Workiva サポートセンター

SCIMの概要

重要: 組織のSCIMサポートを構成するには、組織のセキュリティ管理者である必要があります。

SCIMとは？

System for Cross-domain Identity Management (SCIM)は、ユーザーIDを簡単かつ自動的に管理できるように設計されたオープンな仕様である。SCIM を使用すると、Okta、SailPoint IdentityIQ、PingFederate、OneLogin、Azure Active Directory などの SCIM 対応 ID プロバイダーを通じて、Workiva ユーザーの作成と停止を自動的に管理できます。

さらにSCIMは、組織ロール、ワークスペースのメンバーシップ、ワークスペース役割、ワークスペースグループの管理を可能にするグループをサポートしています。これにより、お好みのIDプロバイダーからユーザーライフサイクル全体を管理することができます。

SCIMは2015年に更新された最新版の規格、SCIM 2.0 を使用している。このサービスは、現在お使いのブラウザと同じようにHTTPSでアクセスでき、新たなファイアウォールルールやネットワークの修正は必要ありません。

注: Workivaは、市販またはフリーで入手可能なSCIMクライアントの構成のみをサポートし、トラブルシューティングを支援します。

サポートされているSCIM機能

次のプロビジョニング機能がサポートされています:

• Create new users
  ID プロバイダで割り当てられた新規ユーザーは Workiva プラットフォームでも作成されます。
• Deactivate unassigned users
  ID プロバイダでユーザーを割り当て解除すると、Workiva プラット フォームでユーザーを一時停止します。
• ユーザーの非アクティブ化
  ID プロバイダでユーザーを非アクティブ化すると、Workiva プラット フォームでユーザーが一時停止されます。
• プロファイルの更新
  ID プロバイダを通じてユーザーのプロファイルに加えられた更新は、Workiva プ ラットフォームで更新されます。
• 新規ユーザーのインポート
  Workiva プラットフォームで作成した新規ユーザーを ID プロバイダーにインポートし、既存または新規ユーザーにマップすることができます。
• ユーザーの再有効化
  アイデンティティ プロバイダでユーザーを再有効化または再割り当てすると、そのユーザーは Workiva プ ラットフォームでアクティブになります。
• Group push
  組織ロール、ワークスペース メンバーシップ、ワークスペース ロール、ワークスペース グループ メンバーシップを含むユーザーのワークスペース資格は、既存の ID プロバイダ グループで管理できます。

SCIM/SAMLのシングルサインオン

SCIM は、ID プロバイダー（IdP）を通じて Workiva へのアクセスを提供する SAML ベースのシングルサインオン（SSO）と組み合わせて使用する必要があります。SCIM 設定を構成する前に、SAML シングルサインオンの基本 およびSAML シングルサインオンの構成 をレビューしてください。

重要: すべての Workiva ユーザー名が一貫した命名規則を持っており、SCIM ツールがユーザーを作成する方法と整列していることを確認してください。

ステップ 1: プロビジョニングの作成

ID プロビジョニングを作成し、SCIM API 認証情報を生成します：

1. 右上のユーザーアイコンをクリックし、ドロップダウンメニューから 管理者 を選択します。
2. 次に、ドロップダウンメニューから組織管理者を選択します。
   
3. 組織管理者 ページで、左側のメニューペインで セキュリティを選択し、 プロビジョニングタブを選択します。 
   
4. 「IDまたはAPIを追加」をクリックします。
   

5. ドロップダウンでIDプロバイダー を選択する。
   

   以下の手順は、IDプロバイダー向けです。API グラントについては、 組織管理で API グラントを作成および管理するを参照してください。

6. 必須項目を入力してください：
   • 関連付けの名前 を設定します。この名前は、「Okta プロダクション」のように、Workivaにユーザー情報を送信するシステムを表す必要があります。

   • Workivaのユーザー名を設定してください。アクティビティログに記録されたSCIMアクションはこのユーザーに関連付けられ、それらのユーザーに対してAPI認証情報が生成されます。

     以下の役割を持つ専用のSCIM APIユーザーを作成することをお勧めします。

     • 組織ユーザー管理者（ユーザーの作成、無効化、更新に必要）
     • 組織セキュリティ管理者（SCIMがセキュリティ管理者ロールを管理する場合に必須）
     • 組織ワークスペース管理者（SCIMがワークスペースのメンバーシップ、役割、グループを管理する場合に必須）
     • Workiva AIユーザー（SCIMがAIロールを管理する場合に必須）
     • 組織チェーンセキュリティ管理者（SCIMがチェーンロールを管理する場合に必須）

     SCIMは、このユーザーが既に持っている役割のみを割り当て、管理することができます。

     APIトークンを生成するには、このアカウントに有効なメールアドレスが必要です。後でWorkivaのユーザー名を変更すると、現在のシークレットは無効になり、新しいユーザーのみが新しいシークレットにアクセスできるようになります。

     このユーザーのみが、 [マイ プロファイル] >[セキュリティ]で ID プロバイダーのシークレットを表示できます。

     注記: SCIM API ユーザーに役割が割り当てられていない場合、SCIM は他のユーザーにその役割を割り当てたり管理したりすることはできません。例えば、SCIM を介して Workiva AI ユーザーまたは組織チェーンセキュリティ管理者ロールをプロビジョニングするには、まずそれらのロールを SCIM API ユーザーに割り当てます。

