Documentation
ドキュメントの検索
karat

+

K

APIリファレンス ↗
管理と有効化認証SCIMプロビジョニングMicrosoft Entra IDによるプロビジョニング

注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。

Microsoft Entra ID によるプロビジョニング

このセクションでは、SCIM を設定するための Entra ID（旧称 Azure AD）固有の手順を説明します。

この手順では、Entra 管理者との調整が必要です。また、SSO で SAML を使用している場合、手順は OIDC の場合と少し異なります。

Palantir Foundry ギャラリーアプリ ↗ は、まだ SCIM プロビジョニングに対応していません。ギャラリーアプリを使用して Entra ID によるシングルサインオンを行っている場合、SCIM を有効にするには、新しいエンタープライズアプリを作成して使用する必要があります。

設定手順

SAML

1. SCIM プロビジョニングを有効にする

[エンタープライズアプリ] > プロビジョニング > 管理者資格情報に移動します。

  1. OAuth2 クライアント資格情報の付与認証方法を使用します。

  2. テナント URL：ステップ4で生成した SCIM URL を使用し、末尾に機能フラグ ?aadOptscim062020 を追加します（例：https://<DOMAIN>/multipass/api/scim/<REALM>/v2/?aadOptscim062020）。

    ?aadOptscim062020 パラメーターは Entra の機能フラグです。IDプロバイダーが SCIM 2.0 プロトコルを使用するように、SCIM 資格情報の生成時に返される SCIM URL の末尾に追加する必要があります。

  3. クライアントIDとシークレット：ステップ4：SCIM 資格情報を生成するで生成します。

SCIM クライアント資格情報を設定するための Entra ID の UI。

2. 属性のマッピングを設定する

[エンタープライズアプリ] > プロビジョニング > 属性の登録に移動します。

ユーザー

マッピングに、各属性の正しい属性値が含まれていることを確認してください。Entra のプロビジョニング設定の externalId フィールドでは、Control Panel で ID フィールドにマッピングしている SSO クレームで送信される値と同じ値を送信します。デフォルトでは NameID ですが、Palantir は、この値を変わることのない一意の識別子に変更することを推奨します。

externalId が Control Panel で ID にマッピングされている値と一致しない場合、SCIM プロビジョニングやログインに失敗する可能性があります。

  • Foundry が同期するのは、userName、externalId、active、displayName、emails、name（名と姓）のみです。ほかの属性もマッピングできますが、ユーザーが次にログインするまで Foundry はそれらを同期しません。
  • ユーザーの一意の識別子を、externalId、次いで userName の順に設定します。Entra ID では、これを「照合の優先順位」と呼びます。
    • externalId の照合の優先順位を1に設定します。
    • フォールバック識別子（または2番目の照合の優先順位）を userName に設定します。

グループ

グループの displayName 属性と externalId 属性は、どちらも、現在 Foundry でグループの保存に使用している値（グループの displayName または id）にマッピングする必要があります。これらの属性が一致しない状態でグループ名が変更されると、そのグループのメンバーがログインできなくなる可能性があります。

Foundry に送信されるフィールドを確認するには、[エンタープライズアプリ] > シングルサインオン > 2. 属性とクレーム > 編集 > http://schemas.microsoft.com/ws/2008/06/identity/claims/groups > ソース属性に移動します。ここで送信される値は、externalId と displayName の両方で送信される値と一致する必要があります。

SCIM グループプロビジョニングの属性マッピングを設定するための Entra ID の UI。

3. プロビジョニングのステータスをオンに切り替える

  1. これにより初回同期が開始され、このアプリケーションに割り当てられたすべてのユーザーとグループが Foundry に存在するようになり、すべてのグループメンバーシップが更新されます。また、Foundry は、Control Panel で設定されたすべてのルールについて、組織の割り当て、ユーザー受け入れ評価、ルールに基づくグループ評価を実行します。非同期ユーザーマネージャーは実行しません。これらの情報はすべて、ユーザーが次にログインしたときにも更新されます。

    外部管理グループを使用してユーザーの所属組織を振り分ける組織割り当てルールがある場合、SCIM がユーザーを最初にプロビジョニングするとき（初回同期でも、その後の作成リクエストでも）、これらのルールは実行されません。これらのルールが実行され、ユーザーが適切に振り分けられるには、ユーザーが手動で Foundry にログインするか、SCIM が updateUser リクエストを送信する必要があります。これは、SCIM がユーザーを作成するときにグループメンバーシップをすぐに更新しないため、Foundry が IDプロバイダーのグループに基づいて組織の割り当てを実行できないためです。

    同様に、SCIM が外部管理グループのグループメンバーシップを更新しても、メンバーシップが更新されたユーザーに対して組織割り当てルールは実行されません。つまり、外部管理グループのメンバーシップに依存する組織割り当てルールが実行されるには、ユーザーが手動で Foundry にログインするか、SCIM の updateUser リクエストをトリガーする何らかのユーザー更新（たとえば、ユーザー名の変更）が行われる必要があります。

  2. 初回同期が完了すると、更新は一定間隔で、通常は20〜40分ごとにバッチで送信されます。

OIDC

Entra ID で OIDC 認証方法を使用しており、SCIM を有効にしたい場合は、Palantir サポートにお問い合わせください。