> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/enterprise-guide/jp/user-and-team-provisioning/duo-provisioning.md). # DUOでのプロビジョニング DUOプラットフォームを利用したSAML 2.0認証およびSCIMプロビジョニング ## **概要** 本ページでは、SCIMを使用したDUO自動プロビジョニングを取り扱います。設定を始める前に、まずリアルタイムなユーザー認証とジャストインタイム (JIT) プロビジョニングを実現するKeeperのSSOコネクトとDUOとの統合を有効にすることをお勧めします。 {% hint style="info" %} DUO SSOの導入手順は、クラウドSSOコネクト (推奨) の[こちら](/sso-connect-cloud/jp/identity-provider-setup/duo.md)をご参照ください。 {% endhint %} ## **プロビジョニング機能** KeeperのDUO自動プロビジョニングは、以下の機能に対応しています。 * Keeperでユーザーを作成 * ユーザー属性を更新 * ユーザーのアクティブ化または非アクティブ化 (Keeperでのロックまたはロック解除) * Keeperでチームを作成 (DUOグループから) * Keeperでロールを作成 (ロールマッピングプレフィックスを使用) * プロビジョニングされたチームやロールにユーザーを割り当てユーザーをプロビジョニングする場合、DUOディレクトリは単一のKeeperノードにマッピングされます。 ## **要件** DUOを使用したKeeperのユーザープロビジョニングを設定するには、Keeper管理コンソールとDUO管理者アカウントへのアクセスが必要です。 ## **設定手順** **Keeper Security - Single Sign-On**アプリケーションの展開手順は、上記の要件で紹介したクラウドSSOコネクトガイドに記載されているため、本ページでは取り扱いません。既存の**Keeper Security - Single Sign-On**アプリケーションで、**\[Provisioning]** (プロビジョニング) タブを開きます。

### 認証 **\[Provisioning]** (プロビジョニング) の **\[Authentication]** (認証) で、**Authentication Mode** (認証モード) を\_Bearer Token\_に切り替えます。

**管理コンソール**で、DUO SSOノードに移動し、SCIM用の新しいプロビジョニングメソッドを作成します。

次のパネルで、以下の操作を行います。 * **URL**をコピーし、DUOの**Base URL** (ベースURL) フィールドに貼り付けます。 * **Token** (トークン) を生成してコピーし、DUOの**Token**フィールドに貼り付けます。 * 管理コンソールで **\[Next]** (次へ) をクリックします。 **Role Mapping Prefix** (ロールマッピングプレフィックス) は後で設定できるため、ここでは無視してかまいません。詳しくは以下をご参照ください。

DUOで **\[Connect to Application]** (アプリケーションに接続) をクリックします。SCIMプロビジョニングメソッドが正しく送信されていれば、成功のメッセージが表示されます。

{% hint style="info" %} 管理コンソールで **\[Next]** (次へ) を押してSCIMプロビジョニングメソッドを完了していない場合、DUOでの接続テストは失敗します。 {% endhint %} ### 属性マッピングデフォルトでは、DUO SCIMはDUOのユーザー名をKeeperの名前とメールアドレスの両方として設定してユーザーを作成します。

{% hint style="info" %} シングルサインオンの設定で識別子として別のDUO属性を設定している場合は、SCIMでインポートされるユーザーのメールアドレスがログイン時と一致するように、ここでも同じ属性を設定してください。 {% endhint %} SCIMで作成されるユーザー名をDUOの属性に一致させたい場合は、このパネルに`displayName`マッピングを追加できます。

### グループ **Groups** (グループ) パネルでは、Keeperエンタープライズにプッシュするグループを指定できます。 * **Select groups** (グループを選択): DUOディレクトリからグループを選択します。 * **Use groups with SSO access** (SSOアクセスのあるグループを使用): シングルサインオンアプリケーションに割り当てられたグループを継承します。 * **Exclude group information** (グループ情報を除外): 選択したグループのメンバーのみをインポートし、Keeperにチームを作成しません。

