SCIMとIDプロバイダーの構成

SCIMを使用して自動的に以下を行います：

• ユーザーのプロビジョニングとデプロビジョニング
  • ユーザーの表示、作成、削除
  • ユーザーの削除（SCIM IDの非アクティブ化）
  • ユーザーの再追加（SCIM IDの再アクティブ化）

TealiumでSCIMが有効になると、TealiumとIDプロバイダー間でユーザーメンバーシップが同期されます。

Tealiumの内部グループSCIM APIは、RFC7644プロトコルの一部を実装しています。

前提条件

• アカウント管理者またはユーザー管理者の権限。
• 長期間有効なベアラートークン。ベアラートークンの生成方法については、認証を参照してください。

IDプロバイダーの構成

以下のIDプロバイダーを構成できます：

• Microsoft Entra ID（旧Azure Active Directory）

他のプロバイダーもTealiumで動作する可能性がありますが、テストされておらず、サポートされていません。サポートが必要な場合は、IDプロバイダーに連絡してください。互換性を確認するには、Tealiumサポートに連絡してください。

Microsoft Entra IDの構成

SSO構成中にAzure Active Directory用に作成されたSAMLアプリケーションは、SCIM用に構成する必要があります。

SCIMプロビジョニングは、以下の指示に従って正確に構成する必要があります。構成が間違っていると、ユーザープロビジョニングとサインインに問題が発生します。どのステップでも問題や質問がある場合は、Tealiumサポートに連絡してください。

Microsoft Entra IDでSCIMを構成するには：

TealiumをMicrosoft Entra IDに追加

1. Azure Portalにアクセスします。
2. Microsoft Entra ID > Enterprise applicationsに移動します。
3. + New applicationをクリックし、Create your own applicationをクリックします。
4. Nameに名前（例：Tealium）を入力し、Integrate any other application you don’t find in the galleryを選択します。
5. Createをクリックします。

SCIMプロビジョニングの構成

1. アプリでProvisioningタブをクリックし、Get startedをクリックします。
2. Provisioning ModeをAutomaticに構成します。
3. Admin Credentialsの下で、次の値を入力します：
   • Tenant URLフィールドには、TealiumからのSCIM APIエンドポイントURLを入力します：https://developer.tealiumapis.com/v2/auth-long-lived/token
   • Secret Tokenフィールドには、TealiumからのSCIMベアラートークンを入力します。
4. Test Connectionをクリックします。成功メッセージが表示されます。
5. Saveをクリックします。

ユーザー割り当ての構成

SCIMグループプロビジョニングは、Early Accessでは現在サポートされていません。

1. Provisioningをクリックします。
2. EnabledトグルがYesに構成されていることを確認します。
3. すべてのTarget Object Actionsが有効になっていることを確認します。
4. Attribute mappingをクリックし、Microsoft Entra IDとTealium間の属性マッピングを構成します。詳細については、Microsoft: Customize user provisioning attribute-mappings for SaaS applications in Microsoft Entra IDを参照してください。

以下の表は、TealiumがMicrosoft Entra IDを介してSCIMで認証するために必要な属性マッピングをリストしています：

Microsoft Entra IDのソース属性	customappssoのターゲット属性	優先順位の一致
userPrincipalName	userName	1
Switch([IsSoftDeleted], , "False", "True", "True", "False") *	active
displayName	displayName
givenName	name.GivenName
surname	name.familyName
mailNickname	externalId

* これは直接のマッピングではなく、式タイプです。Mapping typeリストからExpressionを選択します。

MicrosoftがAzure Active DirectoryからEntra IDの命名スキームに移行する間、ユーザーインターフェースに不整合が見られることがあります。問題が発生した場合は、Tealiumサポートに連絡してください。

各属性マッピングには以下が含まれます：

• customappsso属性はターゲット属性に対応します。
• Microsoft Entra ID属性はソース属性に対応します。

各属性について、次の手順を使用します：

1. 既存の属性を編集するか、新しい属性を追加します。
2. 必要なソースとターゲットの属性マッピングをリストから選択します。
3. Okをクリックします。
4. Saveをクリックします。

SAML構成が推奨されるSAML構成と異なる場合は、マッピング属性を選択してそれに応じて変更します。externalIdターゲット属性にマッピングするソース属性は、SAMLのmailNicknameで使用される属性と一致する必要があります。

