ユーザー プロビジョニングについて

Atlassian Access をサブスクライブすると、ユーザー プロビジョニング機能を利用できます。Atlassian Access の詳細をご確認ください。

アトラシアンでは、System for Cross-domain Identity Management (SCIM) を使用してユーザー プロビジョニングをサポートしています。この機能では、プロトコルの SCIM 2.0 バージョンが使用されます。

ユーザー プロビジョニングを構成することで、ご利用の Atlassian 組織に外部のユーザー ディレクトリを連携できます。この連携では、アイデンティティ プロバイダーで更新を行ったときに、Atlassian 組織のユーザーとグループを自動的に更新できます。たとえば、ユーザー プロビジョニングを使用することで、管理対象の Atlassian ユーザー アカウントをアイデンティティ プロバイダーから作成、リンク、無効化できます。

サポートされるアイデンティティ プロバイダー

任意の ID プロバイダーを使用できますが、いくつかの機能は一部の ID プロバイダーでのみ使用できます。アトラシアンがサポートする ID プロバイダーをご確認ください。

ユーザー プロビジョニングのセットアップに関連する手順は、使用する ID プロバイダーによって異なります。以下は、一般的に使用されている一部の ID プロバイダーの設定手順です。

• Okta: Okta を使用してユーザー プロビジョニングを構成する方法をご確認ください。

• OneLogin: OneLogin のユーザー プロビジョニングを構成する方法をご確認ください。

• Azure AD: Azure AD のユーザー プロビジョニングを構成する方法をご確認ください。

• Google Cloud: Google Cloud を使用してユーザー プロビジョニングを構成する方法をご確認ください。

• Google Workspace: Google Workspace のユーザー プロビジョニングを構成する方法をご確認ください。

• PingFederate: PingFederate のユーザー プロビジョニングを構成する方法をご確認ください。

• JumpCloud: JumpCloud のユーザー プロビジョニングを構成する方法の詳細

サポートされていない ID プロバイダーを使用する場合は、ユーザー プロビジョニング API を使用して、ユーザーやグループを管理できるようにする独自の連携を作成できます。

ユーザー プロビジョニングを構成する前に、ID プロバイダーを Atlassian 組織に追加する必要があります。ID プロバイダーを追加する方法をご確認ください。

マッピングに使用できる属性

これは、ID プロバイダーと Atlassian 組織の間の属性マッピングです。

属性をマッピングする方法は、ID プロバイダーによって異なります。Okta、OneLogin、Microsoft Azure AD の詳細な手順の説明をご確認ください。
属性のマッピング方法はこちらをご覧ください。

サポート対象製品

プロビジョニングはすべての Atlassian アカウントでご利用になれます。つまり、ID プロバイダーからアカウントを作成、更新、無効化できます。現在、グループ同期は Jira 製品、Confluence、Trello でのみ利用可能です。Bitbucket ではご利用になれません。

Trello Enterprise がアトラシアン組織にリンクされている場合、SCIM 経由で組織にプロビジョニング済みのユーザーや、今後プロビジョニングされるユーザーには、無料のTrello アカウントがプロビジョニングされます。アカウントは Trello Enterprise によって管理されますが、管理者によって付与されている場合を除き、Enterprise ライセンスは持ちません。

ユーザー プロビジョニングの仕組み

アイデンティティ プロバイダを組織に接続したら、ユーザーとグループが組織およびサイトと同期され、製品のアクセス権の付与に利用できるようになります。この図は、ユーザー プロビジョニングをセットアップした場合のユーザーとグループが同期される仕組みについて示しています。

同期の仕組みについて、次のセクションで詳細に説明します。

• 1. ID プロバイダーから組織へのユーザーおよびグループの同期

• 2. 組織のディレクトリからすべての関連サイトへの同期

• 3. 製品へのグループの割り当て

このビデオでユーザー プロビジョニングの詳細をご確認ください

1. ID プロバイダーから組織へのユーザーおよびグループの同期

ユーザー プロビジョニングをセットアップする際は、ユーザー用のディレクトリを作成します。図に示すように、認証済みドメインまたは認証済みドメイン外の ID プロバイダーのすべてのユーザーとグループは、組織のディレクトリに同期されます。

ID プロバイダー ディレクトリにプロビジョニングするグループを作成します。一部の組織では、「ディレクトリ - <directory_id> のすべてのメンバー」と呼ばれる作成されたグループが引き続き表示され、すべてのユーザーがそのグループに追加されます。

Google Workspace を使用している場合は、Google Workspace のすべてのユーザーと呼ばれる作成されたグループが表示されます。

アイデンティティ プロバイダを Atlassian 組織に接続すると、同期されたディレクトリ グループが Atlassian 組織に表示され、組織からユーザーのアカウントを変更することはできません。

Atlassian 組織にすでに既存のユーザーがいる場合は、次のようになります。

• 組織のユーザーと同じメール アドレスを持つユーザーがアイデンティティ プロバイダにいる場合、両方のユーザー アカウント間にリンクが作成されます。以降は、アイデンティティ プロバイダからのみユーザーのアカウントに変更を加えることができます。

• 組織のユーザーと同じメール アドレスを持つユーザーがアイデンティティ プロバイダーにいない場合、ユーザーのアクセス権は保持され、Atlassian 組織からそのユーザーを引き続き管理できます。

2. 組織のディレクトリからすべての関連サイトへの同期

図に示すように、組織に追加したすべてのサイトはプロビジョニングしたユーザーとグループにアクセスできるようになります。同期されたディレクトリ グループは、既定グループやネイティブ グループと併せてサイトに表示されます。

3. 製品へのグループの割り当て

グループをサイトの製品に割り当てることで、ユーザーへの製品アクセスの付与を開始できます。

ユーザーが製品アクセス権を持っている場合は、Jira と Confluence の各管理者は Jira と Confluence の各設定からそのユーザーの製品権限を更新できます。Jira 権限の管理については「グローバル権限の管理」を、Confluence 権限の管理については「Confluence Cloud の権限について理解する」をご参照ください。

ユーザー プロビジョニング機能

自身のアイデンティティ プロバイダーを Atlassian 組織に接続すると、すべてのユーザー属性とグループ メンバーシップをアイデンティティ プロバイダーから管理できます。Atlassian 組織でユーザーを管理したい場合、アイデンティティ プロバイダーとの接続を無効化します。

サポートされるユーザー アカウント操作

これらのユーザー管理操作をアイデンティティ プロバイダーから実行すると、更新が Atlassian 組織に同期されます。

ID プロバイダーからアトラシアン組織へのユーザー アカウントの同期は、それらのアカウントが検証済みのドメインまたは検証済みドメイン外のメール アドレスを持っている場合に行われます。

サポートされるグループ操作

グループを使用してアイデンティティ プロバイダーから管理権限や製品アクセス権 (新しいライセンス) を管理し、更新を Atlassian 組織と同期できます。

既定グループとしてマークされているグループは、SCIM 連携では管理できません。SCIM 経由で ID プロバイダー ディレクトリから同期されたグループのみを管理できます。

トラブルシューティング

ユーザーやグループの同期に関する問題をトラブルシューティングする場合、Atlassian 組織の [ユーザー プロビジョニング] ページの [トラブルシューティング ログ] を確認してください。

ドメイン外のユーザーについては、Atlassian 製品に記載されているユーザー属性は更新されません。Atlassian 製品のそのような属性は手動で更新する必要があります。