概要
LDAPベースのユーザープロビジョニングからSCIM（クロスドメインアイデンティティ管理システム）への移行は、アイデンティティ管理を合理化し、Microsoft Entra IDなどの最新のアイデンティティプロバイダー（IdP）との統合を強化します。 この文書は、既存のユーザーおよびグループ管理をLDAPサーバーからCato管理アプリケーション（CMA）内のSCIMに移行するための明確な経路を技術管理者に提供します。
この移行は、既存のユーザーデータを活用し、LDAPを通して同期され、プロビジョニングの責任をSCIMに移行して、最小限の中断と運用効率の向上を確保します。 具体的には、このガイドはMicrosoft Entra IDをIdPの例として使用し、必要な設定とフィールドマッピングを詳細に説明しています。 しかし、ここに示された原則と手続きは、SCIMをサポートする他のIdPにも簡単に適応できます。
SCIMプロビジョニングへの移行の準備を完了した後に続けてください：
前提条件
移行するユーザー全員の常時オンを一時的に無効にします。
すべてのSCIMユーザー ユーザーグループを ライセンス割り当てページ に追加します。
その理由は、移行中にユーザーがネットワークから切断される可能性があるためです。
移行するユーザーの数がSDPライセンスの数を超えないことを確認します。
ライセンスよりも多くのユーザーがいる場合は、ライセンスが必要なグループの移行を優先し、ライセンス割り当てページから すべてのSCIMユーザー ユーザーグループを削除してから、残りの移行を続行します。
LDAPディレクトリをクリーンアップし、不要なユーザーとグループをすべて削除します
LDAP同期でユーザーを無効にするのではなく、存在しない場合は削除するよう設定を更新します。
CMAで、アクセス > ディレクトリサービス に移動し、LDAP タブをクリックします。
LDAPドメインを選択し、一般 セクションで、無効 を選択します。
Catoがネストされたグループをサポートしていないため、ネストされたグループが存在するかどうか既存のADグループを確認して下さい
ソース/宛先として重要なユーザーグループを持つWANまたはインターネットのファイアウォールルールを見つけ、すべてのユーザー ユーザーグループをルールに追加します。
移行後にこの変更を元に戻すことを忘れないでください。
ユーザーが個別に追加されたルールを特定し、それらのユーザーをグループに変換してください。
注: これは義務的なステップではなく、ダウンタイムに依存します。移行時間中にユーザーがリソースにアクセスできないことが許容される場合は省略できます。
SCIMのグループ設定がLDAPのグループ設定と同じであることを確認してください。 例として、LDAPドメインユーザーはSCIMアプリ内で同じグループを持ちます
ユーザーとグループの属性(メール、UPN、名前、姓)はIdP(例: Entra ID, Okta)およびLDAP(AD)で同一である必要があります。更新の失敗やオブジェクトの重複を防ぐためです。
メールまたは他の属性に移行の一環として変更が必要な場合、それらの調整は、CMAでの競合を防ぐために、移行前または後に行う必要があります。
移行期間中に変更凍結期間を設けることを強くお勧めします。
IdPアプリケーションを構成するための適切な権限が必要です。
PowerShell（例）などのツールを使用して、メンテナンスが始まる前にLDAPとSCIMプロバイダー間の不一致を特定して修正するために、移行前にユーザーとグループの属性を検証する必要があります。
（オプション）CMAの影響を受けたページのエクスポート（またはスクリーンショット）を作成します：ファイアウォール（インターネット / WAN）ルール、ネットワークルール、常時オンポリシー、クライアント接続ポリシー、ユーザーディレクトリ、ユーザーグループ。
https://status.catonetworks.comで、CMAサービスのメンテナンスウィンドウが実際の移行メンテナンスウィンドウと同時にならないように確認してください
ユーザーの移行を準備する
これは、CatoアカウントでのSCIMプロビジョニング済みユーザーのロジックです：
SCIMでプロビジョニングされたユーザーは、LDAPでプロビジョニングされたユーザーや手動で作成されたユーザーを上書きします。
ユーザーは内部ID、オブジェクトID、UPN、またはメールに基づいて一致します
LDAPでプロビジョニングされたユーザーがこれらの条件を満たしていることを確認してください：
既存のユーザーはCMAアクセス > ユーザー > ユーザーディレクトリに存在します。
LDAPにプロビジョニングされる予定のユーザーと同じUPNまたはメールアドレスを持っています。
UPNまたはメールアドレスが異なる場合は、重複したユーザーが作成されます。
重複したユーザーが誤って作成された場合は、次の手順に従ってください：
ユーザーをSCIM Catoネットワークプロビジョニングアプリから削除します。
CMAから重複したユーザーを削除します。
LDAP IdPでメールアドレスを更新し、その後再びユーザーをプロビジョニングします。
同じオブジェクトIDまたはUPNを持つユーザーが複数存在する場合、SCIMユーザーは既存のLDAPユーザーを上書きせず、イベントが生成されます。
ユーザーグループの移行を準備する
SCIMでプロビジョニングされたユーザーグループは、LDAPでプロビジョニングされたユーザーグループを上書きします
同じオブジェクトIDまたはグループ名を持つグループが複数ある場合、上書きは失敗します。 この場合、重複したグループを削除することをお勧めします。
SCIMプロビジョニングへの移行を完了すると、ユーザーはLDAPユーザーグループから自動的に削除され、新しいSCIMユーザーグループに追加されます。
ユーザーグループの移行例: ユーザーが複数のユーザーグループに属している場合、SCIMに移行されたユーザーグループ上では引き続きアクティブで、CMAでLDAPとしてマークされたユーザーグループから一時的に削除されます。 すべてのユーザーグループがSCIMに移行されると、これらのユーザーグループでユーザーが再度有効になります。 SCIMとLDAPの異なるユーザーグループタイプを持つルールがCMAで使用されている場合、ユーザーグループタイプが同じ移行バッチにない場合、一部のユーザーにダウンタイムが発生する可能性があります。