Identity as a Service:SCIM を使用して Alibaba Cloud IDaaS から Alibaba Cloud RAM にアカウントを同期する

前提条件

1. ご利用の Alibaba Cloud アカウントまたは Resource Access Management (RAM) ユーザーが、OAuth アプリケーションを作成するために必要な権限を持っている必要があります。

2. ご利用の Alibaba Cloud アカウントまたは RAM ユーザーが、サーバーアプリケーションに権限を付与するために必要な権限を持っている必要があります。権限付与は、自身のアカウントに属するサーバーアプリケーションに対してのみ実行できます。

ステップ 1：RAM コンソールでの OAuth アプリケーションの作成と権限付与

1. RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[OAuth プレビュー] > [エンタープライズアプリケーション] > [アプリケーションの作成] を選択します。

3. [アプリケーション名] と [表示名] を入力します。[アプリケーションタイプ] で [サーバーアプリケーション] を選択します。

4. [OAuth スコープ] セクションで /acs/scim を選択し、[アプリケーションの作成] をクリックします。

5. OAuth アプリケーションに権限を付与します。[OAuth スコープ] タブで [権限付与] をクリックします。アプリケーションの権限付与ページで [クロスドメイン ID 管理へのアクセス] を選択し、[権限付与] をクリックします。

6. [アプリケーションシークレット] タブで [シークレットの作成] をクリックします。システムは、[AppSecretId] と [AppSecretValue] を含むキーペアを自動的に生成します。

7. キーが生成されたら、[シークレットのダウンロード] をクリックして、キーファイルを安全な場所に保存します。ファイルを保存した後、[閉じる] をクリックします。

   重要

   シークレットは作成時にのみ表示されます。ウィンドウを閉じた後は取得できません。

ステップ 2：IDaaS での SCIM 同期の構成

1. IDaaS インスタンスコンソールで、[アプリケーション管理] > [アプリケーション] ページに移動します。[アプリケーションの追加] をクリックして [マーケットプレイス] を開きます。[Alibaba Cloud User - based SSO (International Site)] アプリケーションテンプレートを選択して追加します。

2. [プロビジョニング] タブに切り替えます。[プロビジョニング範囲] を設定し、[保存] をクリックします。

3. [IDaaS アカウントをアプリケーションにプロビジョニング] を有効にします。

4. [基本構成] を設定します。

   1. [クライアント ID] とクライアントシークレットを入力します。

      1. RAM コンソールにログインします。左側のナビゲーションウィンドウで、[統合] > [OAuth プレビュー] を選択します。

      2. SCIM 同期に使用するアプリケーションを見つけ、その名前をクリックして詳細ページを開きます。

      3. アプリケーション詳細ページの [基本情報] セクションで、[アプリケーション ID] ([クライアント ID]) をコピーします。

      4. ステップ 1 のシークレット作成手順で保存した [AppSecretValue] から [クライアントシークレット] を取得します。

   2. 操作：ユーザーの作成、更新、削除などの特定の変更イベントをサブスクライブできます。これらの変更のいずれかが IDaaS で発生すると、システムはターゲットアプリケーションへのリアルタイム同期プッシュを自動的にトリガーします。

   3. フルプッシュ範囲：このオプションを選択すると、ワンクリックプッシュを実行したときに、定義された範囲内のすべてのデータがアプリケーションにプッシュされます。

5. フィールドマッピング：SCIM フィールドマッピングと属性照合ルールをカスタマイズします。調整後、[保存] をクリックして、正確なデータ同期を確保します。

   重要

   SCIM 経由で IDaaS アカウントを RAM に同期する場合、ユーザーの携帯電話とメール属性のマッピングはサポートされていません。

6. 構成が完了したら、[保存] をクリックします。[接続テスト] をクリックして、構成が正しいことを確認します。

   必要に応じて、ワンクリックプッシュ機能を使用して、同期範囲内のすべてのアカウントを一度に RAM にプッシュできます。

ステップ 3：IDaaS での同期の実行

[今すぐプッシュ] をクリックします。同期範囲内のアカウントが RAM に同期されます。

関連ドキュメント

• 同期中に RAM アカウントを削除できない場合は、「IDaaS 同期中に RAM アカウントの削除が失敗した場合はどうすればよいですか？」をご参照ください。