Auth Services Workspace

Overview

この仕様は、
何を解決するのか。

Enterprise SSOと合わせてユーザーProvisioning、グループ同期、退職者のアクセス失効を設計する人向けです。

SCIMは、クラウドサービス間でユーザーとグループのライフサイクルを自動管理するためのRESTプロトコルです。ログイン時に本人を確認する認証プロトコルではなく、入社・異動・退職に合わせてアカウントを準備し、権限の土台を最新に保つIdentity Provisioning仕様です。

Identity Providerや人事システムがSCIM Clientとなり、Service Providerの/Usersや/Groups Endpointを操作します。共通Schema、検索Filter、PATCH、Bulk処理が定義され、サービスごとに異なるユーザー管理APIを減らします。

Purpose and responsibilities

利用開始前の作成、属性変更、グループ所属、利用終了時の無効化を組織のID情報と同期します。

UserとGroupのCore Schemaにより、userName、name、emails、active、membersなどを共通形式で扱います。

SSO設定だけで終わらず、active=falseやアカウント削除を連携して不要なアクセス権を速やかに失効させます。

Key concepts

01Users / Groups02Provisioning03Deprovisioning04PATCH / Bulk05Service Provider Configuration

Security considerations

仕様を実装するときは、正常系の通信だけでなく、値のすり替え、再利用、漏えいが起きた場合も考えます。

Position and relationship

OIDCやSAMLは主にログイン時の認証結果を伝え、SCIMはログイン前後を含むアカウントのライフサイクルを管理します。SSOでログインを統合し、SCIMで作成・属性・所属・無効化を同期することで、Identity管理全体を構成できます。

Other specifications