SCIM

​

はじめに

クロスドメインIDマネジメントシステム（SCIM）は、企業のIDプロバイダー（IdP）とReplitの間でユーザーのプロビジョニングとプロビジョニング解除を自動化する標準化されたプロトコルです。 SCIMが有効になると、同期されたグループとメンバーがReplitのワークスペースとロールにどのようにマッピングされるかをReplit内で直接管理できます。詳しくはワークスペースアクセスの管理をご覧ください。

​

主な機能

​

メリット

SCIM統合はEnterpriseチームにいくつかの利点を提供します：

• セキュリティの強化：堅牢なアクセス制御のために既存のID管理システムを活用
• 管理の簡素化：IDプロバイダーを通じてチームメンバーを自動的に管理
• 効率的なオンボーディング：手動での介入なしに大規模チームをシームレスにプロビジョニング
• 一貫したアクセス制御：組織全体で均一なアクセスポリシーを維持

​

はじめ方

​

ベストプラクティス

• SCIMを有効にする前に、既存のReplitメンバーのロール割り当てをドキュメント化します。
• デフォルトのワークスペースを設定して、すべての同期グループが少なくともビューワーアクセスを受け取るようにします。デフォルトのワークスペースがない場合、グループをワークスペースに割り当てるまでメンバーにはロールがありません。
• 一括プロビジョニングを有効にする前に、少数のメンバーグループでプロビジョニングをテストします。
• 初期同期後、組織のアクセス制御ニーズに基づいてカスタムグループの権限を確認し、設定します。
• ロール制御グループを専用化してプロビジョニングされたメンバーのアクセスレベルを管理し、他のプッシュグループはカテゴリ分けと一括権限管理に使用します。
• 将来の参照のためにSCIM設定をドキュメント化します。

​

グループの同期

IdPからプッシュされたすべてのグループは同じメンバーでReplitに同期されます。例えば、SCIM経由で「エンジニアリング」グループのプッシュを開始すると、対応する「エンジニアリング」グループが同じメンバーを含むReplitに作成されます。 グループメンバーシップはIdPのグループメンバーシップを反映するよう自動的に更新されます。これらの同期されたグループを使用して、「エンジニアリング」グループの全員とアプリを共有するなど、メンバー権限を一括編集できます。

​

SCIMと並行してカスタムグループを作成する

SCIMが有効な場合でも、Replitでカスタムグループを作成できます。カスタムグループを使用して、IDプロバイダーに反映されないプロジェクト作業や一回限りの権限付与、その他の構造に基づいてメンバーを整理します。

• SCIMグループはロックされたまま。IdPから同期されたグループはIDプロバイダーを通じてのみ編集または削除できます。
• カスタムグループはReplitで管理。組織の管理者はグループページから直接カスタムグループを作成、編集、削除できます。
• メンバーは両方に所属できます。SCIM経由でプロビジョニングされたメンバーは、IdP管理のロールに影響を与えることなくカスタムグループにも追加できます。

グループの詳細については、グループと権限を参照してください。

​

ワークスペースアクセスの管理

SCIMが有効になったら、製品内の管理画面を使用して、同期されたグループがワークスペースとロールにどのようにマッピングされるかを確認・管理し、アカウント管理者グループを指定します。IdPはメンバーシップとプロビジョニングの信頼できる情報源であり続けます。この画面は、同期されたグループとメンバーがReplitのワークスペースとロールにどのようにマッピングされるかを管理するものであり、メンバーの追加、削除、再プロビジョニングは行いません。

​

ワークスペースを構成する

メンバーは基本的に単一のワークスペースにまとめ、メンバー、グループ、予算を共有すべきでない明確な理由がある場合——例えば別々の事業部門——にのみ追加のワークスペースを作成することをお勧めします。コラボレーションが必要なメンバーは全員、同じワークスペースに所属させてください。 同期されたグループをワークスペースに割り当てることができます。ワークスペース内では、割り当てられたグループはカスタムグループとして表示され、グループ予算（例：Revenueチームへの10万の予算）などのワークスペースレベルの制御に使用できます。

​

SCIMワークスペースアクセスを開く

1. ワークスペーススイッチャーを開いてEnterpriseワークスペースを選択します。
2. 設定を開き、詳細設定を選択します。
3. ID・ガバナンスセクションを展開し、**自動メンバープロビジョニング（SCIM）**カードを見つけます。
4. SCIMがアクティブになると、管理画面がこのカード内に直接表示されます。

​

アカウント管理者グループを指定する

まずこれを設定してください。上部のアカウント管理者グループブロックには、すべてのワークスペースでアカウント管理者ロールを保持しているIdP同期グループが表示され、SCIM管理権限を含むアカウントレベルの設定へのアクセス権を持ちます。 編集を選択して別の同期グループを選択します。グループの指定は切り替えとなり、新しいグループがアカウント管理者グループになり、以前のグループのアカウント管理者ロールが取り消されます。アカウント管理者は強力な権限を持つため、変更は有効になる前に確認が必要です。

