OKTA による自動プロビジョニングの設定 – Miro Help Center

このガイドでは、SCIM を使用して Okta と Miro Enterprise アカウント間で、ユーザーおよびユーザーグループの自動プロビジョニングを設定する手順を案内します。

利用可能なプラン: Enterprise プラン
設定者：会社レベルの管理者

⚠️ このガイドは構成手順のみを扱います。サポートされている機能、同期ルール、トラブルシューティングについては、SCIM の概要を参照してください。SCIM API リファレンスについては、開発者向けドキュメントを参照してください。

注：このインテグレーションで構成された SCIM グループは、チームではなく Miro のユーザーグループに直接同期されます。詳細は新しい同期モデルを参照してください。

組織がフレキシブルライセンスプログラムをご利用の場合は、そのセットアップ用の詳細なプロビジョニングガイドをご参照ください。

前提条件

自動プロビジョニングを設定する前に、次の項目を完了してください：

Miro Enterprise プランで SAML ベースの SSO を設定し、正常に動作していることを確認してください。手順は Okta SSO の設定を参照してください。
API トークンを生成してください。SCIM API はすべてのリクエストでトークンが必要です。トークンを生成するには、Enterprise のインテグレーション > SSO > SCIM の設定で SCIM を有効化してください。
同期中の接続エラーを回避するため、SCIM 概要の重要事項および Miro の SCIM 運用ルールを確認してください。

設定

Okta がプロビジョニング要求を認証できるように、Okta を Miro の SCIM API に接続します。

アプリケーションの設定ページで、 [Provisioning]（プロビジョニング） タブに切り替え、[Configure API Integration]（API インテグレーションの設定）をクリックします：

事前設定された Miro アプリのプロビジョニングタブ
[Enable API Integration]（API インテグレーションを有効化）のチェックボックスをオンにし、[Base URL]（ベース URL）（https://miro.com/api/v1/scim/）とユニークな[API Token]（API トークン）（Miro の [Security]（セキュリティ） セクションで入手可能）を入力し、[Test API Credentials]（認証情報をテスト）をクリックします。
接続が成功すると、通知「Miro は正常に検証されました」が表示されます：

Provisioning タブ、インテグレーションセクション
確認メッセージが表示されない場合は、Base URLhttps://miro.com/api/v1/scim/ がネットワーク上のファイアウォールやその他のトラフィック傍受機能によってブロックされていないか、また API Token が正しいかを確認してください。
保存してください。

ユーザー属性のマッピング

Miro の SCIM API は、Okta がユーザーおよびグループに付与するメタデータの一部を使用します。本セクションでは、Miro SCIM API と Okta の属性間で必要なマッピングについて説明します。

アプリケーションの設定ページで、プロビジョニング > アプリへタブに切り替えます。編集をクリックし、次にユーザーを作成、ユーザー属性を更新、およびユーザーを非アクティブ化の横にあるチェックボックスを選択します:

あらかじめ設定された Miro アプリの [アプリへ] タブ
スクロールダウンして、ユーザー名が サインオン設定で設定済み に設定されていることを確認します:

あらかじめ設定された Miro アプリの属性マッピングのタブ
対応する属性を追加するには、プロフィールエディターに移動をクリックし、属性を追加を選択します:

プロフィールエディターで有効な属性の一覧

対応する属性の全リストについては、Miro の SCIM ドキュメントをご覧ください。

ユーザーの割り当てとグループの同期

Miro の SCIM プロビジョニングを使用すると、Miro の Enterprise プランにユーザーをプロビジョニングし、ユーザーをユーザーグループに自動で振り分け、必要に応じて非アクティブ化できます。

⚠️ Okta のグループは、ユーザーが個別に割り当てられている場合でも、Miro アプリに割り当てられている必要があり、そのうえアプリのプッシュグループにも追加する必要があります。どちらの手順も必須です。

ステップ 1：グループを割り当てる

割り当てタブを使用して Miro アプリにグループを割り当てます。割り当てられたユーザーはこの時点で Miro SSO 経由で認証できますが、まだ Miro のユーザーグループには追加されません。

ステップ 2：プッシュグループを設定する

Okta のグループを Miro のユーザーグループに同期するには、プッシュグループを設定します。

アプリケーション設定ページでプッシュグループ タブを選択し、次にアプリグループを更新をクリックします:

事前設定済み Miro アプリのプッシュグループ
これにより Okta は Miro のサブスクリプション内のユーザーグループを検出し、それらと同期できるようになります。ユーザーグループの数によっては、リストのダウンロードに数分かかる場合があります。
プッシュグループ > 名前でグループを検索をクリックします。

プッシュグループの設定
検索ボックスに Okta グループ名を入力し、オートサジェストリストから選択します。Okta は、前のステップでダウンロードした一覧に基づき、対応する Miro ユーザーグループに一致するグループを表示します。

Okta グループと Miro ユーザーグループのリンク
一致する Miro ユーザーグループが存在しない場合は、グループを作成を選択します。Okta が Miro ユーザーグループを作成するため、Miro 側で事前にユーザーグループを作成する必要はありません。
Okta を経由せずに Miro Enterprise プランに直接ユーザーが追加されている場合は、[インポート]タブに移動し、[今すぐインポート]をクリックします。これにより既存の Miro ユーザーが Okta にインポートされ、取り扱い方法を選択できます:

