この手順では、JITグループの同期を使用した従来のシングルサインオン（SSO）設定から、SCIMユーザープロビジョニングへ切り替えるために必要な手順を説明します。
前提条件
- DeepLへの管理者アクセス権
- プロトコル：OIDC (Open ID Connect)
- IDプロバイダ：Microsoft Entra ID（旧Azure AD）
- JITグループの同期およびグループを使用したSingle Sign-On（シングルサインオン）が、以前に設定されていること
JITグループのユーザー割り当てをバックアップしてください
現在、ジャストインタイム (JIT) グループプロビジョニングをご利用の場合は、設定を開始する前にグループの割り当てをバックアップすることをお勧めします。これらの割り当ては、グループの同期の設定中に作成されたものです。
- DeepL 管理者アカウント の [ユーザー] タブに移動してください
- 「全ユーザー
をエクスポート」をクリックします全ユーザーと、その現在のグループ割り当ての一覧がエクスポートされます
JITグループを削除し、JITグループ同期を無効にしてください
SCIMプロビジョニングプロセスを開始した際、DeepL内のJITグループがSCIM経由でプロビジョニングされたグループと同じIDを持っている場合、SCIMでプロビジョニングされたグループがJITグループを上書きします。これは意図された動作であり、これによりIDプロバイダ（IdP）からグループを管理できるようになります。
ただし、JITグループがSCIMプロビジョニングの対象外である場合、つまりIdP内のDeepLアプリケーションに割り当てられない場合、そのJITグループは上書きされません。IdPによる管理対象外となっても、DeepL管理アカウント内には残存します。これにより、グループの割り当て管理において混乱が生じる可能性があります。
したがって、すべてのグループがSCIMによってのみ管理されるようにするため、以前に作成されたJITグループをすべて削除することをお勧めします。
JITグループを削除する際、ユーザーは一時的にDeepLにアクセスできなくなる可能性があります。特定のサブスクリプションやプロダクトに関連付けられたグループから削除されるため、一時的にデフォルトのグループのみに所属することになります。現在のシングルサインオン（SSO）セッションは有効なままですが、デフォルトのグループにリンクされたプロダクトやサブスクリプションにしかアクセスできなくなります。
ユーザーへの影響を最小限に抑えるため、以下の対応をお勧めします：
- この短期間の設定期間中、ユーザーが主要プロダクトへのアクセスを継続できるようにするため、DeepLのデフォルトのグループをベーシックサブスクリプションに設定してください。
- アプリケーションの設定メンテナンスを行う間、一時的にアクセスできなくなる可能性があることを、事前にユーザーへ通知してください。
グループを削除するには、以下の手順に従ってください：
- DeepL の管理アカウントの「グループ」 に移動してください
- 削除したいグループの横にある
削除するグループをクリックしてください
- 「グループの削除」 を選択してください
JITグループの同期を無効にするには、以下の手順に従ってください：
- DeepL 管理者 アカウントの「設定」 に移動してください
- 「チームとシングルサインオン（SSO）」セクションで、SSO設定の横にある「編集する」をクリックしてください
- 「JITグループの同期」のチェックを外して、JITグループの同期を無効にしてください
OpenID Connectアプリの登録をエンタープライズアプリに変更してください
アプリケーション登録方法を使用してエンタープライズアプリケーションを作成した場合、SCIMプロビジョニングを直接利用することはできません。この制限はMicrosoft Entra IDに特有のものであり、OpenID Connectアプリケーションにのみ影響します。他のIDプロバイダにはこの制限はありません。
既存のエンタープライズアプリケーションにプロビジョニング機能がなく、SCIMを有効にしたい場合は、新しいエンタープライズアプリケーションを作成する必要があります。これにより、新しいOpenID Connect登録も生成されます。
アプリケーションを確認するには、エンタープライズアプリケーションを開き、左側のメニューから [プロビジョニング] を選択してください。
- 以下の画面が表示される場合は、SCIMを設定できます。この記事で説明されているSCIMユーザープロビジョニングの設定手順に進んでください。
- 以下の画面が表示された場合は、指示に従って進めてください。
ユーザーへの影響を最小限に抑えるため、以下のことをお勧めします。
- 後で再割り当てできるよう、エンタープライズアプリケーションを削除する前に、ユーザーおよびグループの割り当てをバックアップしてください。情報については、「JIT グループのユーザー割り当てをバックアップする」 を参照してください。
- 利用が閑散としている時間帯に、以下の手順を実行してください
当面は、旧DeepL SSO OpenID Connectアプリケーションを維持し、以下の手順に従ってください：
- ギャラリーに表示されない新しいアプリケーションを作成し、「DeepL 2」と命名してください。
- アプリケーションのプロパティで「ユーザーに表示する」を無効にし、「マイアプリ」ダッシュボードから非表示にしてください。DeepLは現在、サービスプロバイダー側から開始されるシングルサインオン（SSO）のみに対応しているため、この設定をお勧めします。
- 既存の DeepL アプリケーションでの割り当てを反映するように、すべてのユーザーとグループを新しい「DeepL 2」アプリケーションに割り当ててください。
- この記事の設定手順に従い、「DeepL 2」用に自動的に作成された新しいアプリ登録情報を使用して、IDプロバイダでOIDCによるシングルサインオン（SSO）を設定してください。
- DeepL 管理者アカウントの [設定] に移動し、[チームおよびユーザープロビジョニング設定] セクションにある [詳細設定] をクリックしてください
-
「シングルサインオン（SSO）設定の削除」をクリックしてください
削除が正常に完了した旨の確認が表示されるまでお待ちください。この処理には数分かかる場合があり、Webページを更新する必要があるかもしれません。 - DeepL 管理者アカウントで SSO 設定のセットアップを続けてください。
保存が完了すると、ユーザーは Entra ID 内の新しいアプリケーションを通じて SSO による認証を開始します。 - 古い DeepL SSO アプリケーションを削除してください。
- 「DeepL 2」の名前を「DeepL」に変更してください。
これで、この記事で説明した新しく作成されたアプリケーションで、SCIMユーザープロビジョニングの設定を行う準備が整いました。