> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cloud.cdata.com/llms.txt
> Use this file to discover all available pages before exploring further.

# ユーザープロビジョニングと SSO

> Connect AI は、シングルサインオン（SSO）と、Just-in-Time（JIT）および System for Cross-domain Identity Management（SCIM）によるユーザープロビジョニングをサポートしています。

Connect AI では、以下のユーザーオンボーディングおよびアクセス管理モードが利用できます：

* **Email Invitation**：管理者が E メールでユーザーを個別にアカウントに招待します。
* **SSO + JIT**：ユーザーは会社の SSO プロバイダー経由でサインインできます。Just-in-Time（JIT）プロビジョニングは、初回の SSO ログイン時にユーザーアカウントを自動的に作成します（SSO が必要）。
* **SCIM Users**：Connect AI への個別ユーザーのアクセス付与および削除のプロセスを標準化します。
* **SCIM Groups**：Connect AI へのユーザーグループのプロビジョニング、ロールの割り当て、およびグループの削除のプロセスを標準化します。

## E メール招待

Administrator または User Administrator は、E メールで Connect AI にユーザーを個別に招待できます。Administrator または User Administrator がユーザーロールと権限を設定します。ユーザーを招待する手順については、[Users](/ja/Users) を参照してください。

## SSO

Connect AI は以下の SSO プロバイダーをサポートしています。Connect AI のオンボーディング時に、CData が SSO プロバイダーのセットアップ方法を説明するセルフサービスリンクを提供します。各 SSO プロバイダーの FAQ/トラブルシューティング情報を確認するには、以下のリンクをクリックしてください。

* [SAML](/ja/SAMLTroubleshooting)
* [OpenID Connect](/ja/OpenIDConnectTroubleshooting)
* [Google Workspace](/ja/GoogleWorkspaceTroubleshooting)
* [Microsoft Entra ID](/ja/MicrosoftEntraIDTroubleshooting)
* [Active Directory Federation Services (ADFS)](/ja/ADFSTroubleshooting)
* [Active Directory/LDAP](/ja/ActiveDirectoryLDAPTroubleshooting)
* [PingFederate](/ja/PingFederateTroubleshooting)
* [Okta Workforce Identity Cloud](/ja/OktaTroubleshooting)

アカウントで SSO を有効にするには、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。

### SSO ユーザープロビジョニング（JIT なし）

SSO は認証のみを処理します。ユーザーが SSO 経由でサインインする前に、Connect AI アカウントが必要です。JIT プロビジョニングを有効にしていない場合、Administrator が先に E メールでユーザーを招待する必要があります。詳細は、[Users](/ja/Users) を参照してください。

### JIT ユーザープロビジョニング

JIT プロビジョニングは、ユーザーが SSO 経由で初めて認証に成功したときに、自動的にユーザーアカウントを作成します。Connect AI の Administrator が手動でユーザーを招待する必要はありません。新規ユーザーには、Administrator が **Settings** ページ（**Security** タブ）で、選択した E メールドメインとロールに対して **Just-in-Time User Provisioning** をオンにして構成したロールが付与されます。

<Frame>
  <img src="https://mintcdn.com/cdata/pqMfzhK6yuFFMefC/ja/images/settings_sso.png?fit=max&auto=format&n=pqMfzhK6yuFFMefC&q=85&s=1fe4783083f61d301541cadf177837df" alt="JIT Provisioning" width="1447" height="281" data-path="ja/images/settings_sso.png" />
</Frame>

Administrator または User Administrator は、ロールと権限を後から変更できます。ユーザーロールと権限の詳細については、[権限とアクセス制御](/ja/Permissions) を参照してください。

<Note>JIT プロビジョニングを有効にするには、アカウントで事前に SSO が設定されている必要があります。</Note>

新規ユーザーの SSO ログインがシート数の上限に達している場合、そのユーザーのプロビジョニングは拒否されます。Administrator に警告が送信されます。

