Smartsheet での Okta SCIM の使用

Smartsheet - Okta SCIM 統合により、組織のセキュリティおよびコンプライアンスポリシーの一貫性を実現できます。

プラン:

Enterprise

権限:

システム管理者

Find out if this capability is included in Smartsheet Regions or Smartsheet Gov.

Smartsheet - Okta SCIM 統合を使用すると、Okta のアクティブディレクトリ環境で行われた更新に基づいてユーザーの役割とアクセスを管理できます。

システム管理者は、Okta のアクティブディレクトリサービスを使用して Smartsheet ユーザーのプロファイルデータのプロビジョニング、非アクティブ化、管理を行えます。統合により、一元化されたユーザーディレクトリを介してユーザーのプロビジョニングと非アクティブ化を行い、退職したユーザーが Smartsheet の企業データにアクセスできないようにすることができます。

仕組み

ディレクトリ統合 (DI) では、Okta をシート管理のための信頼できる情報源として使用しています。Smartsheet を有効にすると、ユーザーは所属する Okta グループに基づいて自動的にシートタイプを割り当て、更新するため、管理センターで手動で更新する必要がなくなります。

同期中は次のことが行われます。

グループによるシート割り当て:ユーザーは、Okta グループメンバーシップに基づいてシートタイプを受け取ります。ライセンスグループのメンバー (Smartsheet ライセンスユーザーなど) には有償ライセンスが割り当てられる一方、Smartsheet アプリを割り当てられたものの、特定のグループに配置されていないユーザーには、既定で共同作業者ライセンスが割り当てられます。
自動アップグレードとダウングレード:ユーザーが Okta グループ間を移動すると、シートタイプは次の同期時に自動的に更新されます。手動で操作する必要はありません。
特権グループの優先: ユーザーが異なる役割を持つ複数のグループに属している場合、ディレクトリ統合によって最も高い特権を持つユーザータイプが割り当てられます。
暫定メンバー: ディレクトリ統合では必要に応じて暫定メンバーをアップグレードしますが、自動的にダウングレードすることはありません。システム管理者が管理センターで、ダウングレードを手動で処理する必要があります。または、プランが自動ダウングレードに設定されている場合は、レビュー期間の終了時に変更が行われます。暫定メンバーの設定に関する詳細をご確認ください。
非アクティブ化:ユーザーが Okta から削除された場合、または Smartsheet アプリから割り当てを解除された場合、そのユーザーは次回の同期時に Smartsheet 上で自動的に非アクティブになります。

非アクティブ化されたユーザーを再アクティブ化するには、システム管理者が一時的にディレクトリ統合をオフにし、当該ユーザーを再アクティブ化してから、ディレクトリ統合を再度有効化する必要があります。

ディレクトリ統合がアクティブになると、システム管理者が管理センターにて手動で行ったライセンスの変更が、次回の同期時にすべて上書きされます。IdP ベースのワークフローとの競合を避けるため、Smartsheet で自動アップグレード設定をオフにすることをお勧めします。

暫定メンバーは、期間限定で、正規メンバーと同じ機能にアクセスできます。Smartsheet のユーザーモデルと暫定メンバーシップに関する詳細をご確認ください。

グループとシートのマッピング

Smartsheet の役割	マッピング値	変数名 (優先)	結果のシートタイプ
Smartsheet ライセンスユーザー	LICENSED_USER	smartsheetLicensedUser	メンバー
Smartsheet グループ管理者	GROUP_ADMIN	smartsheetGroupAdmin	メンバー
Smartsheet リソース閲覧者	RESOURCE_VIEWER	smartsheetResourceViewer	メンバー
Smartsheet システム管理者	ユーザー管理者、ペイメント管理者、データ管理者	smartsheetSystemAdmin	共同作業者

Okta グループに追加せずに Smartsheet アプリにユーザーを割り当てると、シートタイプは共同作業者になります。

グループマッピングでサポートされているユーザータイプの変更

ディレクトリ統合では、以下の移行が自動的に処理されます。

変更前	変更後
共同作業者	メンバー
暫定メンバー	メンバー
メンバー	共同作業者

共同作業者が暫定メンバー状態に入った後、DI でメンバーレベルのグループに追加されると、自動的にメンバーシートにアップグレードされます。
共同作業者が暫定メンバー状態に入ったものの、メンバーシートタイプの IdP グループに追加されていない場合は、管理者の承認設定によってダウングレードされるか、システム管理者が管理センターでシートタイプを手動で変更するまで、その状態が維持されます。

グループマッピングでサポートされていないユーザータイプの変更

ディレクトリ統合では、以下の移行は処理されません。それらを実行する場所を確認してください。

変更前	変更後	実行する場所
暫定メンバー	共同作業者	管理センター
共同作業者	アクセス権なし	管理センター
共同作業者	暫定メンバー	システムによるトリガーのみ
暫定メンバー	アクセス権なし	管理センター
メンバー	アクセス権なし	管理センター

メンバーから暫定メンバーへのダウングレードは、管理センターまたはディレクトリ統合で直接行うことができません。
非アクティブ化は、Okta のユーザープロファイルを削除または非アクティブ化することで引き続きサポートされます。
ゲストは IdP に存在しないため、管理センターでしか管理できません。

