Microsoft Entra ID との SCIM 連携設定

Microsoft Entra ID との SCIM 連携の設定方法について説明します。

事前に必要なもの

• ロリポップ！固定IPアクセスの契約
• Microsoft Entra ID の管理者アカウント（Application Administrator 以上）
• 自動プロビジョニングを利用できる Microsoft Entra ID のライセンス（Microsoft Entra ID P1 以上）

⚠️ Microsoft Entra ID の無料プランでは自動プロビジョニング機能を利用できません。
本連携には Microsoft Entra ID P1 以上のライセンスが必要です。

注意事項

⚠️ SCIM連携は1ご契約者（顧客）につき1つの認証サービス（IdP）のみ設定できます。
すでに別の認証サービス（Okta等）と連携中の場合は、既存連携解除が必要です。

• SCIM 連携を解除する前に、連携ユーザーに割り当てている接続先 IP / ライセンスを管理画面で解除してください。 ライセンス割り当てが残っている場合、連携解除はできません。
• SCIM 連携を解除すると、本サービス側の連携ユーザー・グループは削除されます。接続先 IP / ライセンス枠自体は削除されませんが、再連携後は Entra のユーザーとグループでユーザーを再同期したうえで、管理画面で接続先 IP / ライセンスを再度割り当ててください。
• 切り替え後の連携ユーザーは以前の連携ユーザーとは別に作成されるため、接続先 IP / ライセンスの割り当ては引き継がれません。
• 本マニュアルの Microsoft Entra ID 画面名は 2026年6月時点の表示に基づいています。Entra 側の詳細な操作方法や最新の画面構成は、各手順に記載の Microsoft 公式ドキュメントを参照してください。

1. 管理画面で SCIM トークンを発行する

⚠️ 発行前の確認: SCIM連携は1つのアカウントにつき1つのIDaaSのみ設定できます。
別のIDaaSと連携中の場合は、先に連携ユーザー画面で既存の連携を解除してください。

1. 当サービスの管理画面にログインします。
2. メニューから「連携ユーザー」（/console/scim/users）を開きます。未連携の場合、プロバイダー選択画面が表示されます。
3. 「Microsoft Entra ID」を選択します。
4. トークン発行フォームが開きます。名称（自動入力: Microsoft Entra ID SCIMキー。変更可）と IdP が「Microsoft Entra ID」になっていることを確認し、「トークン生成」をクリックします。
   • 「認証とプロビジョン」（/console/auth）の「トークンを生成」ボタンからも発行できます。その場合は IdP のプルダウンで「Microsoft Entra ID」を選択し、名称を入力してください。
5. 表示されたトークンを、コピーアイコンでコピーします。
   • SCIM トークンは発行直後に 1 回だけ表示されます。このページを離れるとトークンは再表示されません。
   • トークンはパスワードと同等に扱い、秘密情報管理ツールで保管してください。
6. 「連携ユーザーへ」をクリックすると、連携ユーザー一覧（/console/scim/users）に移動します。

2. Microsoft Entra にエンタープライズアプリケーションを作成する

※ Entra 側の詳細な操作手順は、Microsoft 公式ガイド エンタープライズアプリケーションの追加（Microsoft Learn） もあわせて参照してください。

⚠️ https://entra.microsoft.com に Application Administrator 以上でサインインします。

1. Entra 管理センターの左メニュー → ID → アプリケーション → エンタープライズアプリケーション を開きます。
2. 上部の「+ 新しいアプリケーション」をクリックします。
3. 「+ 独自のアプリケーションの作成」をクリックします。
4. ダイアログで以下を設定します。
   • 名前: 用途が分かる任意の名称（例: ロリポップ！固定IPアクセス）
   • アプリで何を行うか: 「ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)」を選択
5. 「作成」をクリックします（数十秒〜1分待ちます）。

※ 本連携ではプロビジョニング（SCIM）のみを利用し、シングルサインオン（SSO）は使用しません。SSO の設定は不要です。

3. プロビジョニングを設定する

※ 設定の詳細は、Microsoft 公式ガイド アプリへの自動ユーザープロビジョニングの構成（Microsoft Learn） も参照してください。

1. 作成したアプリの左メニュー → 管理 → プロビジョニング を開き、「使用を開始する」をクリックします。
2. プロビジョニングモードを「自動」に設定します。
3. 管理者資格情報に以下を入力します。

