Microsoft Entra IDとヌーラボの管理対象アカウントを同期する

Microsoft Entra IDのユーザープロビジョニング機能を使用し、Entra IDで管理しているユーザー情報をヌーラボの管理対象アカウントに同期できます。
Entra IDのユーザープロビジョニング機能を使って、ヌーラボの管理対象アカウントを同期する方法を説明します。

前提条件

• ユーザープロビジョニングは、Nulab Passを契約することで利用可能です
• 事前にSAML認証の設定が完了している必要があります
  • SAML認証（SSO）の設定
  • Microsoft Entra IDでSAML認証の設定
• 事前にユーザープロビジョニングの設定が完了している必要があります
  • ユーザープロビジョニングの設定>ユーザープロビジョニングを開始する

Entra IDの設定

1. Entra IDにSCIM認証情報を設定する

1. Microsoft Entra 管理センターにログインします
2. エンタープライズ アプリケーションをクリックします
   
3. 「すべてのアプリケーション」をクリックします
   
4. 「新しいアプリケーション」をクリックします
   
5. 「独自のアプリケーションの作成」をクリックします
   
6. 任意のアプリケーション名を入力し、「ギャラリーに見つからないその他のアプリケーションを統合します」を選択し、「作成」をクリックします
   
7. 左メニューの「プロビジョニング」をクリックします
8. 「作業の開始」をクリックします
   
9. プロビジョニングモードで「自動」を選択します
   
10. 「管理資格情報」に、下記の内容を入力します
    ・テナントの URL：「2. トークンを発行する」で取得した「SCIM URL」
    ・シークレット トークン：「2. トークンを発行する」で取得した「SCIMトークン」
    
11. 「テスト接続」をクリックします
    
    「指定した資格情報にはプロビジョニングを有効にする権限があります」と表示されたら接続成功です。

2. Microsoft Entra IDにアプリロールを作成する

Microsoft Entra 管理センターにて下記3つのロールを作成します。ここで作成したロールが管理対象アカウントの権限とマッピングされます。アプリロールの「表示名」には以下の3つのうちいずれかを入力してください。

• ADMIN
• USER
• GUEST

1.  
   1. 「アプリケーション」>「アプリの登録」をクリックし、「すべてのアプリケーション」をクリックします
      
   2. 対象のアプリをクリックし、「アプリロール」>「アプリロールの作成」をクリックします
      

   3. ロールを作成します。ロールは下記３ロールを作成してください。

      表示名	許可されたメンバーの種類	値	説明	このアプリ ロールを有効にしますか?
      ADMIN	ユーザーまたはグループ	任意の値を入力	任意の説明文を入力	チェックを入れる
      USER	ユーザーまたはグループ	任意の値を入力	任意の説明文を入力	チェックを入れる
      GUEST	ユーザーまたはグループ	任意の値を入力	任意の説明文を入力	チェックを入れる

      「値」と「説明」には、任意の値を入力してください。入力後、「適用」をクリックします。

      

3. Provision Microsoft Entra ID Groupsを無効にする

初期設定では有効になっているProvision Microsoft Entra ID Groupsを無効にします。

1. エンタープライズ アプリケーションをクリックします
2. 1. Entra IDにSCIM認証情報を設定するで作成したアプリケーションをクリックします
3. 左側メニューの「プロビジョニング」をクリックします
4. 「マッピング」の「Provision Microsoft Entra ID Groups」をクリックします
   
5. 「有効」の「いいえ」をクリックします
   
6. 「保存」をクリックします
   

4. 属性マッピングを設定する

1. エンタープライズ アプリケーションをクリックします
2. 1. Entra IDにSCIM認証情報を設定するで作成したアプリケーションをクリックします
3. 左側メニューの「プロビジョニング」をクリックします
4. 「マッピング」の「Provision Microsoft Entra ID Users」をクリックします
   

5. マッピング属性を編集します
   下記が同期できる属性です。必須の属性は削除しないでください。

   ❗ヒント

   Microsoft Entra IDの属性設定はあくまで一例です。下記のように様々な設定ができますので、Microsoft Entra IDのチュートリアルを参考にご自分の組織に合った設定を行ってください。

   • 不要な項目を削除する
   • デフォルト値を設定する
   • 既存データの上書きを避けるため、オブジェクト作成時のみデータを同期する

   customappsso 属性	Microsoft Entra ID 属性	管理対象アカウントとのマッピング内容
   externalId	userPrincipalName	アカウントを一意に識別するための値 Entra ID内で付与される一意なIDなど、ユニークかつ時間が経っても変更することのない値を設定してください ※ヌーラボサービスの画面上には表示されません
   userName（必須）	userPrincipalName	メールアドレス ※アカウントを一意に識別するもの、この項目をキーにして管理対象アカウントが同期されます ※ 既定値は user.userprincipalname ですが、Nulab Pass (Backlog、Cacoo) ではこれを管理対象アカウントのメールアドレスにマッピングする必要があります。 そのため、一覧の user.mail 属性を使用するか、組織構成に基づいて適切な属性値を使用できます
   displayName（必須）	displayName	ユーザー名
   preferredLanguage	preferredLanguage	言語 ※ユーザーのpreferredLanguageが未指定の場合 　・管理対象アカウントを作成する時にトークン発行者の言語が管理対象アカウントの言語として設定されます 　・管理対象アカウントを更新する時に言語は更新されません
   timezone	Switch([country], "Asia/Tokyo","United States","America/New_York","Netherlands","Europe/Amsterdam") ※上記はあくまで例です。ご自身の設定にあわせて修正してください。設定方法はEntra IDのヘルプを参照してください。	タイムゾーン ※未指定の場合 　・管理対象アカウントを作成する時にトークン発行者のタイムゾーンが管理対象アカウントのタイムゾーンとして設定されます 　・管理対象アカウントを更新する時にタイムゾーンは更新されません
   active（必須）	Switch([IsSoftDeleted],, “False”, “True”, “True”, “False”)	管理対象アカウントのアクティブ/停止 ・true: アクティブ ・false: 停止
   roles[primary eq "True"].value	SingleAppRoleAssignment([appRoleAssignments])	権限 ・ADMIN: 管理者 ・USER: 一般ユーザー ・GUEST: ゲスト ※未指定の場合GUESTになります