### ユーザーの登録解除次のパネルでは、ユーザーの登録解除の方法として以下の2つから選択します。 * **Deactivate Users** (ユーザーを非アクティブ化) * **Delete Users** (ユーザーを削除) Keeperでは、いずれを選択してもアクティブなユーザーが削除されることはなく、ロックのみが行われるため、この選択は実質的な意味を持ちません。

## プロビジョニングサイクルの実行 **\[Save and Enable]** (保存して有効化) をクリックするか、ページ上部のパネルで **\[Enable]** (有効化) をクリックすると、DUOの自動プロビジョニングをすぐに有効にできます。有効にすると、新しい変更が加わるたびに自動的に更新とプッシュが行われます。プロビジョニングはいつでも無効化・有効化できます。

## **チームとユーザーの承認** Keeperのゼロ知識アーキテクチャにより、DUOによるチームおよびチームメンバーの割り当ては、管理者がKeeper管理コンソールにログインしているか、Keeperの自動化ツールが導入されている場合のみ適用されます。 * 管理者としてチームの承認を行う場合: ユーザーまたはチームをKeeper管理コンソールにプッシュした後、ログインするか **\[完全同期]** をクリックして処理を承認します。 * チームの承認を自動化するツール: * [Keeperオートメーターサービス](/sso-connect-cloud/jp/device-approvals/automator.md) * [Keeperコマンダーの自動化](/sso-connect-cloud/jp/device-approvals/commander-cli.md) ## **SCIMを使用したチームとロールのマッピング** DUOの自動プロビジョニングは、プッシュグループをKeeperチームにマッピングします。チームごとに異なるKeeperロールを自動的に割り当てるには、「チームとロールのマッピング」機能を使用します。

上記の画像では、ロールマッピングプレフィックスが`Keeper_role_`に設定されています。この場合、以下のようになります。 * `Keeper_role_developers`という名前のDUOグループは、KeeperチームとしてではなくKeeperロールとしてプロビジョニングされ、すべてのメンバーがそのロールに割り当てられます。 * `developers`という名前のDUOグループは、通常どおりKeeperチームとしてプロビジョニングされます。この仕組みにより、DUOグループを使用してロールとチームを分離できます。 {% hint style="info" %} ユーザーは複数のSCIM同期チームにプロビジョニングできますが、複数のプレフィックスマッピングロールに同時にプロビジョニングすることはできません。 {% endhint %} ## **ベストプラクティスとトラブルシューティング** SCIMを使用する場合、Keeper側から割り当てを変更することは避けてください。すべての割り当てにおいて、DUOディレクトリを正としてください。DUOはKeeperエンタープライズ側での変更を検知できないため、Keeper側で割り当てを更新すると不整合が生じるおそれがあります。強くお勧めしません。 ### よくある問題 * 管理コンソールでSCIMプロビジョニングメソッドを保存する前に **\[Connect to application]** (アプリケーションに接続) をクリックすると、テストは失敗します。トークンをコピーしてから **\[Next]** (次へ) をクリックしてください。 * Keeperユーザーはメールアドレスで識別されるため、DUOユーザーをKeeperアプリに割り当てる際は、`userName`にマッピングされた属性に有効なメールアドレスが含まれていることを確認してください。 * DUOからグループメンバーシップを同期すると、Keeperにチームメンバーシップが作成されますが、すぐには表示されません。プロビジョニングされたユーザーが実際のチームメンバーになるには、Keeperに登録して招待を受諾した後、Keeper管理者によるグループ加入の承認を受けるか、ウェブボルトにログインしている既存のKeeperチームメンバーによって自動承認される必要があります。 * Keeperでユーザーやグループを削除して再作成すると、DUOがオブジェクトの以前のIDを保持しているため新しいIDを認識せず、DUO側でエラーが発生することがあります。この場合は、プロビジョニングを無効化してから再度有効化すると解決します。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.keeper.io/enterprise-guide/jp/user-and-team-provisioning/duo-provisioning.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.