# Entra ID / Azure ADでのプロビジョニング

## **概要**

KeeperはSCIMプロトコルを利用してMicrosoft Azure ADなどのIDプラットフォームからユーザーやチームをプロビジョニングする機能に対応しています。Azure ADをご利用のお客様の場合、ユーザーをプラットフォームにプロビジョニングして自動的にチームに追加し、共有フォルダを受け取ることが可能となります。

こちらの設定に進む前に、KeeperのSSOコネクトを使用してAzure ADとの統合をご検討ください。これにより、即時のユーザー認証とジャストインタイムプロビジョニングが実現します。

{% hint style="info" %}
クラウドSSOコネクトのセットアップの詳細については、[こちらのページ](https://docs.keeper.io/sso-connect-cloud/jp/)をご覧ください。
{% endhint %}

すでにKeeperクラウドSSOコネクト設定されている場合やSSOが不要な場合は、以下の手順へお進みください。

## **機能**

Keeper/Azureのプロビジョニング統合は、以下の機能に対応しています。

* Keeperでユーザーを作成
* ユーザー属性を更新 (Keeperの表示名)
* ユーザーの削除 (Keeperのユーザーをロックする)
* AzureグループからKeeperにチームを作成
* ユーザーをグループ (Keeperのチーム) に追加または削除

ユーザーをプロビジョニングする際、Azure ADは単一のKeeperノードにマッピングされます。Azureではユーザーとグループは保留状態で作成され、新規ユーザーにはKeeperアカウントの作成のための招待メールが届きます。

## **要件**

Azure ADを使用したKeeperのユーザープロビジョニングを設定するには、Keeper管理コンソールおよびAzureアカウントへのアクセスが必要となります。

## **設定手順**

SCIMによるAzure ADプロビジョニングの詳細については、以下の動画をご覧ください。

{% embed url="<https://vimeo.com/818462488?share=copy>" %}

1. Azureの管理者アカウントに移動し、**\[Azure Active Directory]** > **\[エンタープライズアプリケーション]** を選択した後、**\[新しいアプリケーション]** を選択します。Keeperを検索し、**\[Keeper Password Manager]** を選択します。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FdzaUqeRWA9UURrB43i8j%2FAzure_01.png?alt=media&#x26;token=8180267b-9c31-413a-a2d2-da9f551b8f4c" alt=""><figcaption></figcaption></figure>

2. アプリケーションを追加後、**\[プロビジョニング]** セクションをクリックし、**\[自動]** のオプションを選択します。

別のウィンドウで、Keeper管理コンソールからテナントのURLとシークレットトークンを取得します。

![自動プロビジョニング](https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FR1B5yeBEoCaFNSzl0vsg%2FAzure_Auto_Provision.png?alt=media\&token=ad6cb4e2-81d6-4a9b-9026-f0a8c27070b0)

3. Keeper管理コンソールで、Azure ADと同期させるノードへ移動します。**\[メソッドを追加]** をクリックします。

{% hint style="danger" %}
SCIM統合は、管理コンソール内の特定のノード (組織単位など) にのみ適用できます。必ずrootノードではなくサブノード内にプロビジョナをprovisjoホストするようにしてください。
{% endhint %}

![](https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FhQFRgj32MWzjBTYehP5x%2FJP_Admin_Add%20Method.png?alt=media\&token=4f8038e1-b9f0-4fd2-a92c-34812015a6ad)

4. **「SCIM」**&#x30AA;プションを選択し、**\[次へ]** をクリックした後、**\[プロビジョニングトークンの作成]** を選択します。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FL72IOJlU0V9pLLnXhAEg%2FJP_SCIM_Token.png?alt=media&#x26;token=356b5d0c-4b71-49f9-8302-cbdb2306626b" alt=""><figcaption></figcaption></figure>

5. テナントのURLとシークレットトークンの値をコピーし、手順1のAzure AD画面の**テナントのURL**および**シークレットトークン**の欄に貼り付けます。**\[保存]** を選択して、Keeper側のプロビジョニング手順を完了します。

![プロビジョニング方法の作成](https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2F7bmYFg7T1dvTEaGLrtDr%2Fassets_-LO5CAzpxoaEquZJBpYz_-L_A7a7j2JsOOyBWjpL1_-L_A7JCNgXmvwf431uPc_g5.webp?alt=media\&token=52914a4f-18b3-41f0-b1b4-52cc73bfbcb5)

6. Azure AD画面に戻り、**\[テスト接続]** をクリックします。テスト接続に成功した後、認証情報を保存します。**\[プロビジョニングの状態]** を「ON」にし、**\[保存]** をクリックします。
7. Keeper Azure ADアプリ&#x306E;**\[ユーザーとグループ]** セクションへ移動し、Azure ADのユーザーまたはグループをアプリに割り当てます。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FBtxzxMT4VU2y71MvqYUr%2FAzure_User%20and%20group.png?alt=media&#x26;token=82bf0d74-b87e-4d10-a247-cac4d60ec336" alt=""><figcaption><p>ユーザーとグループ</p></figcaption></figure>