表にリストされていないマッピングがある場合は、Microsoft Entra IDのデフォルトを使用します。必要な属性のリストについては、Microsoft: Develop and plan provisioning for a SCIM endpoint in Microsoft Entra IDを参照してください。

ユーザーの割り当て

1. Users and groupsに移動します。
2. + Add user/groupをクリックします。
3. 同期したいユーザーやグループを選択します。
4. Assignをクリックします。

最終構成を行い、プロビジョニングを開始

次の構成を行います：

1. （オプション）Send an email notification when a failure occurs チェックボックスを選択します。
2. （オプション）Prevent accidental deletion チェックボックスを選択します。
3. 変更がすべて保存されていることを確認するために Save をクリックします。
4. Provisioningに移動し、Start provisioningをクリックします。

プロビジョニングは通常数分で開始されますが、最初の同期には最大40分かかる場合があります。

要件

• Okta Lifecycle Management製品を使用する必要があります。この製品レベルは、OktaでSCIMを使用するために必要です。
• Okta構成ノートに記載されているように構成されたOktaのSAMLアプリケーション。
• OktaのSAML構成が構成手順と正確に一致していること、特にNameIDの構成。

OktaでSCIMを構成するには、以下の手順を使用します：

1. Oktaにサインインします。
2. 右上隅にある管理者をクリックします。このボタンは管理者エリアからは見えません。
3. アプリケーションタブの下でアプリカタログを参照をクリックします。
4. Tealiumアプリケーションを選択します。
5. Tealiumアプリケーションの概要ページで追加をクリックします。
6. アプリケーションの可視性の下で、両方のチェックボックスを選択します。
7. アプリケーションの追加を完了するために完了をクリックします。
8. プロビジョニングタブの下でAPI統合の構成をクリックします。
9. API統合を有効にするをクリックします。
   • 基本URLの下に、Tealium SCIM構成ページのSCIM APIエンドポイントURLからコピーしたURLを貼り付けます：https://api.tealiumiq.com/scim/v2
   • APIトークンの下に、Tealium SCIM構成ページのあなたのSCIMトークンからコピーしたSCIMベアラートークンを貼り付けます。
   • 構成を確認するには、API認証情報をテストするをクリックします。
10. 保存をクリックします。
11. アプリへをクリックします。
12. 編集をクリックします。
13. ユーザーの作成とユーザーの無効化の両方のチェックボックスを選択します。
14. 保存をクリックします。
15. 割り当てタブをクリックし、ユーザーを割り当てます。割り当てられたユーザーはOktaのTealiumグループで作成および管理されます。

ユーザーアクセス

同期プロセス中、すべての新規ユーザーは：

• Tealiumアカウントを受け取ります。
• 招待メールでIDプロバイダーグループへの歓迎を受けます。
  • 確認済みドメインでメール確認をスキップすることができます。

プロビジョニング中：

• プライマリとセカンダリのメールアドレスがTealiumユーザーアカウントの存在を確認する際に考慮されます。
• 重複するユーザー名は、ユーザーを作成する際に接尾辞1を追加することで処理されます。たとえば、test_userが既に存在する場合はtest_user1が使用されます。test_user1が既に存在する場合、Tealiumは未使用のユーザー名を見つけるために接尾辞を増やします。4回試しても未使用のユーザー名が見つからない場合は、ユーザー名にランダムな文字列が添付されます。

アクセスの削除

IDプロバイダーでユーザーを削除または無効化して、そのアクセスを削除します。

IDプロバイダーが構成されたスケジュールに基づいて同期を実行した後、ユーザーのメンバーシップは取り消され、アクセスが失われます。

IDプロバイダーでユーザーを削除または無効化しても、Tealiumユーザーアカウントは削除されません。Tealiumユーザーアカウントは無効化され、IDプロバイダーにユーザーを再追加することで再活性化できます。

アクセスの再活性化

SCIMを通じてユーザーが削除または無効化された後、そのユーザーをSCIM IDプロバイダーに追加することで再活性化します。

IDプロバイダーが構成されたスケジュールに基づいて同期を実行した後、ユーザーのSCIM IDが再活性化されます。