要約
SCIM（System for Cross-domain Identity Management）は、クラウドアプリケーション間でユーザーのアイデンティティアカウントの作成、更新、削除を自動化する、REST/JSONベースのオープンなプロトコルです。アイデンティティプロバイダーとサービスプロバイダー（SaaSアプリ）を直接接続することで、SCIMはユーザーライフサイクル管理を効率化し、IT部門によるオフボーディング対応が遅れた際のリスクをゼロにするとともに、パスワードリセットに関する問い合わせを最大50%削減します。
SCIM（System for Cross-domain Identity Management: クロスドメインアイデンティティ管理システム）は、ユーザープロビジョニングを自動化するオープン標準規格です。 2011年に、クラウドベースのアーキテクチャが業界標準になったことを受けて作成されました。SCIMは、ユーザーのアイデンティティを管理するシステムであるアイデンティティプロバイダー（IdP）と、アイデンティティデータを利用するアプリケーション（エンタープライズSaaSアプリなど）であるサービスプロバイダー（SP）との間で、ユーザーのアイデンティティデータをやり取りします。
SCIM：主な仕様と技術概要
| 属性 | 詳細 |
|---|---|
| フルネーム | クロスドメインアイデンティティ管理システム |
| 現行の標準 | SCIM 2.0（IETF仕様：RFC 7642、RFC 7643、RFC 7644） |
| アーキテクチャ | JSONペイロード形式を使用するRESTful API |
| コア機能 | ユーザープロファイルとグループに対するCRUD（作成、読み取り、更新、削除）操作の自動化 |
| 主要なアクター | IdP（SCIMクライアント）、SP（SCIMサーバー） |
動画：SCIM とは？
企業がアイデンティティ管理にSCIMを使用すべき理由
SCIM によりユーザーデータのセキュリティが向上し、ユーザーアイデンティティライフサイクル管理が自動化されることによってユーザーエクスペリエンスが簡易化されます。
SCIMの主なメリット
- ユーザーのプロビジョニングとデプロビジョニングを自動化：手動によるアカウントの作成と削除が不要になります。
- IT部門の負担を軽減：カスタム統合の開発と保守からIT部門を解放します。
- セキュリティコンプライアンスの向上：アプリケーション全体でセキュリティポリシーを一貫して適用できます。
- エラーのリスクを低減：データの自動転送によって、人為的なミスを最小限に抑えます。
- シングルサインオン（SSO）の実現：従業員のワークフローを効率化し、パスワードリセットの依頼を最大50%削減できます。
- 企業の成長に合わせて拡張：組織の拡大に伴って増加するユーザーアカウントに対応できます。
企業が成長を遂げ、革新を打ち出し、従業員の入れ替わりを重ねるにつれ、ユーザーアカウントの数は急激に増加します。 従業員は、顧客関係管理からチームでのコラボレーションまであらゆる業務にユーザーアカウントを使用します。 ユーザーの追加や削除、権限の変更、新しいアカウントタイプの追加といったリクエストはすべて、IT部門の貴重な時間を奪います。
SCIMを使用すると、IT部門はOktaなどのツールでユーザーのアイデンティティを直接作成したり、人事ソフトウェアやActive Directoryなどの外部システムからインポートしたりできます。SCIMはオープン標準なので、アプリケーションは異なるツール間でもユーザーデータを一貫した形式で保存し、やり取りできます。そのため、IT部門はプロビジョニングとデプロビジョニングを自動化しながら、権限とグループの管理を一元化できます。さらに、データは自動的に転送されるため、エラーのリスクも低減されます。
IT 部門は、企業のディレクトリを外部アプリケーションに接続するカスタム統合を開発して常に更新する必要がなくなります。 IT部門以外の従業員は、SSOを使用してワークフローを効率化し、パスワードリセットの依頼を最大50％削減できます。