8. プロビジョニングの開始

**\[プロビジョニングの開始]** をクリックしてプロビジョニングを開始します。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FIz75KCDu99UzJLHjclf7%2FJP_Azure_Provisining%20start.png?alt=media&#x26;token=3736befb-048c-420c-8973-8f2603598bbc" alt=""><figcaption></figcaption></figure>

約5分 (初回は最大40分かかることがあります) 待ってから、管理コンソール&#x306E;**\[同期]** ボタンをクリックします。**\[ユーザー]** タブにユーザーが表示されていることを確認します。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FIvCvEXi9ohVqFKDZSHm3%2Fspaces_-LO5CAzpxoaEquZJBpYz_uploads_git-blob-8b8554137ee229cd3e853ede3b43ab9a43fd89a6_Screen%20Shot%202021-11-12%20at%209.webp?alt=media&#x26;token=7b42f12b-330f-4c9e-b681-100e2741e8ae" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
SCIMでプロビジョニングしたチームは即座に作成されず、承認待ち状態になってからいずれかの承認手段により確定となります。

チームとユーザーの承認については[こちらのページ](https://github.com/Keeper-Security/gitbook-jp-enterprise-guide/blob/main/user-and-team-provisioning/approval-queue/README.md)クリックしてください。
{% endhint %}

**インスタントプロビジョニング**

Azureでは、**\[プロビジョニング]** > **\[オンデマンドでプロビジョニング]** をクリックして、ユーザーを即座にプロビジョニングすることもできます。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FEPAvqgkZgJTyP5ZRYGtw%2FScreen%20Shot%202022-11-23%20at%204.08.20%20PM.jpg?alt=media&#x26;token=65cddf64-127b-4062-90af-f285e917d58e" alt=""><figcaption><p>オンデマンドでプロビジョニング</p></figcaption></figure>

{% hint style="warning" %}
SCIMプロビジョニングで新しいドメインを使用する必要がある場合は、そのドメインをお客様のアカウントに正しく予約するために、Keeperサポートへサポートチケットを提出する必要があります。
{% endhint %}

## **SCIMを使用したチームとロールのマッピング**

通常、AzureなどSCIMを使用するIDプロバイダは、チームへのユーザーの割り当てに対応していますが、カスタムロールの割り当てについてはユーザー単位でのみ行われます。SCIMを使用してプロビジョニングしたチームやユーザーにはデフォルトのロールが適用され、SCIMでプロビジョニングしたチームを別の事前定義されたロールにマッピングすることはできません。

Keeperのチームとロールのマッピング機能で、既存のIDプロバイダを使用しながらユーザーをカスタムロールの割り当てが可能なチームに直接割り当てることができます。

チームとロールのマッピングを使用するには、管理者は個々のユーザーに対してではなく、単に**チーム**全体にロールを割り当て、ロール強制を使用して各チームに異なる要件や制限を設定することになります。

<figure><img src="https://3468650114-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FeJwa6ByNJ2qindnPknCW%2Fuploads%2FHhLOLiuShzAtvjgYRJ6X%2FRole_User.png?alt=media&#x26;token=fa2afe60-ba04-4849-a217-b137941de456" alt=""><figcaption><p>チームとロールのマッピング</p></figcaption></figure>

## チームのプロビジョニングとチームの割り当て

AzureでユーザーおよびチームのSCIMプロビジョニングを設定する際は、以下の点をご確認ください。

* SAMLアプリケーションでAzureグループを割り当て済みであること。
* Azureからユーザーを招待するかユーザーをプロビジョニング済のグループに割り当てる際には、AzureからKeeperへ、ユーザーの参加を招待、ユーザーをチームに追加、チームを作成のいずれかのリクエストが送信されます。
* ユーザーがKeeperにまだ存在しない場合は、サインアップへの招待を受け取ります (あるいはジャストインタイムプロビジョニングを使用できます)。
* ユーザーがKeeperのアカウントを作成した後、以下のいずれかが発生するまでユーザーが Keeperチームに割り当てられることはありません。\
  \
  (a) 管理者が管理コンソールにログインし、管理画面か&#x3089;**\[完全同期]**&#x3092;クリックする\
  (b) 関連チームのユーザーがウェブボルトまたはデスクトップアプリにログインする\
  (c) 管理者がKeeperコマンダーからteam-approveを実行する\
  \
  チームキーなど暗号化キーの共有については、必要な秘密キーにアクセスできるユーザーがログインしている状態でのみ実行できます。
* この処理を効率化するために、バージョン3.2現在Keeperオートメーター機能により、チームとチームの割り当ての即時承認が可能となります。オートメーター機能に関しては[こちらのページ](/sso-connect-cloud/jp/device-approvals/automator.md)をご覧ください。

## Azure ADでのSAML 2.0認証

本ページではAzure ADを使用したプロビジョニング過程について解説しました。SAML 2.0プロトコルを使用したAzure ADでの自動認証を有効にするには、KeeperクラウドSSOコネクトの[セットアップ手順](https://docs.keeper.io/sso-connect-cloud/jp/)をご参照ください。


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.keeper.io/enterprise-guide/jp/user-and-team-provisioning/azure-ad-provisioning-scim.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.