1. 「テスト接続」をクリックし、成功メッセージを確認します。
2. 「保存」をクリックします。

※ トークンを再発行した場合は、このプロビジョニング画面の管理者資格情報からシークレットトークンを更新してください（Entra アプリの再作成は不要です）。

4. ユーザー/グループを割り当てる

⚠️ プロビジョニング対象になるのは、ここで割り当てたユーザー/グループのみです。
割り当てを行わないとユーザーは同期されません。

1. アプリの左メニュー → 管理 → ユーザーとグループ を開きます。
2. 「+ ユーザーまたはグループの追加」をクリックし、同期対象のユーザー、またはユーザーを含むグループを選択します。
3. ロールはデフォルトのまま「割り当て」をクリックします。

5. プロビジョニングを有効にする

1. アプリの 管理 → プロビジョニング → 設定 を開きます。
   • スコープを「割り当てられたユーザーとグループのみを同期」にします。
2. マッピングは既定のまま利用できます。属性マッピングに以下が含まれていることを確認します。
   • userName
   • active
   • emails
   • name.givenName / name.familyName
   • グループも同期する場合は「Microsoft Entra ID グループのプロビジョニング」も有効にします。
3. プロビジョニングの状態を「オン」にして「保存」します。
4. 管理画面の「連携ユーザー」（/console/scim/users）を開き、「Microsoft Entra ID ユーザー」カードに同期されたユーザーが表示されることを確認します。
   • 自動プロビジョニングは初回開始まで時間がかかる場合があります。すぐに確認したいときは手順 6 のオンデマンドプロビジョニングを利用してください。
5. 必要に応じて、連携ユーザーに接続先 IP / ライセンスを割り当てます。

※ Entra でユーザーを無効化（active: false）すると、本サービス側でも該当ユーザーが無効になり、割り当て済みライセンスは停止し、設定ファイルのダウンロードもできなくなります。Entra で再有効化すると、停止中のライセンスは再度有効化されます。

※ 本サービス側でメールアドレス指定など手動で割り当て済みの利用者と、Entra から同期された連携ユーザーは自動で統合されません。同じメールアドレスの利用者を Entra 管理に切り替える場合は、手動の割り当てを解除してから、連携ユーザーに接続先 IP / ライセンスを割り当ててください。

6. 手動（オンデマンド）プロビジョニングで即時確認する（任意）

自動プロビジョニングのサイクルを待たずに、特定ユーザーをその場で同期して動作確認できます。

※ 詳細は Microsoft 公式ガイド オンデマンドでのユーザープロビジョニング（Microsoft Learn） を参照してください。

1. アプリの 管理 → プロビジョニング を開きます。
2. 「オンデマンドでプロビジョニング」をクリックします。
3. 対象ユーザーを検索・選択し、「プロビジョニング」をクリックします。
4. その場で該当ユーザーの Create / Update が即時実行され、結果が画面に表示されます。

7. 動作確認チェックリスト

Entra 側の操作後、本サービス側には Entra から SCIM リクエストが届いたタイミングで反映されます。反映されない場合は、Entra のプロビジョニングログを確認してください。

• Entra の「テスト接続」が成功する
• Entra でユーザーを割り当てる（またはオンデマンドプロビジョニングする）と連携ユーザーに表示される
• 複数ユーザーを割り当てた場合、全員が連携ユーザーに表示される
• Entra でユーザー属性を変更すると表示が更新される
• Entra でユーザーを無効化すると無効状態になり、ライセンス利用・設定ファイルダウンロードが停止する
• Entra で再有効化すると利用可能状態に戻り、設定ファイルを再度ダウンロードできる
• （グループ同期時）同期したグループが連携ユーザーのグループ欄に表示される

8. トラブルシューティング

ユーザー単位の同期結果は、アプリの モニター → プロビジョニングログ で確認できます。失敗時は各エントリの「トラブルシューティングと推奨事項」「変更されたプロパティ」を確認してください。ログは JSON でエクスポートできます。