同時に、SCIMを導入することで、企業が抱えるさまざまなセキュリティリスクも軽減できます。従業員がそれぞれのアカウントに個別にサインインする必要がなくなるため、企業はセキュリティポリシーへの準拠を徹底できます。また、従業員が複数のツールでパスワードを使い回すことに伴うリスクも軽減できます。チームが新たなワークフローを開発したり新しいアプリケーションを採用したりしても、企業はアカウントの追跡ができなくなるリスクを負うことなく、こうした変更に対処できるのです。
SCIMと手動プロビジョニングの比較：運用面での違い
| 機能 | SCIMによる自動プロビジョニング | IT部門による手動プロビジョニング |
|---|---|---|
| 速度アップ | 即時に自動同期 | 手作業による入力に時間がかかる |
| エラー率 | 低（自動データ転送） | 高（ヒューマンエラーが発生しやすい） |
| スケーラビリティ | 数千人のユーザーにも容易に対応 | 大規模になると管理が困難になります |
| オフボーディングに伴うリスク | 従業員が退職すると即座にデプロビジョニング | アクセス権の削除が遅れると、脆弱性が生じる |
| ITワークロード | 継続的なメンテナンスを最小限に抑制 | 常に注意が必要です |
アイデンティティプロバイダーとSaaSアプリの間でSCIMはどのように機能しますか？
SCIM は REST および JSON ベースのプロトコルで、クライアントとサーバーの役割を定義付けます。 クライアントは通常、OktaなどのIdPであり、ユーザーアイデンティティの堅牢なディレクトリを維持します。サービスプロバイダー（SP）は通常、Box や Slack などの SaaS アプリケーションで、これらのアイデンティティからの情報のサブセットを必要とします。
段階的なプロセス
- アイデンティティプロバイダーがユーザーを作成または更新：管理者がIdPに新しい従業員を追加したり、既存のユーザーデータを変更したりします。
- SCIMプロトコルを介して変更を自動的に同期：IdPが標準化されたSCIM API呼び出しを使用して、接続されたSPに更新内容を送信します。
- サービスプロバイダーが変更を受信して適用：SPは、それに応じてユーザーアカウントを作成、更新、または削除します
- ユーザーはシームレスにアクセス可能：エンドユーザーは、最新のプロファイルと権限が反映された状態で、すぐにアプリケーションにアクセスできます。
また、IdP は SP からアイデンティティを読み取ってディレクトリに追加し、SP でセキュリティ上の脆弱性につながる不正な値を検出します。
IT環境にSCIMを実装する方法
Oktaは、数百の主要アプリに対応するプロビジョニング統合を提供しており、その中にはSCIM 2.0ベースのコネクターも含まれています。また、数千のアプリでSSOを利用できるほか、業界をリードするアプリケーションとユーザーデータを迅速かつ安全にやり取りするための、事前構築済みのAPI統合も提供しています。
Okta Lifecycle Managementがユーザーのアイデンティティ管理の合理化にどのように役立つかをご覧ください。
開発者の方で、アプリをOktaに統合することをご検討中ですか？
SCIMプロビジョニング統合ガイドを利用して、Oktaとの統合を迅速に進めましょう。ステップバイステップで始めるには、ユーザープロビジョニング自動化のラーニングパスをご覧ください。アプリケーション間でSCIMプロビジョニングをシームレスに構成できます。
よくある質問（FAQ）
SCIMは、System for Cross-domain Identity Management（クロスドメインアイデンティティ管理システム）の略です。
はい。SCIMはHTTPS経由の安全なREST API呼び出しを使用します。また、従業員が退職した際にユーザーのデプロビジョニングを直ちに自動処理することで、セキュリティリスクを軽減します。
Box、Slack、Salesforce、Microsoft 365などの人気のSaaSアプリをはじめ、数千ものエンタープライズアプリケーションがSCIMをサポートしています。
SCIM 2.0は現在のバージョンであり、IETFの標準であるRFC 7642、RFC 7643、RFC 7644で定義されています。
SSOは認証（サインイン時にユーザーが誰であるかを検証すること）を処理し、SCIMはプロビジョニング（ユーザーアカウントと権限の作成、更新、削除）を処理します。これらが連携することで、包括的なアイデンティティ管理が実現します。
