--- title: "SCIM同期とプロビジョニングのトラブルシューティング" slug: "scim-sync-and-provisioning-troubleshooting" updated: 2026-07-30T01:33:38Z published: 2026-07-30T01:33:38Z canonical: "knowledge.catonetworks.com/scim-sync-and-provisioning-troubleshooting" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # SCIM同期とプロビジョニングのトラブルシューティング ## 概観 SCIM（クロスドメインアイデンティティ管理システム）の同期とユーザープロビジョニングは、アイデンティティ管理を自動化し、アプリケーションやリソースへの安全でスムーズなアクセスを保証するために不可欠です。 しかし、この自動化を妨げる問題が発生し、アクセスの問題やコンプライアンスリスクにつながる可能性があります。 このプレイブックは、Catoでの一般的なSCIM同期とプロビジョニングの問題を解決するための効果的なソリューションを提供することを目的としています。 ## 症状 SCIMプロビジョニングの失敗は、いくつかの方法で現れます。 管理者は次の症状を指摘することがあります： - SCIMの有効化時にエラーメッセージ - ユーザーがCMAにプロビジョニングされていない - IdPからCMAへの接続テストが失敗 - プロビジョニングされたユーザーがSDPクライアントに接続できない - CMAに重複したユーザーが存在 ## 考えられる原因 トラブルシューティング時に特定しようとする可能性のある原因を一覧にする - 設定ミス - 間違った管理者認証情報の使用 - ライセンス - IdPを介してプロビジョニングされた重複ユーザー ## 問題のトラブルシューティング トラブルシューティングの手順に入る前に、下記の図は SCIM プロビジョニングの機能の概要を示しています。 LDAPとは異なり、SCIM はプッシュメカニズムを使用して、ユーザー情報を直接 Cato Management Application (CMA) に配信します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26455622955165.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) Cato は Azure、Okta、One Login を通じてユーザーの SCIM プロビジョニングをサポートしています。 各アイデンティティプロバイダー (IdP) に対して SCIM プロビジョニングを設定する方法については、[SCIM を使用したユーザーのプロビジョニング](/v1/docs/scim-user-provisioning)を参照してください。 このプレイブックは、Azure（Entra ID）でのSCIMプロビジョニングに特に焦点を当てていますが、他のIdPにも適用可能な基本概念とトラブルシューティング技術を含んでいます。 ### SCIMの有効化時のエラー CMAでSCIMを有効にすると、次のエラーが表示されます。「SCIMプロビジョニングを有効にできません。 サポートにお問い合わせください。また、アカウントID設定については Email をご参照ください。」 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26606350511773.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) このエラーに遭遇した場合、[サポート](/v1/docs/submitting-a-support-ticket)に連絡して、アカウントのユーザーIDタイプを変更してください。 ### ユーザーがCMAにプロビジョニングされていない このセクションでは、ユーザーがCMAにプロビジョニングされない一般的な理由のいくつかを示します。 #### 管理者クレデンシャルを確認 - SCIMアプリケーション > プロビジョニング > クレデンシャルの更新に移動します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26511743159325.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - 管理者クレデンシャルを展開し、接続テストをクリックします。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26511683786909.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - CMAとの統合とプロビジョニングが正常に行われた場合は、次の結果が表示されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26511683788189.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - 接続テストが失敗した場合は、[管理者クレデンシャルの解決](/v1/docs/scim-sync-and-provisioning-troubleshooting#resolving-admin-credentials)を参照して、これを解決する方法を確認してください。 #### 必須属性 - Microsoft Entra IDとのSCIMプロビジョニングには、特定の属性が必要であり、必須です。 これらの必要な属性が欠落していると、ユーザープロビジョニングが失敗するか、プロビジョニングされたユーザーが接続できない可能性があります。 - 以下のスクリーンショットは、プロビジョニング中のために必要な必須項目を表示しています。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26513224640157.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - メールフィールドが欠落している場合、ユーザーはCMAにプロビジョニングされますが、SDPクライアントに接続することはできません。 - これが問題の原因であるかどうかを確認し、解決する方法については[必須属性の解決](/v1/docs/scim-sync-and-provisioning-troubleshooting#resolving-mandatory-attribute)セクションを参照してください。 #### Azureポータルでエンタープライズアプリケーションにユーザー/グループが未割り当て ユーザーとグループは、Catoプロビジョニングアプリケーションに追加され、CMAへ同期される前にAzureポータルで追加される必要があります。 このセクションでは、これを検証するための手順を示します。 - エンタープライズアプリケーション > Catoプロビジョニングアプリケーション > ユーザー＆グループに移動し、ユーザーまたはグループがリストされているかどうかを確認します。 - 以下の例では、「Cato Networks Provisioning—APJ T1 Lab」アプリケーションに1グループと1ユーザーが割り当てられていることが分かります。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26513224640669.