Entra ID による自動プロビジョニングの設定（レガシードキュメント） – Miro Help Center

利用可能なプラン： Enterprise プラン
必要な役割：会社の管理者

⚠️ このガイドでは、機能を設定する手順をご説明します。利用可能な機能、Miro SCIM が従うルール、起こりうる問題とその解決方法については、こちらをご覧ください。
Miro の SCIM 開発者向けドキュメントはこちらでご覧になれます。

詳細なプロビジョニングガイド（フレキシブルライセンスプログラムをご利用のお客様向け）は、こちらでご覧いただけます。

前提条件

Miro SCIM API は、SSO パートナーのプロビジョンをサポートし、ユーザーとチーム（グループ）を管理するために使用されます。SAML ベースの SSO が正しく設定され、Miro Enterprise プランで正常に機能している必要があります。SSO の設定手順については、こちらをご覧ください。

セキュリティーグループと Miro チームは、あらかじめ同じ命名規則で作成しておく必要があります。

プロビジョニングの設定

SSO 設定中にアプリケーションが作成されると、設定が表示されます：

Miro アプリケーションの設定

左側のパネルで プロビジョニング を選択し、 [プロビジョニングモード] を [手動] から [自動] に変更します：
管理者の認証情報を提供します：
a) https://miro.com/api/v1/scim/ を テナント URL として使用します。
b) シークレットトークン を提供します。Miro の設定の SSO セクションから以下の手順で取得できます：
c) シークレットキー 編集ボックスのすぐ下にある 接続テスト ボタンをクリックします。
接続テストに成功すると、以下に示すメッセージが表示されます：

接続テスト成功のメッセージ
接続が確認できない場合は、テナント URL が正しいか、ネットワーク内のファイアウォールやその他のトラフィックインターセプターによってブロックされていないか、また API トークン が正しいかを再度確認してください。
設定を保存します:

設定の保存

マッピング

Miro SCIM API は、Entra ID がユーザーとグループに付加するメタデータの一部を利用します。このセクションでは、Miro SCIM API と Entra ID 属性間の必要なマッピングについて説明します。

ユーザー

左サイドバーの プロビジョニング タブを選択し、次に Synchronize Entra Active Directory Users to Miro:

同期を有効にする
デフォルトのマッピング設定で問題ないはずです。ただし、念のためユーザーの同期が有効で、必要なメソッド（作成、更新、削除）がすべてオンになっていることを再確認してください。

属性マッピング

Miro は、SP-initiated フローでは UPN によってのみ Entra ユーザーを認識します。

対応する属性のいずれかを追加するには、詳細オプションを表示オプションをクリックし、Miro の属性リストを編集:を選択します。

詳細オプション

次に、マッピングしたい属性名を入力し、保存します。対応する属性の全リストについては、SCIM ドキュメントを参照してください。

Miro のユーザー属性

これで、新しいマッピングを追加オプションを選択し、先ほど追加した新しい属性を選択できます:

なお、新しい属性をマッピングするには、次の URL で Entra にアクセスしてこのオプションを有効にする必要があります：

https://portal.azure.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true

新しい属性の詳細な追加手順については、Microsoft のこちらとこちらのドキュメントをご覧ください。

⚠️ ProfilePicture 属性は Entra ではサポートされていません。この機能の追加をするよう、User Voice に提案することができます。

グループ

左サイドバーの プロビジョニング タブを選択し、 Entra Active Directory グループを Miro と同期するをクリックします。
デフォルトのマッピング設定で問題ないはずです。グループに対する同期が有効になっていることを確認し、チェックを外して作成および削除メソッドを無効にしてください（Miro SCIM API はチームの作成と削除をサポートしていません）。

⚠️ 想定外の変更を防ぐため、これらのメソッドのチェックをはずしておくことを強くお勧めします。メソッドのサポートを開始したとき
保存をクリックします。

ユーザーとグループの割り当て

Miro SCIM プロビジョニングは、Enterprise サブスクリプションへのユーザーのプロビジョニングとプロビジョニング解除を支援し、複数チーム間でユーザーを自動的に分配します.

Entra Active Directory のユーザーまたはグループを Miro SCIM Provisioner アプリケーションに割り当てると、Miro で自動的に管理されます.

ユーザーとグループをアプリケーションに割り当てるには、以下の手順に従います。

左側の プロビジョニング タブを選択します。設定セクションで、スコープが Miro と同期させたいものに設定されていることを確認します。次に "割り当てられたユーザーとグループのみを同期する" を選択してください。
左側のパネルで ユーザーとグループ タブを選択し、 ユーザーを追加をクリックします。

ユーザーとグループのタブ
「割り当て追加」画面で、 ユーザーとグループ タブを選択し、リストからユーザーとグループを選択します。注記： Miro SCIM API では、Miro に新しいチームを作成しません。SCIM の機能一覧はこちらをご覧ください。
選択、次に 割り当て ボタンをクリックします。
割り当てられたユーザーとグループが一覧で表示されます。

✏️ Entra ID 上でグループの割り当てを解除しても、Miro で同期されたチームからユーザーが削除されたり、非アクティブ化されたりすることはありません。ユーザーを正常にプロビジョニング解除するには、Miro に接続されているすべての Entra ID グループからユーザーを削除してください.:

ユーザーをダウングレードする

ユーザーをダウングレードするには、次の手順に従ってください:

