> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cloud.cdata.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SCIM トラブルシューティング

> SCIM を使用してConnect AI にユーザーとグループをプロビジョニングする際のよくある問題と、その解決方法、およびサポートに問い合わせる前に収集しておく情報をまとめています。

このページを使用して、[SCIM Users](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Users.md) と [SCIM Groups](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Groups.md) のプロビジョニングに関する問題を診断します。各問題には、考えられる原因と解決方法が記載されています。ID プロバイダー（IdP）で確認できる症状に該当するセクションから始めてください。

> [!NOTE]
>
> Connect AI は、マネージドなID ブローカーとしてAuth0 を使用しています。Auth0 のテナント、コネクション、ログに関する手順は、ブローカー側でCData が対応するため、ユーザーが設定するものではありません。該当する場合は、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。それ以外の手順は、IdP で設定します。

## 認証エラー

> **テスト接続が失敗する、またはIdP が401 Unauthorized を報告する。**
>
> IdP がSCIM エンドポイントに対して認証できませんでした。次のいずれかを確認してください：
>
> * トークンが正しくありません。Bearer トークンは、セルフサービスセッションに表示されたとおりに、前後にスペースを入れず、`Bearer` プレフィックスを追加せずに入力してください。
> * トークンが、SCIM エンドポイントURL とは別のConnect AI アカウントのものです。URL とトークンは対になっています。
> * トークンが置き換えられたか、無効化されました。トークンがまだ有効かどうかを、[CData サポート](https://jp.cdata.com/support/) に確認してください。新しいトークンを受け取るには、[SCIM またはSSO 認証情報の取得](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Users.md#scim-またはsso-認証情報の取得) を参照してください。
>
> トークンを修正したら、接続テストをもう一度実行してください。

> **テスト接続が失敗する、またはIdP が404 Not Found を報告する。**
>
> IdP がSCIM エンドポイントに到達できませんでした。次のいずれかを確認してください：
>
> * URL が、セルフサービスセッションで取得したSCIM エンドポイントではありません。URL は、`https://<your-domain.com>/scim/v2` の形式です。
> * *（Entra ID）* テナントURL の末尾に `?aadOptscim062020` がありません。
> * *（Okta）* **SCIM 2.0 Base URL** の末尾にスラッシュがあります。削除してください。
> * URL に誤字や余分な文字があります。例えば、コピーが不正確だった場合などです。

> **開始するボタンが使用できない、またはEntra ID で自動プロビジョニングを選択できない。**
>
> * Connect AI はEntra アプリケーションギャラリーには表示されません。ギャラリー以外の新しいアプリケーションを作成し、そのアプリケーションでプロビジョニングを構成してください。[SCIM Users](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Users.md) を参照してください。
> * 自動プロビジョニングには、Microsoft Entra ID Premium P1 またはP2 が必要です。Entra ID の無料プランの組織では構成できません。

> **セルフサービスリンクが失効した、すでに使用済み、または完了前にセッションが終了した。**
>
> リンクは 1 回しか使用できず、有効期限があります。準備が整う前にリンクを開いた場合、失効した場合、またはセッションが終了した場合は、再利用できません。新しいリンクを[CData サポート](https://jp.cdata.com/support/) に依頼し、その前に[SCIM またはSSO 認証情報の取得](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Users.md#scim-またはsso-認証情報の取得) の準備手順を完了してください。

> **アカウントでSCIM を使用できない。**
>
> IdP を接続するには、SSO が設定されていることと、CData サポートがSCIM Users、SCIM Groups、またはその両方を有効にしていることが必要です。アカウントの状況については、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。

## ユーザーまたはグループがプロビジョニングされない

> **ユーザーがConnect AI に表示されない。**
>
> 次のいずれかを確認してください：
>
> * *（Entra ID）* ユーザーがアプリケーションに割り当てられていません。**ユーザーとグループ** で、ユーザーまたはユーザーを含むグループを割り当ててください。
> * *（Entra ID）* **プロビジョニングの状態** が**オン** に設定されていません。
> * *（Okta）* **Provisioning to App** で、**Create Users**、**Update User Attributes**、**Deactivate Users** のすべてが有効になっていません。
> * *（Okta）* ユーザーが**Assignments** タブでSCIM アプリケーションに割り当てられていません。
> * IdP がまだプロビジョニングサイクルを実行していません。Entra ID で**オンデマンドでプロビジョニング** を使用すると、単一のユーザーをテストして、結果をすぐに確認できます。