​

ワークスペースの割り当てを表示・管理する

ワークスペースタブには、組織内のすべてのワークスペースと、割り当てられた同期グループおよび各グループのロールが一覧表示されます。 デフォルトワークスペース——デフォルトピルで示されます——は、プロビジョニングされたアクセスの基盤です。すべての同期グループが自動的に少なくともビューワーアクセスをそこで受け取るため、メンバーには常に着地点があります。ワークスペースは管理者が設定した場合にのみデフォルトになります。それまでは、メンバーはあなたが行うグループ割り当てからのみアクセスを得ます。

• 検索ボックスを使用して名前でワークスペースをフィルタリングできます。
• 各行にはグループ割り当てがグループ・ロールの形式（例：Engineering・Admin）のチップとして表示されます。ワークスペースの割り当てが1行に収まらない場合、+ N件以上のチップで残りが示されます。
• 行の**⋮**メニューでは、割り当ての編集や、ワークスペースを組織のデフォルトとして設定または解除できます。

​

グループをワークスペースに割り当ててロールを設定する

ワークスペース行の**⋮メニューから割り当てを編集**を選択して、ワークスペースアクセスの編集ダイアログを開きます。ここで、ワークスペースにアクセスできる同期グループと各グループのロールを選択します：

• 管理者 — ワークスペースの設定とリソースへの完全な管理アクセス。
• メンバー — Replit Appsを作成・編集できる。
• ビューワー — アプリとデプロイメントへの読み取り専用アクセス。
• ゲスト — 共有されたアプリにのみアクセスできる。

アカウント管理者グループの権限は（ロックアイコンで表示）ロックされています。これはワークスペースごとではなく、アカウント管理者の指定の一部として管理されるためです。

​

グループメンバーと割り当てられたワークスペースを表示する

ユーザーグループタブは、同期グループの一覧表で、グループの名前、割り当てられたワークスペース（ワークスペース・ロールのチップとして表示）、メンバー数の列があります。アカウント管理者グループとして指定されたグループには、アカウント管理者グループチップが付いています。グループが多い場合はテーブルがページ分割されます。下部のページコントロールを使ってページ間を移動できます。 グループ行を展開すると、名前とメールの一覧でメンバーを確認できます。メンバーはオンデマンドで読み込まれてページ分割されるため、大きなグループでは全員を一度に読み込むのではなく、全メンバーシップをページで確認できます。

​

制限事項

• IdPが信頼できる情報源であり続けます。 メンバーの追加、削除、プロビジョニング、およびグループメンバーシップの編集は、アイデンティティプロバイダーで行われます。Replitは、同期済みディレクトリに既に存在するグループのワークスペースとロールの割り当てを管理します。
• アカウント管理者グループは変更できますが、クリアできません。 別のアカウント管理者グループを指定することはできますが、組織を管理者グループなしにするオプションはありません。

​

FAQ

​

SCIMが設定される前にreplit.comに既にアカウントを持っているメンバーはどうなりますか？

SCIMが有効になると、既存のメンバーは2つの方法で処理されます：

1. SCIM経由でプロビジョニングされたメンバー：
   • ロールはIdPから提供されたものに更新されます。
   • これらのメンバーはIdPを通じてのみ追加、削除、またはロールを変更できます。
   • 権限の同期を維持するため、管理者はReplitでロールを編集したり新しいメンバーを招待したりできなくなります。
2. SCIM経由でプロビジョニングされていないメンバー：
   • これらのメンバーは変更されず、「レガシー」メンバーとみなされます。
   • 誤ったプロビジョニング解除を防ぐため、組織メンバーシップとロールは自動的に削除されません。
   • レガシーメンバーは必要に応じて、組織管理者がReplitインターフェースから削除できます。

​

SCIMでプロビジョニングできるロールは何ですか？

SCIMユーザーは4つのロールに割り当てることができます：

• Admin：組織設定とリソースへの完全なアクセス
• Member：Replitアプリを作成・編集するための標準アクセス
• Guest：外部コラボレーター向けの制限付きアクセス。明示的に共有されたアプリのみ編集可能
• Viewer：公開されたアプリケーションへの読み取り専用アクセス

IdPグループとReplitロールのマッピングは、SCIMワークスペースアクセスでワークスペースごとに設定します。例えば、あるワークスペースでは「Engineering」グループにMemberロールを付与し、別のワークスペースではViewerロールを付与することができます。

​

SCIMワークスペースアクセスでメンバーを追加または削除できますか？

いいえ。メンバーシップとプロビジョニングはアイデンティティプロバイダーで管理されます。この画面は、同期されたグループとメンバーがワークスペースとロールにどのようにマッピングされるかを管理します。SCIM以外の日常的なメンバー管理については、メンバー管理をご覧ください。

​

ロールはグループとどのように異なりますか？

グループはIdPから同期されます。ロール（管理者、メンバー、ビューワー、ゲスト）は、グループが特定のワークスペースで何ができるかを示します。同じグループが異なるワークスペースで異なるロールを持つことができます。例えば、あるワークスペースではメンバー、別のワークスペースではビューワーという具合です。

​

アカウント管理者グループを変更すると他のロールに影響しますか？

新しいアカウント管理者グループを指定すると、組織全体のアカウント管理者ロールのみが変更されます。他のグループとワークスペースの割り当てとそのロールは影響を受けません。アカウント管理者ロールの仕組みの詳細については、アカウントとワークスペースの管理者をご覧ください。

​

関連リソース