これにより両システム間でユーザーの不一致が発生せず、SSO を有効にした後にログインできなくなる事態を防げます。
変更を保存します。Miro にプッシュされたグループの一覧と、その同期ステータスが表示され、同期ステータスは（緑色で）Activeと表示されます。選択したグループに含まれるユーザーはすべて対応する Miro ユーザーグループに追加され、以後同期が維持されます。

ボードやスペースへのアクセスは、ユーザーグループへの所属だけでは自動的には付与されません。アクセス権を付与するには、該当するボードとスペースをユーザーグループ、または個々のメンバーに個別に共有してください。

トラブルシューティング

ユーザーが Miro にプッシュされません。
Okta のプッシュされたグループがアプリに正しく 割り当てられていることを確認してください。Okta のプッシュグループ同期のアクティブステータスは、正確でないことがあります。同期エラーを解決するには、そのグループの割り当てを解除し、プッシュグループから削除してから、再度グループを割り当て、プッシュグループに追加してください。同期接続を再作成すると、他に変更を加えていなくても問題が解決する場合があります。
ユーザーが削除されていません。
SCIM プロセスには、ユーザーの削除は含まれていません。ユーザーのアクセスを削除するには、Okta でユーザーを非アクティブ化するか、Okta 側でアプリケーションからユーザーの割り当てを解除してください。どちらの操作でも Miro にリクエストが送信され、ユーザーは非アクティブ化された状態になります。ユーザーを完全に削除するには、ユーザーを削除する方法をご覧ください。
ユーザーデータが更新されません。
ユーザー名の属性は、アプリケーション > 割り当てからは更新できません:

ユーザー名の属性は、他の属性と同様に、ユーザープロフィールの編集オプションから更新してください:
「Conflict. Errors reported by remote server: DomainAddress is not whitelisted」というエラーのため、ユーザーがプロビジョニングされません。

ユーザーのドメインアドレスが、共有ポリシーで許可されていることを確認してください。
Push Now オプションを使用した後、一部のユーザーがユーザーグループから予期せず削除されることがあります。
このオプションでは、Okta がユーザーグループの全メンバーを置き換える PATCH リクエストを開始します。つまり、Miro のユーザー一覧を Okta のユーザー一覧に同期します。プロセスが完了する前にタイムアウトが発生した場合、タイムアウトが発生するまでに処理されたユーザーのみが Miro に残され、それ以外のユーザーはユーザーグループから削除されます。ユーザーをユーザーグループから削除しても、当該ユーザーグループのメンバーシップにのみ影響し、ユーザーがチームや組織から削除されることはなく、ボードやプロジェクトの所有権も移行されないため、コンテンツが再割り当てされることはありません。Push Now オプションの後にメンバーが欠けていることに気付いた場合は、同期を再試行して完全なユーザー一覧を反映してください。
「今すぐインポート」オプションで表示されるスキャン済みユーザー数が、 Miro のサブスクリプションのユーザー数と一致しません。
この数には非アクティブ化されたユーザーやチームに所属していないユーザーは含まれません。結果は、 Okta が直近のインポート以降の変更（例: 「1 user removed」のような変更）を含めている場合にも異なることがあります。正確な件数を得るには、インポートコマンドを少なくとも 2 回実行してください。
ユーザーのデータが一部更新されていません。
設定したすべての属性（特に ProfilePicture や UserType などのカスタム属性）が、ユーザープロフィールページに表示され、入力されていることを確認してください:
リンク / プッシュグループのタイムアウトにより、変更が Miro に送信されません:
"06-14-2021 12:16:29PM UTC に失敗: グループプッシュのマッピング対象アプリグループ <Group Name> の更新に失敗しました: ユーザーグループ <Group Name> を作成中にエラーが発生しました: 読み取りがタイムアウトしました。"

このタイムアウトエラーは、既存のグループをリンクしようとしたときや、メンバーが多い新しいグループをプッシュしようとしたときに発生する場合があります。

新しいグループをプッシュしていた場合は、Okta の SCIM リクエストが対象グループを Miro で作成する前にタイムアウトしたのか、作成した後にタイムアウトしたのかを確認してください。対象グループが Miro で作成されていなかった場合は、再度「プッシュグループ」操作を実行してください:

既存のグループをリンクしていた場合、または最初のプッシュ操作の後に対象グループが Miro で作成されていた場合は、Okta と Miro のグループ間のリンクを復元してください:
1. プッシュされたグループのリンクを解除します（モーダルウィンドウでターゲットアプリのグループを残すにチェックを入れてください）：
2. Okta が Miro のグループリストを取得できるように、アプリグループを更新 をクリックします:
3. グループをプッシュ をクリックし、次に 名前でグループを検索 を選択します。
4. ー検索ボックスにグループ名を入力して、プッシュしたいグループを検索し、ドロップダウンから選択します。Okta は グループをリンク オプションが以下のように無効化された状態で表示します。
5. 保存をクリックします。Okta は、PATCH /Groups SCIM リクエストを使用して対象グループを同期します。
6. ーOkta グループのメンバー全員が Miro の対応するユーザーグループに割り当てられていない場合は、Okta の「ディレクトリー → タスク」タブを確認し、失敗した操作を再試行してください：