SCIM プロビジョニング FAQ

SCIM は、チームのメンバーを ID プロバイダーから 自動的に作成、更新、無効化します。Enterprise プランに含まれるほか、Presenter、Studio HD、Studio 4K、Studio 8K では Enterprise アドオンとして利用でき、 チームで ダッシュボード → チーム → セキュリティ（/dash/team/security）から設定します。設定には チーム権限 セキュリティの管理 が必要です。

仕組みの概要は？

• IdP は ベアラートークン を使って Cliqer の SCIM 2.0 エンドポイントを呼び出します。
• トークンがチームを識別します。URL にチーム ID は含まれないため、他のすべてのユーザーと 同じベース URL を使用し、トークンによってすべての操作がチームに限定されます。
• プロビジョニングされたユーザーは チームのメンバー になります。ユーザーを無効化すると、 そのユーザーはチームから削除されます。

設定方法は？

ローテーションまたは失効

• ローテーション：新しいトークンを発行して IdP を更新し、古いトークンを失効させます。
• 失効 させると、トークンは直ちに無効になります。失効したトークンは二度と使用できません。

サポートされている操作は？

フィルタリングは userName eq "..." に対応しています（Okta と Entra ID が重複排除に使用）。 一括操作とグループのプロビジョニングはサポートされていません。

どのユーザー属性が使用されますか？

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "user@company.com",
  "name": { "givenName": "John", "familyName": "Doe" },
  "emails": [{ "primary": true, "value": "user@company.com" }],
  "active": true,
  "externalId": "employee-123"
}

userName（メールアドレス）、name.givenName、name.familyName、active、 externalId がマッピングされます。その他の属性は受け付けられますが、無視されます。

無効化するとどうなりますか？

（PATCH による）active: false の送信、または DELETE によって ソフト デプロビジョニング が実行されます。

1. ユーザーがチームから削除されます。
2. アカウントが 他のどのアクティブなチームにも所属していない 場合、アカウントは一時停止され、 その人はサインインできなくなります。
3. アカウントデータは保持されます。active: true を再送信する（または再作成する）と、 メンバーシップが復元されます。

つまり、あるチームでユーザーをデプロビジョニングしても、そのユーザーが所属する別の チームから締め出されることは決してありません。

プロビジョニングを監視するには？

セキュリティページの プロビジョニングアクティビティ パネルは ライブフィード です。 作成、更新、無効化、削除のすべてがリアルタイムで表示されます（作成、 無効化/削除、エラーは色分けされます）。これが SCIM の監視 ダッシュボードであり、追加で有効にする設定はありません。

セキュリティ

• トークンは SHA-256 ハッシュとしてのみ保存されます。Cliqer がトークンを再表示することはできません。
• すべての SCIM エンドポイントには HTTPS とベアラートークンが必要です。
• すべての操作はトークンのチームに限定されます。トークンが別のチームのユーザーを読み取ったり変更したり することは決してできません。

トラブルシューティング

• 401 Unauthorized：トークンがない、誤っている、または失効しています。新しいトークンを発行してください。
• ユーザーに対する 404：そのユーザーはトークンのチームのメンバーではありません。SCIM が 参照できるのは自チームのユーザーのみです。
• ユーザーが作成されない：userName が有効なメールアドレスであることを確認してください。

関連情報

• SSO FAQ
• チームのロール