メインコンテンツへスキップ
このページを使用して、SCIM Users と SCIM Groups のプロビジョニングに関する問題を診断します。各問題には、考えられる原因と解決方法が記載されています。ID プロバイダー（IdP）で確認できる症状に該当するセクションから始めてください。
Connect AI は、マネージドなID ブローカーとしてAuth0 を使用しています。Auth0 のテナント、コネクション、ログに関する手順は、ブローカー側でCData が対応するため、ユーザーが設定するものではありません。該当する場合は、CData サポート にお問い合わせください。それ以外の手順は、IdP で設定します。

​
認証エラー

IdP がSCIM エンドポイントに対して認証できませんでした。次のいずれかを確認してください：
  • トークンが正しくありません。Bearer トークンは、セルフサービスセッションに表示されたとおりに、前後にスペースを入れず、Bearer プレフィックスを追加せずに入力してください。
  • トークンが、SCIM エンドポイントURL とは別のConnect AI アカウントのものです。URL とトークンは対になっています。
  • トークンが置き換えられたか、無効化されました。トークンがまだ有効かどうかを、CData サポート に確認してください。新しいトークンを受け取るには、SCIM またはSSO 認証情報の取得 を参照してください。
トークンを修正したら、接続テストをもう一度実行してください。
IdP がSCIM エンドポイントに到達できませんでした。次のいずれかを確認してください：
  • URL が、セルフサービスセッションで取得したSCIM エンドポイントではありません。URL は、https://<your-domain.com>/scim/v2 の形式です。
  • （Entra ID） テナントURL の末尾に ?aadOptscim062020 がありません。
  • （Okta） SCIM 2.0 Base URL の末尾にスラッシュがあります。削除してください。
  • URL に誤字や余分な文字があります。例えば、コピーが不正確だった場合などです。
  • Connect AI はEntra アプリケーションギャラリーには表示されません。ギャラリー以外の新しいアプリケーションを作成し、そのアプリケーションでプロビジョニングを構成してください。SCIM Users を参照してください。
  • 自動プロビジョニングには、Microsoft Entra ID Premium P1 またはP2 が必要です。Entra ID の無料プランの組織では構成できません。
リンクは 1 回しか使用できず、有効期限があります。準備が整う前にリンクを開いた場合、失効した場合、またはセッションが終了した場合は、再利用できません。新しいリンクをCData サポート に依頼し、その前にSCIM またはSSO 認証情報の取得 の準備手順を完了してください。
IdP を接続するには、SSO が設定されていることと、CData サポートがSCIM Users、SCIM Groups、またはその両方を有効にしていることが必要です。アカウントの状況については、CData サポート にお問い合わせください。

​
ユーザーまたはグループがプロビジョニングされない

次のいずれかを確認してください：
  • （Entra ID） ユーザーがアプリケーションに割り当てられていません。ユーザーとグループ で、ユーザーまたはユーザーを含むグループを割り当ててください。
  • （Entra ID） プロビジョニングの状態 がオン に設定されていません。
  • （Okta） Provisioning to App で、Create Users、Update User Attributes、Deactivate Users のすべてが有効になっていません。
  • （Okta） ユーザーがAssignments タブでSCIM アプリケーションに割り当てられていません。
  • IdP がまだプロビジョニングサイクルを実行していません。Entra ID でオンデマンドでプロビジョニング を使用すると、単一のユーザーをテストして、結果をすぐに確認できます。
  • （Okta） グループをSCIM アプリケーションに割り当てても、プッシュはされません。Push Groups タブも選択して、各グループをプッシュする必要があります。この手順はAssignments とは別です。
  • （Entra ID） マッピング で、Provision Entra ID Groups が有効 に設定されていることを確認してください。
  • アカウントでSCIM Groups が有効になっている必要があります。SCIM Groups を参照してください。
  • （Okta） 同じユーザーとグループを、SCIM アプリケーションとSSO アプリケーションの両方に割り当てる必要があります。ユーザーまたはグループがSCIM アプリケーションにのみ割り当てられている場合、ユーザーはプロビジョニングされますが、SSO でサインインできません。Okta のグループルールはグループメンバーシップを自動化しますが、グループを各アプリケーションに割り当てるわけではありません。
  • ユーザーのE メールドメインでSSO が設定され、動作していることを確認してください。ユーザープロビジョニングとSSO を参照してください。
  • Just-in-Time（JIT）プロビジョニングは、SCIM を使用するアカウントでは利用できません。
IdP から同期されたグループには、ロールが自動的には付与されません。グループがConnect AI に表示されたら、Identities ページのGroups タブで、アクセスロールを割り当ててください。アクセスロールの割り当て を参照してください。
同期されたグループからユーザーを削除すると、そのグループ由来のロールのみが削除されます。ユーザーは、他の同期されたグループ、直接のロール割り当て、直接のリソース権限、およびパーソナルアクセストークン（PAT）を通じて、アクセスを維持します。ユーザーを完全にデプロビジョニングするには、IdP のすべての同期されたグループから削除した上で、Management API から DELETE /users/{id} を呼び出してください。SCIM Users を参照してください。
SCIM ユーザーのプロファイルとグループメンバーシップは、IdP で管理します。同期されたグループの作成、更新、削除もIdP で行います。ユーザーのシステムロールをUsers タブで変更したり、グループへのアクセスロールをGroups タブで割り当てたりすることは引き続き可能です。SCIM でプロビジョニングされたユーザーの名前フィールドは、Management API では変更できません。ユーザーを完全にデプロビジョニングするには、SCIM Users の手順に従ってください。

