その他の設定
プロビジョニングの即時実行
プロビジョニングを即時実行するには、次の手順で操作します。
- プロビジョニングにて、[要求時にプロビジョニングする]をクリックします。
- 同期対象のユーザーを検索し、表示されたユーザーを選択します。
- [プロビジョニング]をクリックします。
- アクションが成功したら、cybozu.com にユーザーが同期されていることを確認します。
- 表示されているページを閉じます。
プロビジョニングの停止
プロビジョニングを停止するには、次の手順で操作します。
- [プロビジョニングの停止]をクリックします。
- 確認を促すメッセージが表示されたら[OK]をクリックします。
プロビジョニングの再開
プロビジョニングを再開するには、[プロビジョニングの開始]をクリックします。
再開すると 、停止中に変更された内容も cybozu.com に反映されます。
cybozu.com のユーザーを使用停止、または再開する
cybozu.com のユーザーを使用停止にするには、次の手順でユーザーの割り当てを削除するか、Entra ID のユーザーを停止状態にします。
ここでは、ユーザーの割り当てを削除する手順を説明します。
- ユーザーとグループを開きます。
- 対象のユーザーにチェックを入れ、[削除]をクリックします。
- 確認を促すメッセージが表示されたら、[はい]をクリックします。
ユーザーの利用を再開するには、もう一度同期する対象のユーザーを割り当てし、プロビジョニングを実行してください。
- 同期する対象ユーザーの割り当ては SAML 設定の手順 3 を参考してください。
Microsoft Entra ID を使って cybozu.com にシングルサインオン - プロビジョニングの即時実行
トラブルシューティング
「無効な資格情報を入力した可能性があります。」と表示される場合
cybozu.com で設定した IP アドレス制限に原因の可能性があります。
cybozu.com に対するアクセスを IP アドレスで制限したい場合には、Entra ID でのアクセス制限を検討してください。
Entra ID の IP アドレスは変更される可能性があり、cybozu.com の IP アドレス許可リストに Entra ID の IP アドレスを設定することは推奨しません。
この Tips は、2024 年 2 月版 cybozu.com で動作を確認しています。