SCIMユーザー管理

組織でドメインを認証し、Security Assertion Markup Language (SAML) 認証を設定すると、System for Cross-domain Identity Management (SCIM) APIトークンを生成できます。ユーザー用のSCIMトークンを生成できるのは、Shopify Plusプランを利用している組織のみです。

機能

IDサービスプロバイダーにSCIM APIトークンを提供すると、IDプロバイダーを通じて次の操作を実行できます。

• ユーザーを作成する
• グループの割り当てまたは更新
• ユーザーを無効化する

SCIM管理の要件

SCIMユーザー管理を設定する前に、ドメインを認証し、SAML設定を作成する必要があります。管理できるのは、組織で認証したドメインに関連付けられているユーザーのみです。

SCIM管理に関する考慮事項

ユーザーにSCIM管理を使用する場合の、以下の考慮事項を確認してください。

• SCIMで作成されたユーザーは、招待メールを受信しません。アカウントを有効にするには、IDサービスプロバイダーを介してログインする必要があります。
• APIトークンを追加した後、IDプロバイダーまたは「ユーザー」設定で、これまでにShopifyに存在しなかった新しいユーザーを追加すると、その新しいユーザーは「保留中」ステータスに設定されます。ユーザーがSAMLを使用してログインする必要がある場合、IDプロバイダーを使用してログインするまで、そのユーザーは「保留中」ステータスのままになります。
• IDサービスプロバイダーのグループ名と管理画面のグループ名は、完全に同一である必要があります。IDサービスプロバイダーのグループ名は、標準のIDサービスプロバイダーの「グループ」属性ではなく、Shopifyとの同期に使用されるオプションのカスタム「グループ」属性と一致する必要があります。
• ストアオーナーと組織のオーナーをIDサービスプロバイダーから削除することはできません。ユーザーを削除する前に、両方のタイプの所有権を移管する必要があります。ストアオーナーを変更する必要がある場合は、Shopifyの管理画面から変更できます。組織のオーナーを変更する必要がある場合は、Shopify Plusサポートにお問い合わせください。

SCIMユーザー管理を設定する

SCIM管理を設定するには、Shopifyの管理画面からAPIトークンを生成し、選択したIDサービスプロバイダーで設定を完了する必要があります。

1. Shopifyの管理画面から、「設定」> 「ユーザー」に移動します。

2. 「セキュリティ」をクリックします。

3. 「SCIM連携」セクションで、「APIトークンを生成する」をクリックします。

4. 「コピー」をクリックして、生成されたトークンをクリップボードにコピーします。

5. IDサービスプロバイダーにトークンを提供します。トークンを追加する手順は、使用するIDサービスプロバイダーによって異なります。

SCIMでユーザーを管理する

APIトークンをIDサービスプロバイダーに追加すると、そのサービスを介してユーザーを追加または削除できるようになります。ShopifyおよびIDサービスプロバイダーでのユーザーのステータスによっては、Shopifyへのログイン方法が変更される場合があります。

APIトークンを追加した後、IDプロバイダーまたは組織設定のいずれかを介して、これまで Shopify に存在しなかった新しいユーザーを追加すると、その新しいユーザーは[保留中] のステータスに設定されます。ユーザーが SAML を使用してログインする必要がある場合、そのユーザーはIDプロバイダーを使用してログインするまで、[保留中] のステータスのままになります。

SCIM でのグループ割り当て

SCIM の設定が完了すると、任意でIDプロバイダーを介して SCIM ユーザーにグループを割り当てることができます。ユーザーにグループを割り当てる前に、そのグループが組織に存在することを確認してください。Shopify の管理画面でグループが作成されていない場合、既存の SCIM ユーザーは更新されません。

サポートされているIDプロバイダーでのグループ割り当て

Okta グループプッシュは Shopify Plus ではサポートされていません。詳細については、Okta の公式統合ページをご確認ください。

グループの割り当ては、Entra、OneLogin、Okta の各アプリでサポートされています。グループ名の作成と割り当ては、IDプロバイダーごとに異なります。

ユーザーにグループを割り当てる前に、そのグループが Shopify の管理画面に存在することを確認してください。

サポートされていないIDプロバイダーでのグループ割り当て

IDプロバイダーに Shopify Plus アプリがない場合は、SCIM 設定を手動で編集する必要があります。開始する前に、IDプロバイダーがグループを SCIM フィールドとして追加できることを確認してください。

SCIM の JSON 本文には、roles というキーが含まれている必要があります。roles キーは、役割名を保存するハッシュを含む配列でなければなりません。複数の役割名ハッシュが指定されている場合、役割の割り当てには最後の役割名ハッシュのみが使用されます。役割名が無効であるか、SCIM の JSON 本文が上記のテンプレートと一致しない場合、グループは割り当てられたり更新されたりしません。

SCIM グループを割り当てまたは更新するには、POST、PUT、PATCH の各リクエストの JSON 本文に、以下を含める必要があります。

{
  "name": {
    "givenName": "given_name"
    "familyName": "family_name"
  },
  "userName": "email",
  "roles": [{"value": "role_name"}]
}

グループの割り当て解除

Shopify の管理画面の [設定] > [ユーザー] ページからグループの割り当てを解除できます。グループの管理について詳しくはこちら。

SCIM 連携の削除

SCIM 連携が不要になった場合は、削除できます。この操作は元に戻すことはできません。連携を再度有効にする必要がある場合は、新しい API トークンを生成する必要があります。

手順:

1. Shopifyの管理画面から、「設定」> 「ユーザー」に移動します。

2. 「セキュリティ」をクリックします。

3. [SCIM 連携] セクションで、APIトークンの横にある をクリックします。

4. [トークンを削除] をクリックします。