戻る

SCIM プロビジョニング

IdP からのユーザー / グループ自動同期

SCIM とは

SCIM (System for Cross-domain Identity Management) は、ID プロバイダ (Okta, Azure AD, Google Workspace 等) から SaaS にユーザー / グループを自動的にプロビジョニングするための標準仕様です。

できること

  • IdP 側でユーザーを作成 → 勤怠ONE にメンバーとして自動追加
  • IdP 側でユーザーを無効化 → 勤怠ONE でも自動的にアクセス停止、退職前の給与明細の閲覧のみ継続
  • IdP のグループ → 勤怠ONE のロールに自動マッピング

これにより、退職者の取り扱いミスや、新入社員の登録漏れを防げます。

設定の前提条件

  • 勤怠ONE 側で SSO が設定済みであること
  • 現在のプランで SCIM自動プロビジョニング が提供されていること
  • 運営側で組織の SCIM が有効化され、SCIM トークンが発行されていること
  • IdP 側で SCIM 連携をサポートしていること (Okta、Azure AD、Google Workspace、OneLogin など)
  • 組織の管理者権限

設定の流れ

1. SCIM 情報の発行 (勤怠ONE 側)

SCIM 管理画面は現在準備中です。利用開始時は運営またはシステム管理者に依頼し、以下を発行してもらいます。

  • SCIM ベース URL: /api/scim/v2/{orgId}
  • Bearer トークン: IdP の API Token / Secret Token として登録

SCIM が有効化されていない組織や、無効・期限切れのトークンでは API が認証エラーになります。

2. IdP 側の設定

例: Okta の場合

  1. Okta の管理画面で 勤怠ONE アプリを開く
  2. Provisioning タブ → Configure API Integration
  3. Base URL と API Token に発行された値を貼り付け
  4. Test API Credentials で接続確認
  5. プロビジョニング設定で「Create Users」「Update User Attributes」「Deactivate Users」を有効化

例: Azure AD の場合

  1. Azure Portal でエンタープライズアプリの 勤怠ONE を開く
  2. プロビジョニング → 手動 から 自動 に変更
  3. テナント URL と シークレットトークン に発行された値を貼り付け
  4. テスト接続 → 保存

3. グループマッピング

SCIM のグループは、勤怠ONE のロールグループに対応します。現在利用できるグループは Admins、Managers、Members です。

ロールマッピングは SSO 設定 のロールマッピング機能と組み合わせて使用できます。

同期されるユーザー属性

SCIM 属性勤怠ONE フィールド
userNameメールアドレス
name.givenName + name.familyName氏名
emails[primary=true].valueプライマリメール
activeアクティブ状態
SCIM Groupsロールマッピング

同期ログ

SCIM 同期の履歴・エラーはシステム側の同期ログとして記録されます。管理画面で確認できない場合は運営に問い合わせてください。

  • 同期日時
  • 操作 (作成 / 更新 / 削除)
  • 対象ユーザー
  • 結果 (成功 / 失敗 / エラーメッセージ)

トラブルシューティング

症状対処
「認証失敗」エラートークンの有効期限切れ。再発行して IdP に登録し直す
ユーザーが同期されないIdP 側でプロビジョニング対象のグループに含まれているか確認
グループマッピングが効かないAdmins / Managers / Members のいずれかに同期されているか確認

関連記事