• ホーム
• コンテンツライブラリ
• 管理者ドキュメント
• 外部 ID プロバイダー
• ジャストインタイムプロビジョニング構成

ジャストインタイムプロビジョニング構成

---

ジャストインタイム（JIT）プロビジョニングでは、ユーザーが外部IDプロバイダー（IdP）経由で初めてサインインした際にローカルのminiOrangeユーザーが作成され、それ以降のサインイン時にもそのプロファイルが最新の状態に保たれます。ユーザー属性マッピングでは、外部IDソースのどの値がユーザー名、メールアドレス、名前などのminiOrangeフィールドにマッピングされるかを定義するため、手動でアカウントを設定することなく、ユーザーが自動的にプロビジョニングされます。

主な使用例:

• 初回シングルサインオン（SSO）ログイン時に、ユーザーを自動的に作成します。
• 以降のログイン時には、ユーザープロファイルをIDプロバイダーと同期させてください。
• 標準フィールド（ユーザー名、メールアドレス、氏名、電話番号）と独自のカスタムプロファイルフィールドを、IDプロバイダーから送信される属性から入力します。
• ユーザーをグループに割り当て、グループメンバーシップをIDプロバイダーと同期させます。

属性タイプ:

属性マッピングを設定する際には、以下の属性タイプのいずれかを選択します。

• USER: ジャストインタイム (JIT) ユーザー作成時に、値を IdP ユーザー属性にマッピングするために使用されます。
• 外部: 外部属性をアプリまたはサービス プロバイダー (SP) に送信する前に変換するために使用されます。

このページでは、USER属性タイプについて説明します。EXTERNALタイプについては、「属性変換」を参照してください。

ユーザー属性マッピングの設定

miniOrange管理コンソールでJITプロビジョニング用のユーザー属性をマッピングするには、以下の手順に従ってください。

• MFAデバイスに移動する アイデンティティプロバイダー.



• IDPを選択してください 「設定」をクリックします。 属性マッピング.



• 属性タイプ、選択する USER.
• 詳しくはこちら 属性を追加 マッピング行を追加する。
• In 属性名miniOrangeのユーザーフィールドを選択し、その値を保存する場所（宛先）を指定します。
• In 属性値外部ソース（ソース）から送信された属性名をそのまま入力してください。
• 詳しくはこちら Save マッピングを保存します。




利用可能なユーザー属性：

「属性名」ドロップダウンリストには、標準のユーザーフィールドが表示され、アカウントにフィールドを追加するにつれてリストも増えていきます。

属性名	属性値
	ユーザ名
メールアドレス	プライマリメール
名	fname
姓	名前
電話番号・携帯番号	プライマリーフォン
別のメールアドレス	別のメールアドレス
グループ	グループヘッド
カスタム属性	追加すると表示されます
エイリアスラベル	ユーザー名エイリアスが有効になっている場合

注: [ユーザー] › [ユーザープロファイルフィールド]で作成したカスタムプロファイル属性は、このドロップダウンに自動的に表示されるため、IdP属性を独自のフィールドにマッピングできます。 [ユーザー] › [エイリアスラベル]で追加したエイリアスラベルもここに表示されます (alias_ プレフィックス付き)。ただし、これはアカウントで[ユーザー名エイリアスを有効にする]がオンになっている場合に限ります。




属性要件:

ユーザー名とメールアドレスはすべてのユーザーの情報源となるため、JITプロビジョニングには常に必須です。名、姓、電話番号は、設定で必要とされる場合にのみ必要となります。

属性名	必要な場合	IdPが送信しない場合
ユーザー名（常に）	JITサインインのたびに必要です。値は空白であってはなりません。	ユーザー名が受信されるまで、サインインは停止し、ユーザーは作成されません。
メール（常に）	JITログインのたびに必要です。有効なメールアドレスを入力してください。	有効なメールアドレスが受信されるまで、サインインは停止され、ユーザーも作成されません。
名／姓（条件付き）	フィールドがマッピングされている場合のみ (NAIST) と ユーザープロファイルフィールドで「必須」とマークされている項目（新規ユーザーのみ対象）。	新規ユーザーの場合：作成は停止します。既存ユーザーの場合：空白の値は無視され、現在の値が保持されます。
電話（条件付き）	電話番号によるログインが有効になっている新規ユーザーのみ対象。	新規ユーザーの場合：作成は停止します。既存ユーザーの場合：空白の値は無視され、現在の電話番号が保持されます。

ヒント：ユーザー名とメールアドレスは小文字で保存されるため、IDプロバイダーからのJohn.Doeとjohn.doeは同じアカウントに解決されます。アサーションにおける大文字小文字の違いによって重複ユーザーが作成されることはありません。

姓と名：

名前が空白の場合にユーザーの作成がブロックされるかどうかは、1か所で制御されます。[ユーザー] › [ユーザープロファイルフィールド]に移動し、[名/姓]を開いて、[必須] に設定します。

空白の名前は、そのフィールドがマッピングされていて必須項目である場合にのみ作成をブロックするため、名または姓を含むマッピングを保存すると確認メッセージが表示されます。

