--- title: "SCIMプロビジョニングとEntra ID（以前はAzure）" slug: "scim-provisioning-with-entra-id-formerly-azure" updated: 2026-09-30T23:11:24Z published: 2026-09-30T23:11:24Z canonical: "knowledge.catonetworks.com/scim-provisioning-with-entra-id-formerly-azure" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # SCIMプロビジョニングとEntra ID（以前はAzure） この記事では、Azure SCIMアプリを使用してユーザーとグループの情報を自動で同期し、Entra IDからCatoアカウントにユーザーとグループをプロビジョニングする方法を解説します。 ## サポートされている機能 - Cato管理アプリケーションでユーザーを作成および無効化する - Azure ADからCato管理アプリケーションへのユーザーと属性を同期する - Azureへのシングルサインオン（SSO） - ユーザーは、Azureの構成に応じて、メールアドレスまたはUPNで認証できます（下記の「[メールアドレスまたはUPNでのサインイン](/v1/docs/scim-provisioning-with-entra-id-formerly-azure#signing-in-with-email-address-or-upn)」を参照）。 ## 前提条件 Azure SCIMアプリを作成する前に、以下の項目を準備してください。 - Entra ID テナント - ユーザープロビジョニングを設定するためのEntra IDの権限 ## 制限事項 - IdPアプリケーションからユーザーを削除すると、Cato管理アプリケーションでユーザーが無効になります（詳細は [SCIMアプリからユーザーまたはユーザーグループを削除する](/v1/docs/scim-provisioning-with-entra-id-formerly-azure#removing-users-or-user-groups-from-the-scim-app)をご確認ください）。下記 - ユーザーのLDAP同期を使用しているアカウントでは、SCIMプロビジョニングを有効にすると、この同期はアカウントで無効になります。 - User Awareness向けのLDAP同期は通常通り機能し、SCIMプロビジョニングの影響を受けません。 - ネストされたグループのプロビジョニングはサポートされていません。 - SCIM同期は、同じ名前の既存のLDAPグループを上書きします。詳細については、SCIM同期が既存のLDAPグループをどのように上書きするかを参照してください。 - SCIMプロビジョニングされたユーザーは、WMIベースのUser Awarenessでは識別されません。SCIMを使用したUser Awarenessは、Cato [アイデンティティ・エージェント](/v1/docs/using-cato-identity-agents-for-user-awareness)を使用してサポートされます。 - オンデマンドプロビジョニングでは、ユーザーをユーザーグループに割り当てることはサポートされていません。 ## ユーザー同期の計画 このセクションでは、Entra IDがCatoアカウントとユーザーを同期する方法を計画する方法を説明します。 AzureとCatoの間でのユーザー同期を計画する詳細については、これらのMicrosoftの記事を参照してください。 - [Azure ADにおける自動SaaSアプリユーザープロビジョニングとは何ですか？](https://docs.microsoft.com/en-us/azure/active-directory/app-provisioning/user-provisioning) - [スコープフィルターを使用した属性ベースのアプリケーションプロビジョニング](https://docs.microsoft.com/en-us/azure/active-directory/app-provisioning/define-conditional-rules-for-provisioning-user-accounts) - [チュートリアル - Azure Active DirectoryでSaaSアプリケーションのユーザープロビジョニング属性マッピングをカスタマイズする](https://docs.microsoft.com/en-us/azure/active-directory/app-provisioning/customize-application-attributes) ### ユーザー同期用のユーザーとグループの定義 Entra IDでは、次のいずれかの方法でユーザー同期に含まれるユーザーを定義できます。 - ユーザーをEntra IDアプリに割り当てる - [ユーザーまたはグループ](https://docs.microsoft.com/en-us/azure/active-directory/app-provisioning/define-conditional-rules-for-provisioning-user-accounts)の属性に基づいてユーザーをフィルターする ユーザー同期の計画プロセスの一環として、Catoと小規模のユーザーグループから始めることをお勧めします。上記の方法に応じて、次のことができます。 - 少数のユーザーをEntra IDアプリに割り当てる - 少数のユーザーにのみ一致する属性ベースのスコープフィルターを作成する ## Cato SCIMアプリを使用してCatoとの自動ユーザー同期の設定 Entra IDをCatoアカウントに接続し、ユーザーを間で同期できます。 