管理者向け：SAML SSO と SCIM プロビジョニングのセットアップ

管理者向け：SAML SSO と SCIM プロビジョニングのセットアップ

対象環境: オンプレミス導入 向けです。iknow.dev クラウド（SaaS）では SAML SSO / SCIM は提供していません。SaaS のログインは Qiita / GitHub / Google の OAuth のみです（No.2.3）。

組織の IT 管理者向けに、iknow の SAML 2.0 SSO と SCIM 2.0 ユーザープロビジョニング の設定手順をまとめます。一般ユーザー向けのログイン操作は No.7.4 を参照してください。

概要 — 2 つの連携

flowchart TB
  subgraph IdP["組織の IdP（Entra ID 等）"]
    SAML["SAML 認証"]
    SCIM_P["SCIM プロビジョニング"]
  end
  subgraph iknow["iknow.dev"]
    ACS["/saml/acs"]
    Users["/scim/v2/Users"]
    Expert["Expert アカウント"]
  end
  SAML -->|"ログイン時"| ACS --> Expert
  SCIM_P -->|"事前同期"| Users --> Expert

推奨構成

SCIM でユーザーを管理するテナントでは JIT を無効 にし、未登録ユーザーの SSO を拒否する運用が安全です。

SAML SSO の設定

環境変数（サーバー側）

本番では APP_URL を https で正しく設定してください。SP の Entity ID / ACS URL は APP_URL 基準で自動生成されます。

IdP に登録する SP 情報

SP メタデータ XML は GET /saml/metadata で取得できます。

IdP 側のクレーム設定

iknow.dev は SAML アサーションから メールアドレス と 表示名 を取得します。Entra ID では以下のクレーム URI に対応しています。

Google Workspace 等では email / name の素朴な属性名にも対応します。

アカウント照合の仕組み

SSO ログイン時、iknow.dev は次の順で Expert を検索します。

1. saml_name_id（SAML NameID）の完全一致
2. メールアドレスの一致（一致時は saml_name_id を自動バックフィル）

これにより、SCIM や OAuth で既に作成されたアカウント と SSO ログインが自動的にリンクされます。

SCIM プロビジョニングの設定

環境変数

SCIM エンドポイント

ベース URL: {APP_URL}/scim/v2

認証: すべてのリクエストに Authorization: Bearer {SSO_SCIM_TOKEN} ヘッダーが必要です。

SCIM でのユーザー状態

SCIM 経由のプロビジョニングではメール許可リストは適用されません（管理者保有トークンによる明示的な操作のため）。

Microsoft Entra ID での SCIM 設定例

1. エンタープライズアプリケーションに iknow.dev を追加
2. プロビジョニング → 自動 → SCIM
3. テナント URL: {APP_URL}/scim/v2
4. シークレットトークン: SSO_SCIM_TOKEN の値
5. 属性マッピング: userName → メール、displayName → 表示名
6. テスト接続 → プロビジョニング開始

監査ログ

SAML ログイン（成功・失敗）と SCIM 操作（作成・更新・削除）は 認証カテゴリの監査ログ に記録されます（No.8.5）。

トラブルシューティング（管理者向け）