Cloudflare は、SCIM（System for Cross-domain Identity Management）プロトコルで、Cloudflare ダッシュボードへのユーザー一括プロビジョニングに対応しています。外部のアイデンティティプロバイダー（IdP）を Cloudflare に接続し、ユーザーの追加と権限管理をすばやく行えます。現在、SCIM プロビジョニングは Okta、Microsoft Entra、Authentik と連携しています。
SCIM プロビジョニングを有効にすると、次のようになります。
- Cloudflare アカウントは、アイデンティティプロバイダーからユーザーグループのプロビジョニングを受け取れます。
- 各ユーザーグループのメンバーには、1 つ以上の ポリシー を割り当てられます。各ポリシーは、そのグループの全メンバーに適用する 1 つ以上の ロール ↗ を定義します。
- メンバーは複数のユーザーグループに所属でき、グループごとに異なるポリシーを設定できます。
- SCIM 経由でプロビジョニングしたポリシーは、従来の設定 で構成したポリシーと共存できます。
SCIM によるユーザーライフサイクル管理の想定動作は次のとおりです。
| Cloudflare ダッシュボードの想定動作 | アイデンティティプロバイダー側の操作 |
|---|---|
| ユーザーがアカウントのメンバーとして追加される | ユーザーを SCIM アプリケーションに割り当てます。ダッシュボードの操作が途切れないよう、Minimal Account Access ロールが割り当てられます。 |
| ユーザーがアカウントのメンバーから削除される | SCIM アプリケーションからユーザーの割り当てを解除します。 |
| ユーザーにロールを追加する | SCIM 経由でプッシュされる IdP のグループにユーザーを追加します。そのユーザーは SCIM アプリケーションにも割り当て済みで、アカウントメンバーとして存在する必要があります。 |
| ユーザーからロールを削除する | IdP の対応するグループからユーザーを削除します。 |
| 権限なしでアカウントにユーザーを残す | すべてのロールグループからユーザーを外し、SCIM アプリケーションへの割り当ては残します。Minimal Account Access ロールのみを持つアカウントメンバーになります。 |
- Enterprise アカウントで唯一の Super Administrator であるユーザーは、デプロビジョニングされません。
- SCIM グループの設定ミスで、アカウントの Super Administrator をすべて意図せず削除してしまうことがあります。詳細は SCIM のトラブルシューティング を参照してください。
- SCIM グループ名は、予約済みプレフィックス
CFで始めることはできません。
- Cloudflare ダッシュボードの SCIM プロビジョニングは、Okta、Microsoft Entra、または Authentik を使う Enterprise のお客様のみ利用できます。
- 初回セットアップには Super Administrator である必要があります。
- アイデンティティプロバイダーで、アプリケーションとグループを作成できる権限が必要です。
はじめに、Cloudflare からいくつかのデータを取得し、あとで使えるよう控えておきます。
アカウント ID はダッシュボードまたは API で確認できます。詳細は アカウント ID とゾーン ID を探す を参照してください。
-
次の権限で API トークンを作成 します。
種類 項目 権限 Account SCIM Provisioning Edit -
Account Resources で、対象アカウントを含めるか除外するかを、該当する場合はドロップダウンから選択します。
-
Continue to summary を選択します。
-
権限を確認し、Create Token を選択します。
-
トークン値をコピーします。