     組織の役割 を更新する方法と、割り当てる必要がある役割 を確認する方法を学びましょう。

   • 資格情報タイプの設定。どの ID プロバイダーを使用するかは、ID プロバイダーのドキュメントを参照すること。
     • OIN の Workiva アプリケーションはベーシク認証のみをサポートしています。
     • Oktaで構築されたカスタムアプリは、 Bearer トークンをサポートできます。
     • Azure を使用している場合は、 Bearer トークンを選択します。
   • オプションで、この ID プロビジョナの説明を入力します。
   • 管理者連絡先の下に、問題が発生した場合、または将来の機能強化について連絡できる、お客様のIT部門内の技術連絡先の氏名およびメールアドレスを入力してください。
7. [プロビジョニングの作成]をクリックして終了します。

ステップ2：IDとURLの値の取得

ステップ 4: ID プロバイダの設定の ID プロビジョニング ID と URL の値が必要です。これらの値を得るには：

1. 組織管理で、セキュリティ> プロビジョニングに進みます。
2. アイデンティティプロバイダセクションでプロビジョニングを検索し、 ID および URL の値をコピーします。

ステップ 3: ベーシック認証またはベアラートークンの取得

新しいベーシック認証または Bearer トークンを取得するには、ステップ 1: プロビジョニングの作成で記している、SCIM ユーザーの Workiva ユーザー名で Workiva アプリケーションにログインする必要があります：

1. SCIM ユーザーアカウントにアクセス可能な有効な電子メールアドレスがあり、SCIM ユーザーがワークスペースに追加されていることを確認します。これは、ログインするためにSCIMユーザーの電子メールに認証メールが送信されるためです。

   メモ:SAML SSO が必要な場合 、ユーザー名とパスワードでログインするには、この SCIM ユーザーをSAML SSO バイパスユーザー として追加する必要があります。

   

2. Workiva のログイン画面に移動し、SCIM ユーザーの Workiva ユーザー名とパスワードでサインインします（以前に SAML SSO を使用してログインしていた場合は、最初にユーザーの変更をクリックする必要があります）。
3. Workiva プラットフォームで、右上のプロフィールアイコンをクリックし、マイプロフィール> セキュリティに進みます。
4. アイデンティティプロバイダセクションで、ID プロビジョニングの横にあるアクションドロップダウン矢印をクリックし、再生成をクリックします。
5. 再生成をクリックして確認します。
6. ベーシック認証の秘密情報と Bearer トークンの秘密情報が表示されます。これらの秘密情報は再度と見ることができないので、安全な場所にコピーしてください。

ステップ 4: ID プロバイダの設定

ID プロバイダーを作成したら、クラウドベースまたはオンプレミスの ID プロバイダーソフトウェアを構成して、Workiva に接続することができます。

• 以前のバージョンのSCIMプロトコルには対応不可であるため、接続がSCIM 2.0に設定されていることを確認してください。
• 基本認証情報タイプを使用している場合、IDプロバイダーソフトウェアにおいて使われる「ユーザー名」という言葉は「ID」と同義であり、「パスワード」は「認証情報」と同義である点にご注意ください。

一般的な ID プロバイダの構成方法については、以下の手順を参照するか、サポートが必要な場合はプロバイダのマニュアルやサポートチャネルを参照してください。

ステップ 5: ユーザーの役割とグループの管理

SCIM グループを使用して、組織ロール、ワークスペースメンバシップ、ワークスペース役割、およびワークスペースグループを割り当てることができます。メンバーシップと役割の管理にSCIMグループを使用するには、IDプロバイダは、以下に説明する特定の規約に従って、SCIMグループを表示名（またはAzureを使用し、ポリシーで許可されている場合は説明）でプッシュ/プルする必要があります。

限界とベストプラクティス

ユーザー、役割、およびグループ SCIM を使用する際、以下の点に注意してください：

• SCIM サービスはそのユーザーの代理として動作するため、プロビジョニング用に専用の API ユーザーアカウントを作成することを強くお勧めします。アクティビティログ内の SCIM アクションは、選択したユーザーに帰属し、組織ユーザー管理、組織ワークプレイス管理、および組織セキュリティ管理の役割が必要です。
  
• パスワード同期には対応していません。
• 他の組織から別の組織に招待されたユーザー（監査役や外部の弁護士など）は、SCIM で管理することはできません。Workiva 組織内でサードパーティユーザーを完全に管理したい場合は、他の組織からユーザを追加するのではなく、サードパーティユーザー用の ID プロバイダアカウントを作成する必要があります。
• 姓、名、表示名、メールアドレスのフィールドは、すべてのユーザーに対して必須です。
• 名前欄には発音記号は使用できません。ユーザー名にこれらの文字が含まれている場合は、マッピングを変更してこれらの文字を置き換えることをお勧めします。
• SCIM グループを使用してユーザーをワークスペース ロールまたはワークスペースグループに追加する場合、追加するユー ザーは既にワークスペースのメンバである必要があります ( ステップ 5: ユーザーの役割とグループの管理を参照してください)。ワークスペースのメンバーでない場合は、ID プロバイダがユーザーをワークスペースに追加するよう要求するのを待つ間、システムは最大 30 秒間保留してから失敗します。時間切れになる前に追加された場合、このアクションは再開され、正常に完了します。
• ワークスペース役割またはワークスペースグループにユーザーを一括で割り当てる場合（20 人以上）、ベストプラクティスとしては、まずユーザーにワークスペースメンバシップを与え、ID プロバイダーからのコールでワークスペース役割またはワークスペースグループを割り当てるようにします。この操作の順序により、ワークスペース役割の追加などの追加変更を行う前に、ワークスペースにユーザーが正しく追加されていることが確認されます。

エラーメッセージ

お困りですか？

問題が発生したり、ID プロバイダの設定のサポートが必要な場合は、サポートまでお問い合わせください。