AzureギャラリーでCato SCIMアプリをアカウントに追加し、その後、設定を構成してCatoアカウントに接続します。 Azureは40分ごとに自動ユーザー同期を開始します。 その後、同期されるEntra IDグループとユーザーを定義し、自動プロビジョニングを有効にできます。 あなたのプロバイダ（IdP）でのユーザーのステータスが自動的にCatoアカウントに同期されます。たとえば、IdPでユーザーを無効にすると、それらはCatoアカウントで無効として同期されます。 **注意：** AzureでのSCIMグループの総ユーザー数をCMA SCIMグループと比較すると、CMA SCIMグループには少ないユーザーがいることに注意してください。無効になったユーザーについては考慮されておらず、同期された後に無効になったか、常に無効だったユーザーです。 ### Cato SCIMアプリの設定 AzureギャラリーからCato SCIMアプリの設定を構成し、その後アプリを自動でユーザーをCatoに同期するよう設定します。 Cato管理アプリケーションでSCIMプロビジョニングを有効にし、URLとトークンをコピーしてCato SCIMアプリの管理者資格情報セクションに記入してください。 既存のアプリに新しい属性を追加するには、[SCIMアプリを更新](/v1/docs/scim-provisioning-with-entra-id-formerly-azure#h_01KTGM1RRW5P2CEFX66TSNG0Z8)してください。 **SCIMアプリにCato管理アプリケーションを接続するには：** 1. [Azureポータル](https://portal.azure.com/)から、**エンタープライズアプリケーション**に進んでください。 2. **新しいアプリケーション**に進み、Cato Networksプロビジョニングアプリを検索して**作成**をクリックします。 3. Cato管理アプリケーションで、ナビゲーションメニューから**アクセス > ディレクトリサービス**を選択し、**SCIM**タブをクリックします。 ![SCIM.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33982319478557.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A14Z&se=2026-11-10T17%3A50%3A14Z&sr=c&sp=r&sig=ekge150kJgVqhNESMqYhAueX2yaVFOzkpQyElM7Q4IQ%3D) 4. **SCIMプロビジョニングを有効にする**を選択し、アカウントをSCIMアプリに接続するよう設定します。 5. **保存**をクリックします。 6. SCIMのURLとトークンを空白のテキストファイルにコピーして貼り付けます。 1. **ベース URL** 含む、コピーアイコンをクリックして SCIM URL をクリップボードにコピーし、それをテキストファイルに貼り付けます。 2. **Bearer Token** 含む、コピーアイコンをクリックして一意のアカウントトークンをクリップボードにコピーし、それをテキストファイルに貼り付けます。 7. Azureで、SCIMアプリケーションの**プロビジョニング**セクションに進み、SCIM URLとトークンを貼り付けます。 1. **テナントURL**にURLを貼り付けます。 2. **シークレットトークン**にトークンを貼り付けます。 3. **保存**をクリックします。 8. Azureで、**接続テスト**をクリックしてAzure ADがCato SCIMアプリに接続できることを確認します。 9. アプリで自動プロビジョニングを有効にします。 1. ナビゲーションメニューから**プロビジョニング**を選択します。 2. **プロビジョニング**画面で、**開始**をクリックします。 3. **プロビジョニングモード**のドロップダウンメニューから**自動**を選択します。 4. **保存**をクリックします。 10. グループとユーザーをアプリに割り当てます。 ### Catoアカウントへのユーザープロビジョニング Cato SCIMアプリがアカウントに接続できるようになったら、自動プロビジョニングを有効にして同期されるユーザーとグループを選択します。 **Catoアカウントにユーザーをプロビジョニングするには：** 1. Cato SCIMアプリの**プロビジョニング**セクションに進みます。 2. **プロビジョニングステータス**で、**プロビジョニング開始**をクリックします。 ![Azure_StartProvisioning.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/33982275273757.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A50%3A14Z&se=2026-11-10T17%3A50%3A14Z&sr=c&sp=r&sig=ekge150kJgVqhNESMqYhAueX2yaVFOzkpQyElM7Q4IQ%3D) Azure ADとCatoアカウントとの初回同期が開始されます。 ## 既存のSCIMアプリの更新 Microsoft Entra ID SCIMアプリケーションの属性リストおよびマッピングを更新して、追加のユーザー属性をCatoにプロビジョニングします。これは、Catoが使用する最新の属性にアクセスするために必要です。例: Job Titleと部門。 > [!TIP] > 注： > > SCIMアプリケーションが2025年11月以前に作成された場合は、新しいSCIMアプリケーションを作成して、以下に記載されている通りに属性を構成する必要があります。 **既存のSCIMアプリを更新するには：** 1. [Azureポータル](https://portal.azure.com/)で、**エンタープライズアプリケーション > すべてのアプリケーション**に進み、Cato SCIMアプリを選択します。 2. **プロビジョニング**をクリックし、その後**属性マッピング**をクリックします。 3. 属性マッピングページで、**高度なオプションを表示**チェックボックスを選択し、**の属性リストを編集**をクリックします。 4. 属性を追加し、**タイプ**ドロップダウンから該当の値を選択します。 追加したい各属性に対してこのプロセスを繰り返します。 5. **保存**をクリックします。 6. 属性マッピングページで、**属性の編集**をクリックします。 7. 属性を編集ページで、**ソース属性**を選択し、**ターゲット属性**にマッピングします。 たとえば、ソースとしてjobTitleを選択し、ターゲットのtitleにマッピングします。 追加中の各属性に対してこのプロセスを繰り返します。 8. **保存**をクリックします。 9. [プロビジョニング](/v1/docs/scim-provisioning-with-entra-id-formerly-azure#h_01KTGM1RRW7QF28GCYJ20PKCXP)ユーザーとグループをアカウントに送信する。 ## SCIMプロビジョニング属性の確認 Cato SCIMアプリの設定後、Entra IDとCato管理アプリケーション間のSCIMプロビジョニング属性のマッピングを確認できます。 | Azure AD属性 | Catoユーザー属性 | ユーザーに関する注意事項 | | --- | --- | --- | | userPrincipalName | userName | ユーザー名 | | Coalesce([mail], [userPrincipalName]) | emails[type eq "work"].value | メールアドレス | | givenName | name.givenName | 名 | | surname | name.familyName | 姓 | | telephoneNumber | phoneNumbers[type eq "work"].value | 電話番号 (プレフィックスを含む) | | objectId | externalId | ユーザーのID（イベントで使用） | | Switch([IsSoftDeleted], , "False", "True", "True", "False") | アクティブ | ユーザーがSCIMアプリからアンアサインされると、以下のパラメータでソフト削除されます：「False」、「True」、「True」、「False」 | | onPremisesSecurityIdentifier | オンプレミスセキュリティ識別子 | | | ディレクトリ同期有効 | ディレクトリ同期有効 | | | 職務名 | タイトル | | | 部門 | urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:部門 | | ## ## **メールアドレスまたはUPNでのサインイン** デフォルトでは、Entra IDはUser Principal Name (UPN) のみでユーザーを認証し、Cato SCIMアプリは `userPrincipalName` のみを `userName` にマッピングします。ユーザーがCatoクライアントにメールアドレスまたはUPNのいずれかを用いてサインインできるようにするには、以下に示されたようにSCIM属性のマッピングとEntra IDを構成してください。 ### ステップ1: ユーザー名属性を両方の識別子にマッピングする Catoは、ユーザーのSSOサインインをCato管理アプリケーション内のユーザーデータの `userName` 属性と照合します。デフォルトでは、この属性は `userPrincipalName` のみから集められます。詳細は **SCIMプロビジョニング属性のレビュー**に記載されています。このマッピングのソースを変更し、メールアドレスからUPNにフォールバックする式を使用して、Entra IDでサインイン時にいずれの識別子でも一致するようにします。 **ユーザー名属性のマッピングを更新するには：** 1. [Azureポータル](https://portal.azure.com/)で、**エンタープライズアプリケーション > すべてのアプリケーション**に進み、Cato SCIMアプリを選択します。 2. **プロビジョニング**をクリックし、その後**属性マッピング**をクリックします。 3. 属性マッピングページで、**ターゲット属性**が `userName` であるマッピング行をクリックします。 4. **マッピングタイプ**を **表現**に変更します。 5. **表現** に `Coalesce([mail], [userPrincipalName])` を入力します。 6. **ターゲット属性**が依然として `userName` に設定されていることを確認し、**OK** をクリックします。 7. **保存**をクリックします。 この表現は `mail` 属性を優先し、Entra IDでの `mail` 属性が空のユーザーには `userPrincipalName` を使用します。 ### ステップ2: メール属性のマッピングを確認する デフォルトのCato SCIMアプリテンプレートは、`Coalesce([mail], [userPrincipalName])` を `emails[type eq "work"].value` に別々にマッピングします。詳細は **SCIMプロビジョニング属性のレビュー**に記載されています。このマッピングはサインインの一致には関連しませんが、ユーザーレコードに正しいメールアドレスが表示されるように存在を確認してください。 **このマッピングがアプリに存在することを確認するには：** 1. 同じ属性マッピングページで、`Coalesce([mail], [userPrincipalName])` から `emails[type eq "work"].value` へのマッピングがリストされていることを確認します。 SCIMアプリが2025年11月より前に作成された場合、以下の **既存SCIMアプリの更新**に従ってこのマッピングを追加してください。 ### ステップ3: Entra IDでの代替ログインIDとしてのメールを有効にする Cato管理画面にユーザー名とメール属性を入力するだけでは不十分です。 CatoクライアントからのSSOフロー中に表示されるEntra IDのサインインプロンプトも、正しいサインイン名としてメールアドレスを受け入れるように構成されている必要があります。 **Entra IDのメールサインインを設定するには：** 1. Entra管理センターで、**Entra Connect > Connect Sync** に進みます。 2. **代替ログインIDとしてのメール**を有効にします。 > [!TIP] > 注: > > メールを代替ログインIDとして設定することは、ハイブリッドアイデンティティ環境向けのMicrosoft Entra Connect Sync設定です。クラウドのみのテナントおよび詳しいステップについては、Microsoftのドキュメントをご覧ください： [ユーザーが代替ログインIDとしてメールアドレスを使用してサインインすることを有効にする](https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-use-email-signin)。 SCIMで両方の識別子にユーザー名属性がマッピングされ、Entra IDで **代替ログインIDとしてのメール** が有効化されると、ユーザーはCatoクライアントでメールアドレスまたはUPNのいずれかを入力でき、Entra IDは一致するアカウントを見つけてSSO認証を完了します。 ## SDPライセンスの割り当て IDPで、Catoアカウントに同期されるグループとユーザーを定義します。最初の同期が完了すると、すべてのユーザーがCato管理アプリケーションに作成され、**ユーザーディレクトリ**ページに表示されます。 その後、SDPライセンスをユーザーに割り当てることができます。詳細については、[ZTNA ライセンスをユーザーに割り当てる](/v1/docs/assigning-ztna-licenses-to-users) をご覧ください。 #### **ユーザーまたはユーザーグループをSCIMアプリから削除する** > [!WARNING] > 重要： > > CMA内でもユーザーを削除することはできますが、AzureポータルからSCIMアプリでプロビジョニングされたユーザーまたはユーザーグループを削除することをお勧めします。 SCIMアプリでプロビジョニングされたユーザーまたはユーザーグループをCatoアカウントから削除する場合、アプリ内で割り当てを解除します。 SCIMアプリが次回アカウントと同期する際に、ユーザーとユーザーグループは自動的に無効になります。 **Catoアカウントに同期されたユーザーまたはユーザーグループを削除するには：** 1. Cato SCIMアプリで、ユーザーまたはユーザーグループの割り当てを解除します。 次回の同期時に、SCIMアプリはCatoアカウント内のユーザーまたはユーザーグループを無効にします。 2. **(オプション)** ユーザーまたはグループが無効になった後、Cato管理アプリケーションから削除することができます。 ユーザーまたはユーザーグループを手動で削除する前に、最大15分かかることがあります。 ## SCIMプロビジョニングのイベントを理解する Cato管理アプリケーションは、クライアント接続ポリシーの要件を満たすことができないためにブロックされるユーザーおよびグループがある場合にイベントを生成します。 毎時間、Cato管理アプリケーションは、SCIMプロビジョニングアクション（成功または失敗）の要約を提供する電子メールアラートを送信します。 以下のテーブルは、異なるイベントを説明します。 | イベントタイプ | アクション | 説明 | | --- | --- | --- | | SCIMプロビジョニング | 成功 | SCIMアプリでユーザーまたはグループをアカウントに同期するアクションが成功しました。 | | SCIMプロビジョニング | 失敗 | SCIMアプリがIdPとの同期に失敗しました。**イベントメッセージ**は同期失敗の理由を説明しています。 | | SCIMプロビジョニング | 無効 | IdPで無効されたユーザーが成功裏に同期され、Catoアカウントで無効にされました。 | ## 記事チェンジログ | 日付 | "説明" | | --- | --- | | 2026年9月29日 | - [メールアドレスまたはUPNでのサインイン](/v1/docs/scim-provisioning-with-entra-id-formerly-azure#signing-in-with-email-address-or-upn)セクションを追加 |