SCIMとLDAP間でのユーザープロビジョニングの変更

この記事は、SCIMからLDAPまたはその逆に切り替える際の考慮点を説明します。

概要

Catoは既存のアイデンティティプロバイダー（IdP）を活用し、ユーザーアイデンティティを管理するための集中化されたサービスを提供し、ユーザーを簡単にプロビジョニングおよびアカウントに同期する機能をサポートします。 IdPはあなたのCatoアカウントと統合され、自動的にユーザーをインポートおよび更新します。これにより、ユーザーアイデンティティのための一貫したソースが得られ、環境全体での一貫したユーザーアイデンティティが提供されます。 SCIMとLDAPユーザープロビジョニングの詳細については、SCIMとLDAPでユーザーをプロビジョニングするをご覧ください。

Catoは、次の方法でユーザーのインポートと作成をサポートします：

IdP経由でSCIMを使用してユーザーをインポート
IdP経由でLDAPを使用してユーザーをインポート
Cato管理アプリケーションでユーザーを手動で作成

各メソッドの設定方法の詳細については、ディレクトリサービスの記事をご覧ください。

SCIMインポートの利点

User AwarenessはWindowsクライアントv5.4以上およびmacOSクライアントv5.3以上でサポートされています。詳細については、「Using Cato Identity Agents for User Awareness」を参照してください。
IdPからCatoアカウントにユーザーを即座に同期します。
グループメンバーシップやユーザープロファイルの更新または変更がほぼリアルタイムで行われます。
IdPをCatoアカウントに統合し、インバウンドファイアウォールルールの構成を行わずに済ませます。
SCIMはIdPベンダーによって広くサポートされており、アカウントとの統合が容易です。

ユーザーのプロビジョニング方法を変更する

ユーザーのプロビジョニング方法を変更する前に、ユーザーとユーザグループへの影響を理解することが重要です。

LDAPからSCIMプロビジョニングへの変更

LDAPからSCIMプロビジョニングに移行するときには、以下のユーザーとユーザーグループに適用されるルールがあります：

SCIMでプロビジョニングされたユーザーは、LDAPでプロビジョニングされたユーザーおよび手動で作成されたユーザーを上書きします
- ユーザーはUPNまたはメールに基づいて一致として識別されます
  注：
  LDAPからSCIMに変更する際のベストプラクティスに従ってください：
  1. LDAPでプロビジョニングされたユーザーを確認してください：
    - SCIMでプロビジョニングされるユーザーと同じUPNまたはメールアドレスを持っていること
    - Cato管理アプリケーションに存在するユーザー
  2. UPNまたはメールアドレスが異なる場合、重複したユーザーが作成されます。
  3. すべてのSCIMユーザーのSDPライセンスを割り当てます。これにより、LDAPからSCIMへのプロビジョニングの移行中にユーザーのSDPライセンスが失われることを防ぎます。
  4. 重複したユーザーが誤って作成された場合は、Cato管理アプリケーションから重複ユーザーを削除し、IdPのメールアドレスを更新してから再度ユーザーをプロビジョニングします。
    - 同じオブジェクトIDまたはUPNを持つユーザーが複数いる場合、SCIMユーザーは既存のSCIMユーザーを上書きせず、イベントがトリガーされます。
SCIMでプロビジョニングされたユーザグループは、LDAPでプロビジョニングされたユーザグループを上書きします。 SCIMプロビジョニングが有効になった後、Cato管理アプリケーションでのLDAPプロビジョニング済みユーザーグループへの更新は行えません。
- ユーザグループは、名前またはオブジェクトIDに基づいて一致として識別されます
- 同じオブジェクトIDまたはグループ名を持つグループが複数ある場合、上書きは失敗します。上書きを成功させるには、重複したグループを削除することをお勧めします
- ユーザーはすべてのLDAPプロビジョニング済みユーザグループから削除され、SCIMプロビジョニング済みユーザグループに割り当てられます
- 例：
  - 100人のユーザーがLDAPでプロビジョニングされたR&
  - 10人のユーザーがSCIMでプロビジョニングされたR&
  - Cato管理アプリケーションでは、R&

LDAPからSCIMユーザープロビジョニングに徐々に変更するには：

ナビゲーションメニューから、アクセス > ライセンス割り当てをクリックします。
選択したユーザーまたはグループにSDPライセンスを割り当てるを選択します。
ドロップダウンからシステムグループとすべてのSCIMユーザーを選択します。
これにより、ユーザーのSDPライセンスが失われるのを防ぎます。
SCIMプロビジョニングを有効にします。詳細については、SCIMでのユーザープロビジョニングをご覧ください。
ユーザーは上記のルールに従ってSCIMでプロビジョニングされます。
注: ユーザーがSCIMでプロビジョニングされた後、LDAPプロビジョニング済みグループから削除されます。これは、適用されるポリシールールに影響を及ぼす可能性があります。

ハイブリッドAzure AD参加に対するLDAPからSCIM Azureプロビジョニングへの変更

LDAPプロビジョニングからSCIMプロビジョニングへの変更と同様に、オンプレミスADおよびAzure ADに対してLDAPからSCIMに移行するときにユーザーおよびユーザーグループに適用されるプロビジョニングルールも同様です。

SCIMでプロビジョニングされたユーザーは、User Awarenessによって識別されるためにSDPライセンスを持っている必要があります。 SDPライセンスを持たないユーザーを識別するには、LDAPでプロビジョニングします。ユーザーは、一度認証する必要があります。そうすることで、識別されることができます。

Windowsクライアントv5.9以降では、SDPライセンスは必要なく、アイデンティティエージェントによって識別されるための認証は不要です。

SCIMからLDAPプロビジョニングへの変更

SCIMからLDAPプロビジョニングに移行するときには、以下のユーザーとユーザーグループに適用されるルールがあります：

LDAPでプロビジョニングされたユーザーは、SCIMでプロビジョニングされたユーザーを上書きしません
- 変更する前に、SCIMでプロビジョニングされたすべてのユーザーをIdPから削除します。これにより、Cato管理アプリケーションのユーザーが無効になります
LDAPでプロビジョニングされたユーザグループは、SCIMでプロビジョニングされたユーザグループを上書きしません
- 変更する前に、SCIMでプロビジョニングされたすべてのユーザグループをIdPから削除します
変更する前に、ポリシー、Cato管理アプリケーション内のSCIMでプロビジョニングされたユーザーおよびユーザグループから削除してから削除します