   ❗ヒント：権限の同期についての注意点

   同期により権限がゲストに変更された場合、利用できなくなる機能があります。下記をご確認いただき、適切な権限を割り当ててください。

   • チーム管理者だった場合：チーム管理者ではなくなります
   • ゲストが参加できないチームに所属している場合：該当のチームから削除されます

   

6. 管理対象アカウントとロールをマッピングするための属性を追加します。「新しいマッピングの追加」をクリックします
   

7. 下記フィールドを入力し、「OKをクリックします」

   • マッピングの種類：式
   • 式：SingleAppRoleAssignment([appRoleAssignments])
   • 対象の属性：roles[primary eq "True"].value

   

8. 「保存」をクリックします
   

5. ユーザーを割り当てる

アプリケーションにユーザーを割り当てます。割り当てられたユーザーのみがユーザープロビジョニングで管理対象アカウントと同期されます。

1.  
   1. 「ユーザーとグループ」>「ユーザーまたはグループの追加」をクリックします
      
   2. 「ユーザーとグループ」の「選択されていません」をクリックし、検索フィールドよりユーザーを検索します
      
   3. ユーザーにチェックを入れ、「選択」をクリックします
      

   4. 「ロールを選択してください」から「選択されていません」をクリックし、ユーザーに割り当てるロールを選択します

      ※選択したロールが管理対象アカウントの権限（管理者・一般ユーザー・ゲスト）になります。既存の管理対象アカウントの権限と違うロールを選択した場合、管理対象アカウントの権限はここで選択したロールに変更されます。
      

   5. 「割り当て」をクリックすると、ユーザーが追加されます
      

6. プロビジョニングを開始する

1.  

   1. 「プロビジョニングの開始」をクリックします
      

      クリックするとプロビジョニングが開始します。
      同期にはある程度時間がかかります。かかる時間については、お使いのEntra IDの設定をご確認ください。

   2. ユーザーが同期されていることを確認します
      

以上で設定が完了です。

ユーザープロビジョニングが成功すると、メンバー一覧画面に「プロビジョニングされた管理対象アカウント」と表示されます。

ユーザープロビジョニングを開始すると、管理対象アカウントのメールアドレスと、Entra IDのユーザーのメールアドレスが同じ場合のみ、情報が同期されます。詳しくはユーザープロビジョニングによる管理対象アカウントの作成・編集・削除を参照してください。

また、管理対象ではないアカウントは同じメールアドレスだとしても同期はされません。詳しくはユーザープロビジョニングが可能なヌーラボアカウントを参照してください。

ユーザープロビジョニングを停止する

1. Microsoft Portal Azureに、管理者アカウントでサインインします
2. プロビジョニングを有効にしているアプリケーションを選択します
3. 左メニューの「プロビジョニング」をクリックします
   
4. 「プロビジョニングの停止」をクリックします
   
5. 「OK」をクリックします
   

注意事項

Microsoft Entra IDのpreferredLanguageについて

preferredLanguageは管理者が設定できません。各ユーザーが「設定およびプライバシー」で自分で設定した「優先する言語」がpreferredLanguageになります。

Microsoft Entra IDによる復元可能なアカウントについて

Microsoft Entra IDからユーザーが削除されても、30日間は下記の状態で管理対象アカウントが残ります。

• 停止中（ログイン不可）
• メールアドレスの先頭に自動的に英数字が追加

ユーザー削除から30日経つ前であれば、ユーザーの復元ができます。
ユーザー削除から30日経つ前に管理対象アカウントを削除したい場合は、Microsoft Entra ID上の「削除されたユーザー」画面にて、該当のユーザーを手動で「完全に削除」してください。

Microsoft Entra IDのNulab Passアプリを使用している方へ

Microsoft Entra IDのアプリケーションギャラリーにあるNulab Passアプリでは、ユーザープロビジョニングが使用できません。この機能を追加するように申請中ですが、対応時期は未定です。
そのため、現在Nulab Passアプリを使用してSAML認証している方で、ユーザープロビジョニングも使用したい場合は、下記のいずれかの方法で対応してください。

「独自のアプリケーション」でSAML認証とユーザープロビジョニングを行う(推奨)

1. Nulab Passアプリの識別子 (エンティティ ID)の末尾に任意の一文字を追加する
   1. Nulab Passアプリに設定してある識別子 (エンティティ ID)を手順2で「独自のアプリケーション」に設定するため、重複しないように1文字追加します
2. SAML認証（SSO）の設定を参照し、「独自のアプリケーション」でSAML認証をする
3. ユーザープロビジョニングの設定を参照し、「独自のアプリケーション」でユーザープロビジョニングを設定する
4. SAML認証とユーザープロビジョニングが正常に動作していることを確認後、Nulab Passアプリを削除する

Nulab PassアプリでSAML認証し、「独自のアプリケーション」でユーザープロビジョニングを行う

SAML認証で使用しているNulab Passアプリは修正の必要はありません。
ユーザープロビジョニングを使用するために、新たに「独自のアプリケーション」を作成し、ユーザープロビジョニングの設定をします。
また、ユーザーを割り当てる際に、SAML認証の設定をしているNulab Passアプリと、今回設定した「独自のアプリケーション」の両方にユーザーを割り当ててください。