Entra ID で、以下の手順を実施してください：
1. Full のアプリロールが割り当てられているグループからユーザーを削除します。
2. User のアプリロールが割り当てられている別のグループのメンバーであることを確認します。
Miro で、そのライセンスを制限付き無料ライセンスに更新してください。

⚠️ Miro アプリケーションに割り当てられているすべての Entra ID グループからユーザーを削除すると、そのユーザーは Miro で非アクティブになり、Miro アプリケーションにアクセスできなくなります。ダウングレード対象のユーザーが引き続き制限付き無料ライセンスで Miro を利用する必要がある場合は、そのユーザーがUserのロールが割り当てられている Entra ID グループのメンバーであることを確認してください。

✏️ SCIM プロビジョニングによるフルライセンスから制限付き無料ライセンスへのユーザーのダウングレードにはまだ対応していません。

プロビジョニングの有効化と無効化

初期設定が完了したら、プロビジョニングステータスのトグルを切り替えてプロビジョニングを有効化します。

左側の プロビジョニング のタブを選択します。
プロビジョニングステータスのトグルをオンにします。

プロビジョニングステータス
保存を押します。これで初期プロビジョニングが開始され、終了するまでしばらく時間がかかります。約 20 分後にページの一番下にあるステータスを確認してください。

必要に応じて、オフを選択してプロビジョニングを無効化できます。Entra は断続的にデータを更新するため、緊急の更新が必要な場合は、プロビジョニングを一度停止してから再度開始してください。再同期は即時に実行され、更新内容も反映されます。

グループとチームの切り離し

SCIM を有効化してグループを Miro のチームと同期するには、名前を一致させる必要があります。Miro は name 値に基づいて同期を行います。ただし、同期後にどちらか一方の名前を変更すれば、別の名前にすることも可能です。以下の例をご覧ください。

見込まれる結果：Entra には sfo_hq_eng_support というグループがあり、Miro には Engineering Support というチームが存在し、両者が同期されます。

すべてのセキュリティーグループを一覧表示するには、次の curl コマンドを実行します（プレースホルダーは必ず固有の値に置き換えてください）：

curl \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-H "Authorization: Bearer SCIM_API_TOKEN" \
-X GET https://miro.com/api/v1/scim/Groups

応答例：

{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:ListResponse"
  ],
  "totalResults": 1,
  "Resources": [
    {
      "schemas": [
        "urn:ietf:params:scim:schemas:core:2.0:Group"
      ],
      "id": "3074457345618261605",
      "displayName": "YourMiroTeamName",
      "members": [],
      "meta": {
        "resourceType": "Group",
        "location": "https://miro.com/api/v1/scim/Groups/3074457345618261605"
      }
    }
  ]
}

この段階で Miro には、Engineering Support という Miro チームと、Engineering Support（ID：3074457345618261605）という Miro セキュリティーグループが存在しています。これらのチームとグループは一対一でマッピングされています。

ここでは、チーム名を変更せずに、セキュリティーグループ Engineering Support の名前を sfo_hq_eng_support に変更します。そのために以下の curl コマンドを実行します：

curl \
-H "Accept: application/json" \
-H "Content-Type: application/json" \
-H "Authorization: Bearer SCIM_API_TOKEN" \
-X PATCH https://miro.com/api/v1/scim/Groups/3074457000018261605 \
-d '{
  "schemas": [
    "urn:ietf:params:scim:api:messages:2.0:PatchOp"
  ],
  "Operations": [
    {
      "op": "Replace",
      "path": "displayName",
      "value": "YourSecurityGroupName"
    }
  ]
}'

この変更は、Miro の 会社チーム ページにすぐに反映されます。

Entra は 40 分ごとにバックグラウンドでスケジュールされた同期を実行します。次の同期で、Entra は Miro の sfo_hq_eng_support セキュリティーグループを確認し、Entra の該当のグループと自動的に紐付けます。

この時点で、セキュリティーグループは Miro チームの 1 つに接続され、別の名前が付けられています.

起こり得る問題とその解決方法

ユーザーのメールアドレスの変更によって生じる問題

一部のユーザーのメールアドレスの更新内容を Miro 側で確認できない場合、想定される属性が更新されていることを確認します。この問題は、emails[type eq "work"]. を使用している場合に発生する可能性があります。

emails[type eq "work"] 属性は Entra のデフォルトなので、Miro は対応しています。ただし、読み取り専用で、userName から動的に生成される場合に限ります。
ユーザーを読み取ると、次のように返します:

Miro 側では emails[type eq "work"] は読み取り専用であるため、変更しようとする試みは Miro によって無視されます。これは、Miro がユーザーを識別する際にメールアドレスをプライマリー ID として使用しているためで、追加のメールアドレスはサポートしていません。しかし、SCIM の構造上メールアドレスの配列が必要なため、その存在はサポートしています。

ユーザーのメールアドレスを変更するには、emails[type eq "work"]ではなく、userName に対して更新を送信する必要があります。

ユーザーの更新エラー

Entra のログには Failed のステータスが次の内容で表示されます：

ステータス理由 - "ユーザーの更新に失敗しました: 属性 emails には複数の値または複雑な値がありません"
エラーコード - SystemForCrossDomainIdentityManagementServiceIncompatible

このセクションの記事