SCIMによるユーザーのプロビジョニング

この手順では、SCIMプロトコルを使用して、Catoアカウントにユーザーをプロビジョニングする方法を解説します。

概要

SCIMは、異なるクラウドアプリベンダー間でアイデンティティ情報を交換するための標準を定義しています。例えば、SCIMを使用すると、Catoアカウントでのユーザーデータの作成、更新、または削除を簡単に行うことができます。

ユーザー情報は、IdPからCatoへ安全に同期され、ユーザーが作成されます。 IdPにおけるユーザー詳細の変更点は、ほぼリアルタイムにCatoに反映されます。例えば、従業員が会社を去ると、そのアカウントは会社のIdPから削除されます。次回の同期時に、Catoはユーザーを削除するのではなく無効にします。そのため、ユーザーの過去のデータは保持され、過去の活動を調査することが可能です。

ディレクトリ名列で、インポートされたユーザーと手動で作成されたユーザーを確認できます。インポートされたユーザーはSCIMディレクトリの名前で表示され、手動で作成された場合は「手動」として表示されます。ディレクトリ名でフィルタリングしたり、システム内のすべての手動で追加されたユーザーを表示することもできます。

SCIMでプロビジョニングされたユーザーは、一度ライセンスが割り当てられ、ポリシーに含まれることができます。

注:新しいSCIMプロバイダまたはディレクトリの追加は、既存のディレクトリを移行するために使用しないでください。ユーザーの移行についての情報は、このセクションをご覧ください。

SCIMによるユーザーのプロビジョニングの利点

SCIMを使用したユーザーのプロビジョニングの利点は次のとおりです：

IdPからあなたのCatoアカウントへのユーザーの即時同期。
グループメンバーシップやユーザープロファイルの更新や変更は、ほぼリアルタイムで行われます
インバウンドファイアウォールルールの設定なしに、IdPをあなたのCatoアカウントに統合
SCIMはIdPベンダーによって広くサポートされており、アカウントとの統合が容易です

ユーザープロビジョニングプロセスの流れ

このプロセスは、IdPからユーザーがプロビジョニングされ、ライセンスが割り当てられ、ポリシーに追加されることで、安全にネットワークに接続できるようになる方法を説明します。

IdPで、Catoにプロビジョニングするユーザーおよび/またはグループを定義します。
Catoとの自動ユーザー同期を設定します。
必要なユーザーにライセンスを割り当てる
ユーザーにポリシーを適用する

SCIMによるユーザーのプロビジョニング

SCIMによるユーザープロビジョニングをサポートするIdPは以下のとおりです：

Azure
Okta
One Login
DTS

各IdPに対するSCIMプロビジョニングの構成方法については、SCIMによるユーザーのプロビジョニングおよびあなたのCatoアカウントに対するIdentity Providerの使用をご覧ください。

SCIMアプリからユーザーまたはグループの削除

SCIMアプリからユーザーやグループを割り当てたり、解除したりすることをお勧めします。しかし、CMAから直接SCIMでプロビジョニングされたユーザーやグループを有効化、無効化、削除することも可能です。これらの変更は自動的にSCIMサービスへ同期されます。

注:SCIMによってプロビジョニングされたCMAで無効化または削除されたユーザーは次のとおりです：
Entra IDは次のプロビジョニングサイクルで復元され、有効化されます。 Entraは無効または削除された状態を上書きし、自動的にユーザーを再有効化します。
Okta
無効化されたユーザーはそのまま無効化されます。 Oktaは更新を送信する際に無効状態を保持します。無効化されたユーザーをOkta SCIMアプリケーションに再割り当てするには、CMAでユーザーを再有効化する必要があります。
削除されたユーザーは、SCIMサービス内で非アクティブのままになります。削除されたユーザーを再プロビジョニングするには、Oktaアプリケーションからユーザーを解除し再度割り当てます。ユーザーはSCIMサービスおよびCMAで再アクティブ化されます。

SCIMアプリでプロビジョニングされたユーザーやグループを削除したい場合、アプリ内で割り当て解除を行います。次にSCIMアプリがアカウントと同期する際に、ユーザーとグループは自動的に無効化されます。

SCIMプロバイダーを削除または変更する場合、CMAからSCIMプロバイダーの設定を削除する前に、SCIMアプリからインポートされたすべてのユーザーやグループを削除する必要があります。 SCIMアプリの同期後、これらのエンティティはCMAで無効化されます。

ZTNA(SDP)ライセンスを持つSCIMプロビジョニングされたユーザーを無効化または削除すると、ZTNAライセンスは未割り当てとなり、他のユーザー利用可能になります。

削除後のユーザーグループ再プロビジョニング

削除されたユーザーグループを再プロビジョニングする際の動作は、IdPによって異なります：

Entra ID: 削除されたユーザーグループを再プロビジョニングすると再作成されますが、メンバーシップは復元されません。メンバーシップを復元するには、Entraアプリケーションからグループを削除し、再度追加します。メンバーシップは次のプロビジョニングサイクルで復元されます。
Okta: 削除されたユーザーグループのOktaからのプッシュは失敗します。 Oktaアプリケーションから削除し再割り当てでユーザーグループを再プロビジョニングします。これにより、ユーザーグループとそのメンバーシップが復元されます。

アクティブSCIMディレクトリの削除

SCIMディレクトリをアカウントから削除できます。削除後、そのユーザーとグループの変更はIdPから同期されなくなります。まだアクティブなユーザーがいる場合でも、ディレクトリを削除できます。

注:認証に使用されているSCIMディレクトリは削除できません。削除する前に、ユーザー認証設定からディレクトリを削除します。

SCIMディレクトリを削除する方法：

ナビゲーションペインから アクセス > ディレクトリサービス に移動し、SCIM タブをクリックします。
SCIMディレクトリ行の最後にある三点図形アイコンをクリックし、削除を選択します。
確認ウィンドウで削除をクリックします。このSCIMディレクトリはCatoアカウントから削除されます。このディレクトリのIdPからの将来の変更は、同期されなくなります。