> **グループがConnect AI に表示されない。**
>
> * *（Okta）* グループをSCIM アプリケーションに割り当てても、プッシュはされません。**Push Groups** タブも選択して、各グループをプッシュする必要があります。この手順は**Assignments** とは別です。
> * *（Entra ID）* **マッピング** で、**Provision Entra ID Groups** が**有効** に設定されていることを確認してください。
> * アカウントでSCIM Groups が有効になっている必要があります。[SCIM Groups](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Groups.md) を参照してください。

> **プロビジョニングされたユーザーがサインインできない。**
>
> * *（Okta）* 同じユーザーとグループを、SCIM アプリケーションとSSO アプリケーションの両方に割り当てる必要があります。ユーザーまたはグループがSCIM アプリケーションにのみ割り当てられている場合、ユーザーはプロビジョニングされますが、SSO でサインインできません。Okta のグループルールはグループメンバーシップを自動化しますが、グループを各アプリケーションに割り当てるわけではありません。
> * ユーザーのE メールドメインでSSO が設定され、動作していることを確認してください。[ユーザープロビジョニングとSSO](https://docs.cloud.cdata.com/ja/SCIM.md) を参照してください。
> * Just-in-Time（JIT）プロビジョニングは、SCIM を使用するアカウントでは利用できません。

> **グループ内のユーザーがコネクションにアクセスできない。**
>
> IdP から同期されたグループには、ロールが自動的には付与されません。グループがConnect AI に表示されたら、**Identities** ページの**Groups** タブで、アクセスロールを割り当ててください。[アクセスロールの割り当て](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Groups.md#アクセスロールの割り当て) を参照してください。

> **IdP で削除したユーザーが、まだアクセスできる。**
>
> 同期されたグループからユーザーを削除すると、そのグループ由来のロールのみが削除されます。ユーザーは、他の同期されたグループ、直接のロール割り当て、直接のリソース権限、およびパーソナルアクセストークン（PAT）を通じて、アクセスを維持します。ユーザーを完全にデプロビジョニングするには、IdP のすべての同期されたグループから削除した上で、Management API から `DELETE /users/{id}` を呼び出してください。[SCIM Users](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Users.md#ロールと権限) を参照してください。

> **Connect AI でユーザーまたはグループを編集・削除できない。**
>
> SCIM ユーザーのプロファイルとグループメンバーシップは、IdP で管理します。同期されたグループの作成、更新、削除もIdP で行います。ユーザーのシステムロールを**Users** タブで変更したり、グループへのアクセスロールを**Groups** タブで割り当てたりすることは引き続き可能です。SCIM でプロビジョニングされたユーザーの名前フィールドは、Management API では変更できません。ユーザーを完全にデプロビジョニングするには、[SCIM Users](https://docs.cloud.cdata.com/ja/SCIM/SCIM-Users.md#ロールと権限) の手順に従ってください。

## 属性マッピングの問題

> **プロビジョニングが、競合または「resource already exists」エラーで失敗する。**
>
> ユーザーがすでにConnect AI に存在しており（例えば、SCIM が有効になる前にE メールで招待された場合など）、IdP が既存のレコードと一致させられません。次のいずれかを確認してください：
>
> * *（Entra ID）* **属性マッピング** の**ユーザー** タブで、`mail` を `emails[type eq "work"].value` にマッピングする行の**この属性を使用してオブジェクトを一致させる** が**はい**、**一致の優先順位** が**2** に設定されている必要があります。
> * 一致に使用する属性がユーザーのE メールアドレスで、IdP とConnect AI で同一のスペルになっています。
>
> エラーが解消しない場合は、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。

> **プロビジョニングされたユーザーのE メールアドレスが空、または正しくない。**
>
> *（Entra ID）* ユーザーに `mail` 属性が設定されていない場合は、同じマッピング行で**ソース属性** を `userPrincipalName` に変更してください。これにより、E メールフィールドが常に入力されます。

> **ユーザーの更新が失敗する、または無視される（Okta）。**
>
> * **Attribute Mappings** で、**Primary email type**、**Primary phone type**、**Address type** の行を削除してください。これらの行は更新時に問題を引き起こす可能性があります。
> * **Provisioning to App** で、**Update User Attributes** が有効になっていることを確認してください。

