Okta との SCIM 連携設定

Okta との SCIM 連携の設定方法について説明します。

SCIM でサポートされる機能

本連携は SCIM 2.0 に準拠し、以下の機能をサポートします。

• ユーザーの作成（Push New Users）— Okta でアプリに割り当てたユーザーが本サービスに作成されます。
• プロフィール更新（Push Profile Updates）— Okta 上の属性変更が本サービスに同期されます。
• ユーザーの無効化・再有効化（Deactivate / Reactivate Users）— 割り当て解除・無効化で本サービス側も無効化され、再割り当てで再有効化されます。
• グループの同期（Group Push）— Okta グループの作成・名前変更・メンバー変更・削除が同期されます。

同期対象の属性: userName、name.givenName / name.familyName、emails、active
（Enterprise User Extension の属性にも対応）

※パスワード同期（Sync Password）には対応していません。

事前に必要なもの

• ロリポップ！固定IPアクセスの契約
• Okta 管理者アカウント

注意事項

⚠️ SCIM連携は1ご契約者（顧客）につき1つの認証サービス（IdP）のみ設定できます。
すでに別の認証サービス（EntraID等）と連携中の場合は、既存連携解除が必要です。

• SCIM 連携を解除する前に、連携ユーザーに割り当てている接続先 IP / ライセンスを管理画面で解除してください。 ライセンス割り当てが残っている場合、連携解除はできません。
• SCIM 連携を解除すると、本サービス側の連携ユーザー・グループは削除されます。接続先 IP / ライセンス枠自体は削除されませんが、再連携後は Okta の Assignments でユーザーを再同期し、Group Push を再設定したうえで、管理画面で接続先 IP / ライセンスを再度割り当ててください。
• 本マニュアルの Okta 画面名は 2026年6月時点の表示に基づいています。Okta 側の詳細な操作方法や最新の画面構成は、各手順に記載の Okta 公式ドキュメントを参照してください。

全体の流れ

1. 管理画面で SCIM トークンを発行します。
2. Okta 側で SCIM アプリを作成し、Base URL とトークンを設定します。
3. Okta 側でユーザーを割り当て、必要に応じて Group Push を設定します。
4. 管理画面と Okta 側で同期結果を確認します。

1. 管理画面で SCIM トークンを発行する

⚠️ 発行前の確認: SCIM連携は1つのアカウントにつき1つのIDaaSのみ設定できます。
別のIDaaSと連携中の場合は、先に連携ユーザー画面で既存の連携を解除してください。

1. 当サービスの管理画面にログインします。
2. メニューから「連携ユーザー」（/console/scim/users）を開きます。未連携の場合、プロバイダー選択画面が表示されます。
3. 「Okta」を選択します。
4. トークン発行フォームが開きます。名称（自動入力: Okta SCIMキー。変更可）と IdP が「Okta」になっていることを確認し、「トークン生成」をクリックします。
   • 「認証とプロビジョン」（/console/auth）の「トークンを生成」ボタンからも発行できます。その場合は IdP のプルダウンで「Okta」を選択し、名称を入力してください。
5. 表示されたトークンを、コピーアイコンでコピーします。
   • SCIM トークンは発行直後に 1 回だけ表示されます。このページを離れるとトークンは再表示されません。
   • トークンはパスワードと同等に扱い、秘密情報管理ツールで保管してください。
6. 「連携ユーザーへ」をクリックすると、連携ユーザー一覧（/console/scim/users）に移動します。

2. Okta に SCIM アプリを追加する

※ Okta 側の詳細な操作手順（アプリ追加〜API Integration）は、Okta 公式ガイド プライベート SCIM 連携の追加（Okta Developer・英語） も参照してください（手順 3 も含む）。

1. Okta Admin Console にログインします。
2. Applications > Applications を開きます。
3. 「Browse App Catalog」をクリックします。
4. 「Lolipop! Static IP Access」を検索して追加します。
5. Application label を入力します（例: ロリポップ！固定IPアクセス）。
6. Sign-On Options は既定値のまま変更不要です。本連携ではプロビジョニング（SCIM）のみを利用し、シングルサインオン（SSO）は使用しません。
   • 任意: エンドユーザーの Okta ダッシュボードにこのアプリを表示したくない場合は、「Do not display application icon to users」にチェックを入れます（アプリのタイルをクリックしてもログインはできないため）。
7. 「Done」でアプリ作成を完了します。