​
属性マッピングの問題

ユーザーがすでにConnect AI に存在しており（例えば、SCIM が有効になる前にE メールで招待された場合など）、IdP が既存のレコードと一致させられません。次のいずれかを確認してください：
  • （Entra ID） 属性マッピング のユーザー タブで、mail を emails[type eq "work"].value にマッピングする行のこの属性を使用してオブジェクトを一致させる がはい、一致の優先順位 が2 に設定されている必要があります。
  • 一致に使用する属性がユーザーのE メールアドレスで、IdP とConnect AI で同一のスペルになっています。
エラーが解消しない場合は、CData サポート にお問い合わせください。
（Entra ID） ユーザーに mail 属性が設定されていない場合は、同じマッピング行でソース属性 を userPrincipalName に変更してください。これにより、E メールフィールドが常に入力されます。
  • Attribute Mappings で、Primary email type、Primary phone type、Address type の行を削除してください。これらの行は更新時に問題を引き起こす可能性があります。
  • Provisioning to App で、Update User Attributes が有効になっていることを確認してください。
SAML コネクションでは、Okta が以降の更新・削除リクエストに使用する識別子に、URL で無効な文字が含まれる場合があります。その場合、リクエストは送信される前にOkta 内で失敗し、Okta にもConnect AI にもエラーは表示されません。これは、Okta のUnique identifier field for users の設定が userName ではなく id になっている場合にのみ発生します。userName に設定してください。問題が続く場合は、対応するブローカー側の変更が必要なため、CData サポート にお問い合わせください。

​
IdP が送信する内容とConnect AI が受信する内容の確認

原因が明確でない場合は、1 つのユーザーまたはグループについて、双方を比較します。テスト用のユーザーとグループを 1 つずつ使用し、各試行の正確な時刻を記録してください。
1
IdP でプロビジョニングをテストする。 Entra ID では、オンデマンドでプロビジョニング を選択し、ユーザーまたはグループを選んでプロビジョニング をクリックします。結果に各手順が一覧表示され、Entra ID が送信した属性が表示されます。Okta では、Assignments タブでSCIM アプリケーションに新しいテストユーザーを割り当てるか、Push Groups から新しいテストグループをプッシュします。結果として発生したプロビジョニングイベントをSystem Log で確認します。Test API Credentials はエンドポイントとトークンのみを確認し、ユーザーやグループはプロビジョニングしません。
2
IdP のログを確認する。 Entra ID では、アプリケーションを開き、プロビジョニング ログ を選択して、ユーザー名またはステータスで絞り込みます。エントリを開くと、リクエスト、レスポンス、およびエラーテキストを確認できます。Okta では、Reports > System Log を開き、アプリケーション名とユーザーのE メールアドレスで絞り込みます。
3
Connect AI の監査ログを確認する。 Logs > Audit Log を開き、テストを行った時刻の前後にDate Range を設定して、Event Type またはUser で絞り込みます。エントリをクリックすると、詳細が展開されます。SCIM によるユーザーのプロビジョニング、更新、削除のほか、グループのプロビジョニング、メンバーシップの変更、ロール割り当ての変更もここに表示されます。ログ を参照してください。
4
結果を比較する。 次の表を使用して、問題の所在を判断します。
監査ログには、Connect AI が処理した変更が記録されます。無効なトークンなど、処理前に拒否されたリクエストは、表示されない場合があります。それらの診断には、IdP のログを使用してください。

​
サポート向け情報の収集

問題を解決できない場合は、CData サポート に問い合わせ、次の情報を含めてください：
  • アカウント–Connect AI のアカウント名と、トークンを除いたSCIM エンドポイントURL。Bearer トークンは絶対に送信しないでください。
  • IdP–Entra ID、Okta、またはその他のプロバイダー。また、SSO コネクションがSAML かOpenID Connect のどちらを使用しているか。
  • 範囲–問題がSCIM Users、SCIM Groups、またはその両方に影響しているか。また、影響を受けるのが 1 つのユーザーまたはグループか、複数か。
  • 例–影響を受けているユーザー 1 人のE メールアドレス、または影響を受けているグループ 1 つの名前。
  • タイムスタンプ–直近の失敗した試行の日付、時刻、タイムゾーン。
  • IdP のログエントリ–失敗した試行のプロビジョニングログまたはSystem Log のエントリ（エラーテキスト全文を含む）。
  • 監査ログのエントリ–Connect AI の該当する監査ログエントリのスクリーンショット、または該当するエントリがないことの記載。
  • 最近の変更–属性マッピング、割り当て、IdP アプリケーションへの変更の有無と、プロビジョニングが過去に動作していたかどうか。
最終更新日 2026年10月30日