> **Okta でのグループメンバーシップの変更や無効化が、通知なく失われる。**
>
> SAML コネクションでは、Okta が以降の更新・削除リクエストに使用する識別子に、URL で無効な文字が含まれる場合があります。その場合、リクエストは送信される前にOkta 内で失敗し、Okta にもConnect AI にもエラーは表示されません。これは、Okta の**Unique identifier field for users** の設定が `userName` ではなく `id` になっている場合にのみ発生します。`userName` に設定してください。問題が続く場合は、対応するブローカー側の変更が必要なため、[CData サポート](https://jp.cdata.com/support/) にお問い合わせください。

## IdP が送信する内容とConnect AI が受信する内容の確認

原因が明確でない場合は、1 つのユーザーまたはグループについて、双方を比較します。テスト用のユーザーとグループを 1 つずつ使用し、各試行の正確な時刻を記録してください。

**Step 1**

**IdP でプロビジョニングをテストする。** Entra ID では、**オンデマンドでプロビジョニング** を選択し、ユーザーまたはグループを選んで**プロビジョニング** をクリックします。結果に各手順が一覧表示され、Entra ID が送信した属性が表示されます。Okta では、**Assignments** タブでSCIM アプリケーションに新しいテストユーザーを割り当てるか、**Push Groups** から新しいテストグループをプッシュします。結果として発生したプロビジョニングイベントを**System Log** で確認します。**Test API Credentials** はエンドポイントとトークンのみを確認し、ユーザーやグループはプロビジョニングしません。

**Step 2**

**IdP のログを確認する。** Entra ID では、アプリケーションを開き、**プロビジョニング ログ** を選択して、ユーザー名またはステータスで絞り込みます。エントリを開くと、リクエスト、レスポンス、およびエラーテキストを確認できます。Okta では、**Reports** > **System Log** を開き、アプリケーション名とユーザーのE メールアドレスで絞り込みます。

**Step 3**

**Connect AI の監査ログを確認する。** **Logs** > **Audit Log** を開き、テストを行った時刻の前後に**Date Range** を設定して、**Event Type** または**User** で絞り込みます。エントリをクリックすると、詳細が展開されます。SCIM によるユーザーのプロビジョニング、更新、削除のほか、グループのプロビジョニング、メンバーシップの変更、ロール割り当ての変更もここに表示されます。[ログ](https://docs.cloud.cdata.com/ja/Logs.md#ログの監査) を参照してください。

**Step 4**

**結果を比較する。** 次の表を使用して、問題の所在を判断します。

| IdP のログ | Connect AI の監査ログ | 考えられる原因 |
| - | - | - |
| 401 や404 などのエラー | エントリなし | リクエストがConnect AI に届いていません。トークンとURL を確認してください。 |
| 成功 | イベントのエントリあり | プロビジョニングは成功しています。ロール、SSO の割り当て、グループのロール割り当てを確認してください。 |
| 成功 | エントリなし | タイムスタンプと、ユーザーまたはグループの名前を添えて、CData サポートにお問い合わせください。 |
| エントリなし | エントリなし | IdP がプロビジョニングを試行していません。割り当て、プロビジョニングの状態、Okta の**Push Groups** を確認してください。 |

> [!NOTE]
>
> 監査ログには、Connect AI が処理した変更が記録されます。無効なトークンなど、処理前に拒否されたリクエストは、表示されない場合があります。それらの診断には、IdP のログを使用してください。

## サポート向け情報の収集

問題を解決できない場合は、[CData サポート](https://jp.cdata.com/support/) に問い合わせ、次の情報を含めてください：

* **アカウント**–Connect AI のアカウント名と、トークンを除いたSCIM エンドポイントURL。Bearer トークンは絶対に送信しないでください。
* **IdP**–Entra ID、Okta、またはその他のプロバイダー。また、SSO コネクションがSAML かOpenID Connect のどちらを使用しているか。
* **範囲**–問題がSCIM Users、SCIM Groups、またはその両方に影響しているか。また、影響を受けるのが 1 つのユーザーまたはグループか、複数か。
* **例**–影響を受けているユーザー 1 人のE メールアドレス、または影響を受けているグループ 1 つの名前。
* **タイムスタンプ**–直近の失敗した試行の日付、時刻、タイムゾーン。
* **IdP のログエントリ**–失敗した試行のプロビジョニングログまたはSystem Log のエントリ（エラーテキスト全文を含む）。
* **監査ログのエントリ**–Connect AI の該当する監査ログエントリのスクリーンショット、または該当するエントリがないことの記載。
* **最近の変更**–属性マッピング、割り当て、IdP アプリケーションへの変更の有無と、プロビジョニングが過去に動作していたかどうか。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.