System for Cross-domain Identity Management（SCIM）は、アイデンティティプロバイダーがクラウドアプリケーションやサービスとユーザー ID 情報を同期するためのオープン標準プロトコルです。SCIM を設定すると、アイデンティティプロバイダーで作成、編集、削除したユーザー ID が、対応するすべてのアプリケーションへ自動で反映されます。IT 管理者は、新規ユーザーのオンボーディング、グループと権限の更新、従業員の退職やセキュリティ侵害時のアクセス取り消しを行いやすくなります。
Cloudflare One は、SCIM バージョン 2.0 を使うすべての SAML および OIDC アイデンティティプロバイダーの SCIM プロビジョニングに対応しています。
Cloudflare Access は、アイデンティティプロバイダーで無効化されたユーザーを Zero Trust から自動でプロビジョニング解除し、同期したグループ名を Access と Gateway のポリシービルダーに表示できます。アイデンティティプロバイダーに新しいユーザーを追加しても、Cloudflare は Zero Trust にそのユーザーをプロビジョニングしません。ユーザーは先に Cloudflare One Client でデバイスを登録するか、Access アプリケーションで認証する必要があります。
SCIM が Access と Gateway のポリシー評価に与える影響は異なります。
Access は、認証時にアイデンティティプロバイダーが返す SAML アサーションまたは OIDC トークンから、ユーザーの ID とグループ所属を評価します。SCIM は Access のポリシービルダーに読みやすいグループ名を提供しますが、Access はログイン評価に SCIM のグループ所属を使いません。Enable user deprovisioning をオンにすると、SCIM アプリケーションからユーザーを削除した時点で、そのユーザーのアクティブな Access セッションが取り消されます。グループ所属の変更後にセッションを取り消すよう、SCIM を設定することもできます。Access は、ユーザーが再度認証したときに、更新後のアイデンティティプロバイダーデータを評価します。
Gateway は、User Registry の ID に対してアイデンティティベースのポリシーを評価します。ユーザーまたはグループ所属が変わると、SCIM はこの ID を更新します。ユーザーの再認証を待つ必要はありません。Cloudflare One Client のデバイスプロファイルも、同じ同期済み ID を使います。
Zero Trust 向けに SCIM を設定するには、SSO 連携 ガイドを参照してください。
SCIM の動作は、Cloudflare だけでなくアイデンティティプロバイダーの設定にも依存します。
よくある問題は次のとおりです。
- Okta: ユーザー同期とグループ同期は別です。Zero Trust ポリシーにグループを表示したい場合は、Push Groups が設定されていることを確認してください。
- Microsoft Entra ID: グループ同期は、プロビジョニング対象に含まれるグループに対してだけ行われます。
userName属性は、Cloudflare One 上のユーザーのメールアドレスと一致させてください。
ユーザーは表示されるのにグループが表示されない場合は、Cloudflare のポリシー動作を調べる前に、先に IdP 側の SCIM アプリを確認してください。