Okta/SCIM 統合用に Smartsheet を準備する

統合を設定する前に、Smartsheet でいくつかのタスクを完了しておく必要があります。セットアッププロセスをチュートリアルとしてご覧ください。統合を設定するには、Smartsheet と Okta のシステム管理者である必要があります。

SCIM サポートの有効化：プランには SCIM のプロビジョニングが必要です。この機能をアクティブにするには、サポートに連絡してください。
ドメインの検証: Smartsheet-Okta に使用する各ドメインを検証します。Smartsheet で少なくとも 1 つのドメインを検証する必要があります。検証済みドメインのプライマリメールアドレスを持つプランのみがサポートされています。
API トークンの生成：Okta で自動ユーザープロビジョニングを設定するために必要です。API アクセストークンをコピーして保存します。API アクセストークンを取得できなくなるため、Okta を設定するキーが必要です。
ユーザーが自動プロビジョニング経由で Smartsheet にサインアップしないようにする場合は、自動プロビジョニング設定をオフにします。
ディレクトリ統合をオンにする：Okta SCIM を使用するには、システム管理者が管理センターからディレクトリ統合機能をアクティブ化する必要があります。[セキュリティと制御]ページで、[ディレクトリ統合] カードを見つけて機能をオンに切り替えます。

Brandfolder Image

Smartsheet のアイテム所有権モデルでは、個人ユーザーではなくプランがアイテムの所有権を持ちます。つまり、Smartsheet は、プロビジョニング解除されたユーザーのアイテムをエスクローアカウントに移行しないことを意味します。それは、それらのアイテムがプラン上でアクティブなままであるためです。それでも予防措置として、このようにすることが推奨されます。
Smartsheet アプリを割り当てる: Smartsheet アプリが Okta 内の関連ユーザーに割り当てられていることを確認します。
ユーザーをグループに整理する:ユーザーを適切な Okta グループに割り当て、Smartsheet で正しいシートタイプをトリガーします。
自動アップグレードの非アクティブ化 (推奨): DI がアクティブな場合は、IdP 主導のシート割り当てとの競合を回避するために、Smartsheet の自動アップグレード設定を非アクティブ化します。

Smartsheet 統合用に Okta を設定する

Okta の [Admin (管理者)] ページにサインインします。
[Applications (アプリケーション)] > [All integrations (すべての統合)] の順に選択し、アプリケーションカタログで「Smartsheet SCIM」を検索します。 [Smartsheet SCIM] を選択します。
アプリケーションラベル (「Smartsheet US」など) を入力します。
サインオンオプションを設定します。 SAML SSO を設定している場合、ページの下部に向かって [View Setup Instructions (セットアップ手順の表示)] を選択し、SAML SSO 設定を完了します。
[Advanced Sign-on Settings (サインオン詳細設定)] 画面の [Credential Details (資格情報)] で、アプリケーションのユーザー名フォーマット用に [Email (電子メール)] を選択してから、[Done (完了)] を選択します。このメールアドレスはユーザーの Smartsheet アカウントです。
[Provisioning (プロビジョニング)] タブを開いて、[Configure API Integration (API 統合の設定)] を選択します。
[Enable API Integration (API 統合の有効化)] を選択し、ベース URL を指定します。
- Smartsheet US の場合、https://scim.smartsheet.com/v2 を使用します。
- Smartsheet EU の場合、https://scim.smartsheet.eu/v2 を使用します。
- Smartsheet AU の場合は、次を使用します。 https://scim.smartsheet.au/v2
  グループのプッシュ中にエラーが発生した場合は、代わりに以下のベース URL を使用してみてください。
  - 米国: https://scim.smartsheet.com/v3
  - EU: https://scim.smartsheet.eu/v3
  - AU: https://scim.smartsheet.au/v3
[API Token (API トークン)] フィールドに、保存した API トークンを入力します。[Test API Credentials (API 資格情報のテスト)] を選択して、トークンを検証します。問題がなければ、「Smartsheet SCIM was verified successfully. (Smartsheet SCIM は正常に検証されました。)」というメッセージが表示されます。
[保存] を選択します。[Provisioning (プロビジョニング)] タブの [Settings (設定)] で、[To App (アプリへ)] を選択します。
[Edit (編集)] > [Enable (有効化)] を選択して該当する機能を有効化し、変更内容を保存します。

その他のリソース

統合の設定を続ける方法については、以下のリンクにアクセスしてください。ここに示されている順番に従うことが重要です。

これらの記事をステップバイステップのチュートリアルの代わりにご覧いただくこともできます。

Smartsheet - Okta SCIM 統合を使用すると、Okta のアクティブディレクトリ環境で行われた更新に基づいてユーザーの役割とアクセスを管理できます。

システム管理者は、Okta のアクティブディレクトリサービスを使用して Smartsheet ユーザーのプロファイルデータのプロビジョニング、非アクティブ化、管理を行えます。統合により、一元化されたユーザーディレクトリを介してユーザーのプロビジョニングと非アクティブ化を行い、退職した人が Smartsheet 内の企業データにアクセスできないようにすることができます。

留意点

Smartsheet ではライセンスなしユーザーをサポートしているため、役割なしでも Smartsheet ユーザーのプロビジョニングができます。Okta を通じてプロビジョニングされた新しいライセンスなしユーザーは、初回のサインインまで、または Smartsheet グループに追加されるまで、Smartsheet の管理センターに表示されません。