## SCIM ユーザー

System for Cross-domain Identity Management (SCIM) は、クラウドベースのアプリケーションにおけるユーザーのプロビジョニング、更新、削除を管理するための標準です。Okta や Entra ID などの自社の ID プロバイダーを使用して、Connect AI 内のユーザーを安全にプロビジョニング、更新、削除できます。

<Note>SCIM Users を有効にする前に、アカウントで SSO が設定されている必要があります。SCIM を有効にするには、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。</Note>

Connect AI は現在、以下の ID プロバイダーでの SCIM プロビジョニングをサポートしています：

* Microsoft Entra ID
* Okta Workforce Identity Cloud
* カスタム IdP（SAML または OpenID Connect 経由で構成）

以下の SCIM プロバイダーは **サポートされていません**：

* PingFederate
* Google Workspace
* Active Directory Federation Services (ADFS)
* Active Directory/LDAP

### SCIM ユーザーのプロビジョニング、更新、およびデプロビジョニング

SCIM をプロビジョニングすると、CData サポートが次の形式の一意のベース URL を提供します：`https://{your-domain.com}/scim/v2`。この URL エンドポイントには、必要なユーザーメタデータが含まれます。すべての SCIM エンドポイントでは、`Bearer` トークンを含む `Authorization` ヘッダーが必要です。

新規ユーザーをプロビジョニングするには、一意の SCIM エンドポイントに `POST` リクエストを送信します。システムが Connect AI でユーザーをプロビジョニングします。ユーザーが E メールで確認する必要はありません。新規ユーザーのデフォルトロールは Query ユーザーです。システムロールの詳細については、[Roles](/ja/Roles) を参照してください。新規ユーザーは、ユーザー定義の認証情報が有効になっているコネクションにのみアクセスできます。

SCIM ユーザーの名前と E メールを更新するには、SCIM エンドポイントに `PATCH` リクエストを使用します。SCIM の更新ユーザーリクエストを受け取ると、システムが Connect AI 内の情報を更新します。

ユーザーを削除するには、一意の SCIM エンドポイントに `DELETE` リクエストを使用します。SCIM の削除イベントが削除エンドポイントを呼び出します。完全にデプロビジョニングするには、Management API から `DELETE /users/{id}` も呼び出して、PAT とすべての直接のロール割り当ておよび権限付与を取り消します。

Connect AI の [監査ログ](/ja/Logs#audit-log) には、SCIM のユーザーのプロビジョニング、更新、削除が表示されます。

### ロールと権限

Connect AI におけるユーザーのアクセスは、グループ由来のロール（SCIM グループの割り当てから）、直接のロール割り当て、および直接のリソース権限の組み合わせです。Management API（ベースパス `/api/v1/`）を使用して、直接の割り当てを管理し、ユーザーを完全にデプロビジョニングできます：

| メソッド     | パス                                        | 説明                                                           |
| -------- | ----------------------------------------- | ------------------------------------------------------------ |
| `GET`    | `/users`                                  | すべてのユーザーを一覧表示します。                                            |
| `GET`    | `/users/{id}`                             | 単一のユーザーとその直接権限を含めて取得します。                                     |
| `PATCH`  | `/users/{id}`                             | ユーザー属性を更新します。                                                |
| `DELETE` | `/users/{id}`                             | デプロビジョニング：すべての PAT を取り消し、すべての直接のロール割り当ておよび権限付与を削除します。        |
| `POST`   | `/users/{id}/roles`                       | ユーザーにロールを直接割り当てます。                                           |
| `GET`    | `/users/{id}/roles`                       | ユーザーに割り当てられたすべてのロールを一覧表示し、それぞれが直接割り当てられたか、グループから継承されたかを示します。 |
| `DELETE` | `/users/{id}/roles/{role_id}`             | 直接のロール割り当てを削除します。                                            |
| `POST`   | `/users/{id}/permissions`                 | ユーザーにリソース権限を直接割り当てます。                                        |
| `GET`    | `/users/{id}/permissions`                 | ユーザーに割り当てられた直接の権限を一覧表示します。                                   |
| `DELETE` | `/users/{id}/permissions/{permission_id}` | 直接の権限を削除します。                                                 |

