メンバーと部署を同期する（SCIM など）
会社のアカウント管理から、メンバーと部署を Tumiki に取り込みます。SCIM、Google Workspace、Microsoft Entra ID の3つの方式があります。
手順更新日
会社のアカウント管理から、メンバーと部署を Tumiki に取り込みます。入社や退職、異動が自動で反映されるので、手で直す手間が減ります。ログインの設定とは別なので、SSO と合わせて設定してください。
方式を選ぶ
同期元は1つだけ選べます。部署の階層まで取り込むなら、Google Workspace か Microsoft Entra ID の方式を選びます。
| 方式 | 届き方 | 部署の階層 | 反映まで |
|---|---|---|---|
| SCIM | 会社のアカウント管理から送ってもらう | 届きません | 送り元の周期しだい（Microsoft Entra ID は約40分ごと） |
| Google Workspace | Tumiki が読み取りに行く | 組織部門が部署になります | 40分ごとに取得し、差分を承認して適用 |
| Microsoft Entra ID | Tumiki が読み取りに行く | グループの親子が部署になります | 40分ごとに取得し、差分を承認して適用 |
Google Workspace は SCIM で送れないので、Google Workspace の方式を使います。
どの方式も、設定は Tumiki のオーナーが行います。画面は、管理画面の「設定」、上のタブの「ログインと同期」にある「メンバーと部署の同期」です。
SCIM で受け取る
認証情報を発行する
「同期の方式」で「SCIM」を選びます。「接続情報」の「表示」を押し、「認証情報を発行」を押して、確認の画面で「発行する」を押します。
会社のアカウント管理に登録する
Microsoft Entra ID では、次のように進めます。
- 「エンタープライズ アプリケーション」で「新しいアプリケーション」を押し、「独自のアプリケーションの作成」を選びます。SSO で作ったアプリがあれば、それを使えます。
- 「プロビジョニング」を開き、モードを「自動」にします。
- 認証方法で OAuth 2.0 のクライアント資格情報を選び、下の表のとおりに入れます。
- 「テスト接続」を押し、成功を確かめます。
- 「ユーザーとグループ」で、送る人とグループを割り当てます。
- プロビジョニングを開始します。
| Tumiki の画面 | Microsoft Entra ID |
|---|---|
| 送り先の URL | テナントの URL |
| トークン エンドポイント | トークン エンドポイント |
| Client ID | クライアント識別子 |
| Client secret | クライアント シークレット |
届いたことを確かめる
「○人・○グループを受け取っています」と出れば届いています。初回の送信には時間がかかることがあります。
Client secret は一度しか表示されません
画面を離れると二度と出ません。なくしたときは「作り直す」を押します。作り直すと前の値はすぐに使えなくなり、新しい値を登録するまで受信が止まります。
メールアドレスが空の人は取り込めません。Microsoft Entra ID では、プロビジョニング ログに失敗として残ります。
Google Workspace から読み取る
読み取るのはユーザーと組織部門だけで、Google 側は書き換えません。ログイン用の接続とは別に設定します。
Google Cloud でクライアントを作る
「同期の方式」で「Google Workspace」を選びます。自社の Google Cloud プロジェクトで次のとおりに設定します。
- Admin SDK API を有効にします。
- OAuth 同意画面を「内部」で作ります。
- 種類が「ウェブ アプリケーション」の OAuth クライアントを作ります。
- 承認済みのリダイレクト URI に、Tumiki の画面に出ている URL を登録します。
クライアントを登録する
作ったクライアントの ID とシークレットを入れ、「登録する」を押します。
Google の管理者として接続する
「Google の管理者として接続」を押します。Google の画面で、Google Workspace の管理者として許可します。戻ったら「本人確認して結び付ける」を押します。
差分を適用する
「取り込む差分」の人数と部署数を確かめ、「差分を適用」を押します。適用するまで、メンバーと部署は変わりません。
Microsoft Entra ID から読み取る
起点にしたグループの下を読み取ります。Entra 側は書き換えません。
| Entra のもの | Tumiki でのもの |
|---|---|
| 起点のグループの下にいる人 | メンバー |
| 起点のグループの下のグループ | 部署 |
| 起点のグループ自身 | 部署になりません |
Entra 管理センターでアプリを登録する
- 「アプリの登録」でアプリを作ります。
- 「API のアクセス許可」で、Microsoft Graph のアプリケーションの許可
GroupMember.Read.AllとUser.Read.Allを足し、管理者の同意を与えます。 - 「証明書とシークレット」でクライアント シークレットを作ります。
メンバーを隠しているグループを読むときは、Member.Read.Hidden も足します。
接続情報を入れて確かめる
「同期の方式」で「Microsoft Entra ID」を選び、次を入れて「確かめる」を押します。接続すると何人をどう取り込むかが出ます。
- テナント ID（ディレクトリ ID）
- アプリケーション（クライアント）ID
- クライアント シークレット
- 起点グループのオブジェクト ID
接続して差分を適用する
シークレットの有効期限を入れ、「接続する」を押します。「取り込む差分」の人数と部署数を確かめ、「差分を適用」を押します。適用するまで、メンバーと部署は変わりません。
シークレットの期限の30日前、7日前、1日前と、切れたとき、同期が止まったときに、オーナーへメールで知らせます。新しいシークレットは「接続し直す」で入れます。
方式を切り替える
| 切り替え | 手順 |
|---|---|
| SCIM から Google Workspace か Microsoft Entra ID へ | 接続の確認の画面で SCIM を止めます。会社のアカウント管理の側の送信も止めてください |
| Google Workspace から Microsoft Entra ID へ、またはその逆 | 先に「接続を解除」を押します |
| Google Workspace か Microsoft Entra ID から SCIM へ | 先に「接続を解除」を押し、「認証情報を発行」で新しい値を登録し直します |
接続を解除しても、いまのメンバーと部署は残ります。
招待での参加を止める
同期された人だけが使えるようにできます。「招待での参加を停止する」をオンにします。招待で加えた人は使えなくなり、確認の画面に影響する人数が出ます。あなたが同期で加わっていないときは、停止できません。
オンにする前の確認は、方式によって違います。
| 方式 | オンにする前にすること |
|---|---|
| SCIM | 送信が終わった日時を入れて「連携を確認する」を押します。その同期から24時間のあいだ選べます |
| Google Workspace、Microsoft Entra ID | 「いますぐ取得する」で取得して適用します。そのあと15分のあいだ選べます |