名／姓は必須項目となる場合があります。属性タイプ「USER」で名または姓、あるいはその両方をマッピングしています。ユーザープロファイルフィールドの設定で名または姓が必須項目としてマークされている場合、Just-In-Time (JIT) ユーザー作成時に必須項目となります。IdP が値を送信しない場合、新規ユーザーは作成されず、ログインは失敗します。ユーザープロファイルフィールドでこれらの項目が必須項目としてマークされていない場合、空白値はスキップされ、作成が続行されます。既存のユーザーには影響はありません (更新時に空白値は無視されます)。

電話番号：

電話番号によるログインが有効になっている場合、新規ユーザーは電話番号の入力が必須となります。電話番号によるログイン設定を確認するには、「設定」＞「セキュリティ」＞「ログインとログアウト」に移動し、「電話番号によるログインを有効にする」を探してください。

グループ課題：

グループはJIT（Just-In-Time）で割り当てたり更新したりすることもできます。属性タイプ「USER」の下にある「グループ」フィールドを、ユーザーのグループ名を保持するIdP属性にマッピングすると、miniOrangeはログインのたびにユーザーのグループメンバーシップをIdPと同期させます。

サインインのたびに、ユーザーのメンバーシップはレスポンス内のグループと一致するように同期されます。つまり、レスポンスで送信されたすべてのグループにユーザーが追加され、送信されなくなったグループからは削除されます。これは新規ユーザーと既存ユーザーの両方に適用されるため、グループメンバーシップは手動で割り当てることなく、常にIDプロバイダー内の信頼できる情報源を反映します。

注:各グループは、複数値属性の個別の値として送信してください(SAML の場合は複数の AttributeValue 要素、OIDC の場合は JSON 配列クレーム)。admins,users のようなカンマ区切りの文字列は、2 つのグループ名ではなく、1 つのグループ名として扱われます。グループ名は大文字と小文字を区別せずに照合されます。アカウントのデフォルトグループは JIT によって変更されることはなく、IdP が Groups 属性をまったく送信しない場合、ユーザーの既存のグループは変更されません。

作成時と更新時の動作：

同じマッピングでも、新規ユーザーと既存ユーザーでは動作が異なります。原則として、新規ユーザーは厳密に検証されますが、既存ユーザーは空白値によってエラーになることはありません。

属性	新規ユーザー（作成）	既存ユーザー（更新）
	必須項目 — 空欄にすると作成が停止します。	常に同期が保たれ、他のユーザーが既に使用している値は適用されません。
メールアドレス	必須項目であり、有効な値でなければなりません。空欄または無効な値の場合、作成は停止されます。	常に同期が保たれ、他のユーザーが既に使用している値は適用されません。
名前	空白は、マッピングされ、必須とマークされている場合にのみ作成を停止します。	空白はスキップされ、既存の名前が保持されます。
氏名	空白は、マッピングされ、必須とマークされている場合にのみ作成を停止します。	空白はスキップされ、既存の名前が保持されます。
電話番号・携帯番号	電話番号によるログインが有効になっている場合は必須です。空欄のままでは作成されません。	空白はスキップされ、既存の電話番号が保持されます。

注：更新時に、マッピングによって他のユーザーが既に使用しているユーザー名、メールアドレス、または電話番号が設定された場合、その変更は適用されません。ユーザーは引き続き自身のアカウントにサインインし、競合は監査レポートに記録されるため、マッピングを修正できます。

検証メッセージ

JIT処理が完了できない場合、サインイン画面に、外部システムから送信されなかった属性を示すメッセージが表示されます。以下の表は、各メッセージとその解決方法について説明しています。

メッセージ	確認すべきこと
JITユーザー同期に失敗しました：外​​部システムからユーザー名が送信されませんでした。	確認します マッピングされており、 属性値 IdPが実際に送信する属性と一致し（かつ、このユーザーに対して空ではない）。
JITユーザー同期に失敗しました：外​​部システムから有効なメールアドレスが送信されませんでした。	確認します メールアドレス は、適切にフォーマットされたアドレスを返す属性にマッピングされます。空白ではなく、また、次のような値でもありません。 メールではない.
JITユーザー同期に失敗しました：外​​部システムから名が送信されませんでした。	名字はマッピングされ、必須項目としてマークされていますが、入力された名字は空欄です。IDプロバイダーから送信するか、ユーザープロファイルフィールドの「必須項目」をクリアしてください。
JITユーザー同期に失敗しました：外​​部システムから姓が送信されませんでした。	姓はマッピングされ、必須項目としてマークされていますが、入力時には空白でした。名の場合と同じ修正が必要です。
JITユーザー同期に失敗しました：外​​部システムから有効な電話番号が送信されませんでした。	電話番号によるログインが有効になっていますが、入力された電話番号が空白または無効です。有効な電話番号を入力するか、電話番号によるログインが不要な場合は無効にしてください。

JITプロビジョニングの検証

プロビジョニングの結果はすべて記録されるため、成功を確認したり、失敗の原因を特定したりできます。

• MFAデバイスに移動する レポート › 管理者アクティビティ監査レポートアカウントの最新のエントリは次のとおりです。 ターゲット （IdPの表示名） 俳優 （IDプロバイダーからのユーザー名） ステータス （成功または失敗）、 理由.



• 　 レポート › SSO利用状況レポート JITプロビジョニング中に失敗したものも含め、SSOサインイン試行をレビューする。