システムロールおよびアクセスロールの詳細については、[Roles](/ja/Roles) を参照してください。

## SCIM グループ

SCIM グループプロビジョニングを使用すると、ID プロバイダー（IdP）からグループを同期して Connect AI のアクセスを管理できます。IdP から同期されたグループは、Connect AI では読み取り専用です。グループの作成、更新、削除は IdP で行い、SCIM が Connect AI との同期を維持します。

<Note>SCIM Groups を有効にする前に、アカウントで SSO が設定されている必要があります。SCIM を有効にするには、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。</Note>

Connect AI は、以下の ID プロバイダーでの SCIM グループプロビジョニングをサポートしています：

* Microsoft Entra ID
* Okta Workforce Identity Cloud
* カスタム IdP（SAML または OpenID Connect 経由で構成）

以下の SCIM プロバイダーは **サポートされていません**：

* PingFederate
* Google Workspace
* Active Directory Federation Services (ADFS)
* Active Directory/LDAP

### SCIM グループのユーザープロビジョニングとデプロビジョニング

IdP 内の同期されたグループにユーザーが追加されると、Connect AI は自動的にそのユーザーをプロビジョニングします。ユーザーが E メールで確認する必要はありません。新規ユーザーは、そのグループに割り当てられたロールを継承します。グループへのロール割り当ての詳細については、[ロールの割り当て](#ロールの割り当て) を参照してください。

同期されたグループからユーザーが削除されると、そのグループに割り当てられたロールを失います。ユーザーが複数の同期されたグループのメンバーである場合、残りのグループメンバーシップを通じてアクセスは維持されます。ユーザーを完全にデプロビジョニングするには、IdP 内のすべての同期されたグループから削除した上で、Management API から `DELETE /users/{id}` を呼び出して、PAT とすべての直接のロール割り当ておよび権限付与を取り消します。ユーザーレコードは保持されますが、そのユーザーはサインインできなくなります。

### ロールの割り当て

グループの同期後、Management API を使用してグループに Connect AI のロールを割り当てます。グループの現在および将来のすべてのメンバーは、割り当てられたロールを自動的に付与されます。1 つのグループに複数のロールを保持でき、同じロールを複数のグループに割り当てることもできます。

グループのロール割り当てを管理するには、以下のエンドポイント（ベースパス `/api/v1/`）を使用します：

| メソッド     | パス                             | 説明                                |
| -------- | ------------------------------ | --------------------------------- |
| `GET`    | `/groups`                      | SCIM で同期されたすべてのグループを一覧表示します。      |
| `GET`    | `/groups/{id}`                 | グループとその現在のロール割り当てを取得します。          |
| `POST`   | `/groups/{id}/roles`           | グループにロールを割り当てます。                  |
| `GET`    | `/groups/{id}/roles`           | グループに割り当てられたすべてのロールを一覧表示します。      |
| `DELETE` | `/groups/{id}/roles/{role_id}` | グループからロール割り当てを削除します。              |
| `GET`    | `/roles/{id}/groups`           | 特定のロールが割り当てられているすべてのグループを一覧表示します。 |

グループからロール割り当てを削除すると、このグループ割り当てを通じてのみそのロールを保持していたメンバーは、直ちにそのロールを失います。システムロールおよびアクセスロールの詳細については、[Roles](/ja/Roles) を参照してください。

Connect AI の [監査ログ](/ja/Logs#audit-log) には、SCIM グループのプロビジョニング、メンバーシップの変更、およびロール割り当ての変更が表示されます。