3. API Integration を設定する

1. 作成した Okta アプリの「Provisioning」タブを開きます。
2. 「Configure API Integration」をクリックします。
3. 「Enable API Integration」にチェックを入れます。
4. OAuth Bearer Token 欄に、手順 1 で発行した SCIM トークンを貼り付けます。
   • Bearer という接頭辞は入力しません（トークン文字列のみ）。
5. 「Test API Credentials」をクリックし、成功メッセージを確認します。
6. 「Save」をクリックします。

※ トークンを削除すると Okta からの同期は停止します。再連携する場合は新しいトークンを発行し、この Provisioning > Integration > Edit から OAuth Bearer Token を更新してください（Okta アプリの再作成は不要です）。

4. To App のプロビジョニングを有効にする

※ プロビジョニング設定の詳細は、Okta 公式ヘルプ アプリ統合のプロビジョニングを構成する（Okta Help Center） も参照してください。

1. Provisioning > To App を開き、「Edit」をクリックします。
2. 以下の 3 つを Enable にして「Save」します。
   • Create Users
   • Update User Attributes
   • Deactivate Users
3. Attribute Mappings に以下が含まれていることを確認します。
   • userName
   • active
   • name.givenName / name.familyName
   • emails

※ Okta でユーザーを deprovision（無効化）すると、本サービス側でも該当ユーザーが無効になり、割り当て済みライセンスは停止し、設定ファイルのダウンロードもできなくなります。Okta で再有効化すると、停止中のライセンスは再度有効化されます。

5. ユーザーを割り当てる

1. Okta アプリの「Assignments」タブを開きます。
2. 「Assign」からユーザー、またはユーザーを含む Okta グループを割り当てます。
   • ここでのグループ割り当ては、所属ユーザーをまとめてプロビジョニングするためのものです。Okta のグループ自体を同期する場合は、手順 6（Group Push）もあわせて設定してください。
   • Group Push を利用する場合、アプリ割り当て用のグループと Group Push 用のグループは別々に用意してください。同じ Okta グループを両方に使うことはできません。
3. 管理画面の「連携ユーザー」（/console/scim/users）を開き、Okta から同期されたユーザーが表示されることを確認します。
   • 表示されない場合は、Okta 側で対象ユーザーの Assignment 状態と System Log を確認してください。本サービス側には、Okta から SCIM リクエストが届いたタイミングで反映されます。
4. 必要に応じて、連携ユーザーに接続先 IP / ライセンスを割り当てます。

※ 本サービス側でメールアドレス指定など手動で割り当て済みの利用者と、Okta から同期された連携ユーザーは自動で統合されません。同じメールアドレスの利用者を Okta 管理に切り替える場合は、手動の割り当てを解除してから、連携ユーザーに接続先 IP / ライセンスを割り当ててください。

6. Group Push でグループを同期する（任意）

Okta のグループを本サービスに同期すると、連携ユーザー画面の「グループ」欄に所属グループが表示され、グループ名での検索ができるようになります。

※ Group Push の詳細は、Okta 公式ヘルプ グループプッシュを管理する（Okta Help Center） も参照してください。

※ Group Push の対象ユーザーは、先に手順 5 でこのアプリに割り当てられ、ユーザーとしてプロビジョニングされている必要があります。未割り当てのユーザーは Group Push だけでは作成されません。

1. Okta アプリの「Push Groups」タブを開きます。
2. 「Push Groups」>「Find groups by name」で対象グループを検索・選択し、「Save」をクリックします。
3. Push Status が Active になることを確認します。
4. 連携ユーザー画面（/console/scim/users）で、対象ユーザーのグループ欄にグループ名が表示されることを確認します。

※ Group Push はグループ情報の同期のみを行います。 ユーザー自体のプロビジョニングは手順 5（Assignments）で別途行ってください。

7. 動作確認チェックリスト

Okta 側の操作後、本サービス側には Okta から SCIM リクエストが届いたタイミングで反映されます。反映されない場合は、Okta の System Log や Push Status を確認してください。

• Okta の Test API Credentials が成功する
• Okta でユーザーを Assign すると連携ユーザーに表示される
• 複数ユーザーを Assign した場合、全員が連携ユーザーに表示される
• Okta でユーザー属性を変更すると表示が更新される
• Okta でユーザーを無効化すると無効状態になり、ライセンス利用・設定ファイルダウンロードが停止する
• Okta で再有効化すると利用可能状態に戻り、設定ファイルを再度ダウンロードできる
• （Group Push 利用時）Push したグループが連携ユーザーのグループ欄に表示される
• （Group Push 利用時）Okta でグループ名を変更すると表示が更新される

8. トラブルシューティング