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - ユーザーまたはグループがAzureのプロビジョニングアプリケーションにリストされていない場合は、[プロビジョニングアプリケーションへのユーザー/グループの割り当て](/v1/docs/scim-sync-and-provisioning-troubleshooting#assigning-usersgroups-to-provisioning-application)を参照してください。 #### ユーザー/グループのスコーピングフィルター - プロビジョニング設定にユーザーまたはグループのスコーピングフィルターが設定されているかどうかを確認します。 - エンタープライズアプリケーション > Catoプロビジョニングアプリケーション > プロビジョニング > マッピングに移動し、ユーザーまたはグループマッピングを選択します。 - 対象オブジェクトのスコープフィルターを確認し、問題のユーザーまたはグループが除外されていないか確認します。 - スコーピングフィルターによるプロビジョニングの失敗が発生した場合、ユーザー/グループはスキップされ、Azureは失敗の理由を表示します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26514553909149.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - これを解決するには、[ユーザー/グループにおけるスコーピングフィルターの解決](/v1/docs/scim-sync-and-provisioning-troubleshooting#resolving-scoping-filters-in-usersgroups)を参照してください。 ### SDPクライアントへの接続に失敗するプロビジョニングされたユーザー - CMAでSCIMプロビジョニングされた後、ユーザーはSDPクライアントを介して接続しようとした際、特にメールアドレスとサブドメインを入力した後に次のエラーに直面します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26623066681885.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - この失敗の原因の1つはライセンスの問題です - この問題がライセンスに関連しているかどうかを確認し、それを解決する方法を知るには、[ライセンス問題の解決](/v1/docs/scim-sync-and-provisioning-troubleshooting#resolving-the-licensing-issue)を参照してください。 ### CMAに重複したユーザーが存在 同じメールアドレスの重複ユーザーがCMAに表示されることがあります。 通常、一方のユーザーは無効にされ、もう一方にSDPライセンスが割り当てられています。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26700725460893.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) これが発生した理由と解決方法については、[CMAにおける重複ユーザーの解決](/v1/docs/scim-sync-and-provisioning-troubleshooting#resolving-duplicate-users-in-cma)を参照してください。 ## 発見された問題の解決 ### 管理者クレデンシャルの解決 - CMAにログインし、アクセス > ディレクトリサービス > SCIM に移動し、Base URLがAzureに設定されたTenant URLと同じであることを確認します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26511683788445.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - ベース URL が同じ場合は、新規トークンを生成してください。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26511743168541.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - 新しいトークンをCMAの設定を保存する*前に*コピーしてください。 それが完了したら、新しいトークンをAzureに入力し、再度**接続テスト**をクリックします。 ### 必須属性の解決 - メール属性は必須です。 このフィールドがアイデンティティプロバイダー (IdP) 内のユーザー情報に欠けている場合、ユーザーはCMAにプロビジョニングされますが、プロファイルにはメールアドレスがない状態になります。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26625524742941.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - ユーザープロファイルにメールフィールドがない場合、システムはSDPライセンスを割り当てることができず、ユーザーはSDPクライアントを介して正常に接続することができません。 ### プロビジョニングアプリケーションにユーザー/グループを割り当てる - プロビジョニングアプリケーションにユーザーまたはグループを割り当てるには、ユーザー/グループの追加をクリックし、「ユーザーとグループ」を選択します。 - その後、右側のペインが表示され、追加するそれぞれのユーザー/グループを選択できます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26513224642205.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - ユーザーと管理者グループをプロビジョニング アプリケーションに追加後、通常の自動プロビジョニング サイクルを待たずに、「Provision on Demand」を使用してこれらのユーザー/管理者グループを CMA で手動でプロビジョニングできます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26886686855069.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D)**注意**: ネストされたグループのプロビジョニングはサポートされていません。 ### ユーザー/グループにおけるスコーピングフィルターの解決 - もしユーザーまたはグループがスコーピングフィルターによって意図せずに除外されている場合： - スコーピングフィルターの条件を調整して、ユーザー/グループが含まれるようにします。 - フィルターのロジック（AND/OR）が意図した動作に一致していることを確認します。 - 詳細については、Microsoftドキュメント - [スコーピングフィルターでプロビジョニングするユーザーまたはグループのスコープの定義](https://learn.microsoft.com/en-us/azure/active-directory/app-provisioning/define-conditional-rules-for-provisioning-user-accounts?pivots=app-provisioning)を参照してください。 - 調整を行った後、オンデマンドでプロビジョニングを再実行し、ユーザー/グループが現在含まれていることを確認します。 ### ライセンス問題の解決 - アクセス > ユーザーに移動し、ユーザーディレクトリをクリックします。 ユーザーがSDPライセンスを割り当てられているかどうかを確認します。 以下のスクリーンショットは、ScimユーザーにSDPライセンスが割り当てられていないことを示しています。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26624060542365.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - 次に*アクセス > ライセンス配布*に移動し、"**すべてのユーザーにSDPライセンスを割り当てる**" オプションが有効になっているかどうかを確認します。 - 有効である場合、ユーザーの総数がSDPライセンスの総数を超えていないか確認します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26624624598045.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - ユーザー数が利用可能なライセンスを超えている場合は、追加のSDPライセンスを取得するためのオプションについてCatoの営業担当者にお問い合わせください。 - 担当者が誰か分からない場合は、[サポート](/v1/docs/submitting-a-support-ticket)にお気軽にお問い合わせください。 - "**特定のユーザーまたはグループにSDPライセンスを割り当てる**"が選択されている場合、SCIMプロビジョニングされたユーザーが割り当てられたグループに含まれていることを確認してください。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26624104674205.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) ### CMAにおける重複ユーザーの解決 - Azureでユーザーが削除されると、システムはオブジェクトID値をUPN値に付加し、ユーザーのアクティブステータスをfalseに設定します。 この操作により、SCIMデータベース内のユーザーが非アクティブになり、オブジェクトID+UPNを含むようにUPN値が更新されます。 この動作は[Microsoftドキュメント](https://learn.microsoft.com/en-us/answers/questions/129068/azure-ad-scim-adding-suffix-and-prefix-to-username)に沿っています。![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26860424599069.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - 同じユーザーが同じメールアドレスを使用して Azure 内で再作成された場合、SCIM データベースと CMA の両方に異なる ObjectID を持つ重複ユーザーが作成されます。 この段階で、重複ユーザーの UPN は異なります。 このシナリオでは、重複を避けるために CMA 内で無効なユーザーを削除する必要があります。 - Cato は重複したメールアドレスを持つユーザーを許可しますが、SDP ライセンスを割り当てることができる重複ユーザーは 1 人のみです。 UPN と ObjectID は、すべての SCIM ディレクトリサービスでユニークである必要があることに注意してください。 ## 注意事項と制限 1. 異なるユーザーはSCIMとLDAPを通じてプロビジョニングされることができます。 しかし、ユーザーがSCIMとLDAPの両方を通じてプロビジョニングされた場合、SCIMプロビジョニングが優先されます。 結果として、ユーザーはLDAPプロビジョニングされたグループから削除され、SCIMプロビジョニングされたグループに追加されます。 詳細については、[SCIMおよびLDAPでのユーザーのプロビジョニング](/v1/docs/provisioning-users-with-scim-and-ldap)を参照してください。 2. SCIMとLDAPの間で切り替えることを計画している場合は、スムーズな移行を確保するために、まず[SCIMとLDAPユーザプロビジョニングの間で切り替え](/v1/docs/changing-between-scim-and-ldap-user-provisioning)を参照してください。 3. ユーザーとグループは CMA で削除できますが、ユーザーは SCIM アプリ内で直接削除することをお勧めします。 これを行う正しい方法の詳細については、[SCIMアプリからのユーザーまたはグループの削除](/v1/docs/provisioning-users-with-scim)を参照してください。 ## Catoサポートへの問題提起 上記のトラブルシューティング手順の結果を含む[サポートチケット](/v1/docs/submitting-a-support-ticket)を提出します。 次の情報をチケットに含めてください： 1. 問題の説明とユーザーへの影響 - SCIMプロビジョニング中に発生した問題の明確な説明。 - 影響を受けたユーザーへの範囲と影響の概要（例：影響を受けたユーザーの数、受け取ったエラーメッセージ等）。 2. CMAへのプロビジョニング状況 - 影響を受けたユーザーはCMAに正常にプロビジョニングされましたか？ - そうでない場合、ログを調べることで追加の洞察が得られ、根本的な原因を特定するのに役立ち、さらなるトラブルシューティングと解決を促進します。 - [www.portal.azure.com](http://www.portal.azure.com)にログインしてください。 エンタープライズアプリケーション > Catoプロビジョニングアプリケーション > プロビジョニングに移動 - 「プロビジョニングログ」をクリックして、プロビジョニング履歴を表示します。 - 特定のプロビジョニングをクリックすると、右側に「プロビジョニングログの詳細」ペインが表示されます。 以下から、このオブジェクトの同期がアプリケーションに割り当てられていないためにスキップされたことがわかります。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/26676034994845.png?sv=2026-02-06&spr=https&st=2026-11-10T16%3A30%3A55Z&se=2026-11-10T17%3A30%3A55Z&sr=c&sp=r&sig=dNhYB5%2B0fxf0D6Vtrq0qp3xdA5wFqEoGcmMGvgNuoqM%3D) - また、影響を受けたユーザーに対してオンデマンドプロビジョニングを試みて、以下を含めてください： - 結果のスクリーンショット（成功またはエラーメッセージ） - オンデマンドプロビジョニングが実行された正確なタイムスタンプ 3. SDPクライアントへの接続性 - プロビジョニングが成功したユーザーはSDPクライアントに接続できますか？ - もしそうでない場合、ユーザーが接続を試みた際にエラーを示すクライアントUIのスクリーンショットを提供してください - [問題を記録する](/v1/docs/recording-issues-using-the-cato-client)機能を使用してクライアントのログを提供してください。