Identity as a Service:Alibaba Cloud IDaaS で SCIM を使用して Alibaba Cloud RAM にアカウントを同期する

前提条件

1. Alibaba Cloud アカウントまたは RAM ユーザーが、OAuth アプリケーションを作成する権限を持っている必要があります。

2. Alibaba Cloud アカウントまたは RAM ユーザーが、サーバーアプリケーションに認可を付与する権限を持っている必要があります。また、自分のアカウントに属するサーバーアプリケーションにのみ認可を付与できます。

ステップ 1：RAM コンソールでのOAuthアプリケーションの作成と認可

1. Alibaba Cloud アカウントを使用して RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、OAuth 応用（公開テスト） > エンタープライズアプリケーション > アプリケーションの作成 を選択します。

3. アプリケーション名 と 表示名 を入力します。アプリケーションタイプには サーバーアプリケーション を選択し、 アプリケーションの作成 をクリックします。アプリケーションが作成されます。

   [Access Token Validity Period] のデフォルトは 3600 秒です。有効な値の範囲は 900 ～ 10800 秒です。

4. 作成したアプリケーションの名前をクリックします。OAuth スコープ タブで OAuth スコープの追加 をクリックします。表示される OAuth スコープの追加 ダイアログボックスで /acs/scim を選択し、 OK をクリックします。

   [アクセストークン有効期間] を 3600 秒に設定します (有効値: 900～10800 秒)。

5. OAuth アプリケーションに認可を付与します。アプリケーション OAuth のスコープ タブで 権限付与 をクリックします。表示されるアプリケーション認可ページで [Alibaba Cloud Cross-Domain Identity Management] を選択し、 権限付与 をクリックします。

6. App Secret タブで Secret の作成 をクリックします。システムが自動的にアプリケーションキーペアを生成します。このキーペアには AppSecretId と [AppSecretValue] が含まれます。

7. キーが生成されたら、 シークレットをダウンロード をクリックして、キーファイルを安全な場所に保存します。ファイルが保存されたことを確認したら、 閉じる をクリックしてウィンドウを閉じます。

   重要

   シークレットは作成時にのみ表示されます。ウィンドウを閉じた後は取得できません。

ステップ 2：IDaaSでのSCIM同期の設定

1. IDaaS インスタンスコンソールの アプリケーション ページで アプリケーションの追加 をクリックして アプリケーションマーケットプレイス を開き、 [Alibaba Cloud User SS]O アプリケーションテンプレートを選択して追加します。

2. アカウントの同期 タブをクリックします。同期範囲を設定し、 Save をクリックします。

3. IDaaS からアプリケーションへの同期 をオンにします。

4. 基本設定を行います。

   1. client_id と client_secret を入力します。

      1. RAM コンソールにログインします。左側のナビゲーションウィンドウで、統合管理 > OAuth 応用（公開テスト） を選択します。

      2. SCIM 同期に使用するアプリケーションを見つけ、その名前をクリックして詳細ページを開きます。

      3. アプリケーション詳細ページの 基本情報 セクションで、アプリケーション ID (つまり client_id) を取得できます。

      4. ステップ 1 のシークレット生成手順で、[AppSecretValue] を client_secret として使用します。

   2. 操作の呼び出し：ユーザーの作成、更新、削除などの特定の変更イベントをサブスクライブできます。IDaaS で関連する変更が発生すると、システムが自動的に同期をトリガーし、変更をリアルタイムでターゲットアプリケーションにプッシュします。

   3. 完全プッシュ範囲：このオプションを選択すると、ワンクリックプッシュで範囲内のデータがアプリケーションに送信されます。

5. 属性マッピング：SCIM の属性マッピングをカスタマイズし、ビジネス要件に基づいて属性マッチングルールを調整できます。調整後、 マッピングの保存 をクリックして、正確なデータ同期を確保します。

   重要

   SCIM プロトコルを使用して IDaaS アカウントを RAM に同期する場合、ユーザーの携帯電話番号とメールアドレスの属性はマッピングできません。

6. 設定が完了したら、 Save をクリックします。(推奨) 接続のテスト 機能を使用して、設定が正しいかどうかを確認します。

   必要に応じて、ワンクリックプッシュ機能を使用して、同期範囲内のすべてのアカウントを一度に RAM にプッシュできます。

ステップ 3：IDaaSでのアカウント同期

ワンクリックプッシュ をクリックすると、同期範囲内のアカウントが RAM に同期されます。

ワンクリックプッシュ をクリックすると、ページの右上隅に「インポートタスクが作成されました。タスクの進捗状況を表示するには、[ログ] - [同期ログ] - [進行中のタスク] に移動してください。」という緑色の通知が表示されます。 [View] をクリックすると、同期ログページに移動できます。

関連ドキュメント

• 同期中に RAM アカウントの削除に失敗した場合は、「同期RAMユーザーの削除失敗の解決」をご参照ください。