Documentation
ドキュメントの検索
karat

+

K

APIリファレンス ↗
管理と有効化認証SCIMプロビジョニングFoundry認証プロバイダーでSCIMを有効化する

注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。

Foundry の認証プロバイダーで SCIM を有効にする

以下は、Foundry 内の認証プロバイダーで SCIM を有効にする手順です。これらの手順は設定の一部にすぎません。SCIM の設定を完了するには、Foundry と IDプロバイダーの両方で SCIM を有効にする必要があります。Microsoft Entra ID で SCIM を有効にする方法については、以下のセクションを参照してください。

Foundry の認証プロバイダーを更新するには、認証管理者またはエンロールメント管理者のロールが必要です。

1. SCIM サブドメインが必要かどうかを判断する

Control Panel では、エンロールメントのホストドメインに SCIM 専用のサブドメインを作成できます。これは、エンロールメントのホストドメインのイングレスポリシーに含まれていない IP アドレスから、IDプロバイダーが SCIM リクエストを送信すると想定される場合に必要です。

たとえば、エンロールメントが 34.216.227.26/32 からのイングレスを許可しているものの、この CIDR ブロック外の IP アドレスから SCIM リクエストが送信されると想定され、これらの新しい IP アドレスにトップレベルドメインを開放したくない場合は、SCIM サブドメインを作成する必要があります。

2. 認証プロバイダーで SCIM を有効にする

認証プロバイダーで SCIM を有効にするには、OAuth 2.0 クライアント資格情報グラントを使用して IDプロバイダーに資格情報を提供するサードパーティアプリケーション（TPA）を作成します。

TPA を作成する手順：

  1. Control Panel > 認証 > [プロバイダー名] > 管理 > SCIM を有効にするに移動します。トグルをオンにして SCIM を有効にします。
有効に設定された「SCIM を有効にする」カードと、SCIM の設定を続行するボタンの画像。
  1. SCIM ドメインを設定を選択し、使用するドメインを選択します。ステップ1での判断に応じて、SCIM サブドメインを使用またはこのドメインを使用を選択します。
SCIM サブドメインとエンロールメントのホストドメインのどちらを使用するかを選択するダイアログボックス。
  1. 変更を保存します。

3. ネットワークのイングレスを設定する

SCIM サブドメインを使用する場合も、SCIM リクエストをトップレベルドメインにルーティングする場合も、IDプロバイダーが SCIM リクエストの送信に使用する CIDR 範囲と国を確認する必要があります。Control Panel のネットワークのイングレス拡張機能で、これらの CIDR 範囲と国が許可されていることを確認してください。ネットワークのイングレスの許可リストに CIDR または国を追加すると、SCIM ドメインが受信リクエストを受け取れるようになります。

詳しい手順については、エンロールメントのネットワークのイングレスを設定するを参照してください。ネットワークのイングレス拡張機能には、次の2つの方法で移動できます。

  1. アクション > イングレスを表示を選択します。
  2. 拡張機能を検索します（macOS では Cmd+J、Windows では Ctrl+J）。

「この変更リクエストには、拒否された IP アドレス範囲が含まれています。リクエストを実行する前に削除してください」という警告が表示された場合は、Palantir サポートにお問い合わせください。

リクエストした IP アドレスが拒否されていることを示すエラーメッセージ。

4. SCIM 資格情報を生成する

  1. 認証 > [プロバイダー名] > 管理に戻ります。

  2. SCIM 資格情報を生成を選択し、サードパーティアプリケーションのクライアントを作成する組織を選択します。選択した組織によって、SCIM クライアントを管理し、必要に応じてシークレットをローテーションする権限を持つユーザーが決まります。 選択した組織でサードパーティアプリケーションを編集する権限がないユーザーは、元のクライアントのシークレットをローテーションすることはできず、新しい SCIM クライアントを作成することしかできません。新しいクライアントを作成すると、元のクライアントの作成時に生成された資格情報が無効になります。

OAuth2 クライアント資格情報グラント認証用の SCIM 資格情報を生成する UI。

  1. SCIM URL、クライアントID、トークンエンドポイント、クライアントシークレットが生成されました。これらを使用して、IDプロバイダー側で SCIM を設定します。

    指定されたトークンエンドポイントは、ステップ2.2と同じドメインを使用する必要があります。SCIM サブドメインを使用している場合、トークンエンドポイントは https://scim.{domain}/multipass/api/oauth2/token の形式になります。トップレベルドメインを使用している場合、トークンエンドポイントは https://{domain}/multipass/api/oauth2/token の形式になります。

SCIM クライアントの資格情報が作成されたときに表示されるダイアログボックス。