Okta を使用した SCIM の構成

Okta を介したユーザー管理の構成、グループのプロビジョニング、Tableau Cloud サイトロールの割り当てを行うことができます。Tableau サイトロールおよび各ロールの機能についての詳細は、「ユーザーのサイトロールの設定」を参照してください。

ステップ 1: 前提条件を実行する

SCIM 機能を有効にするには、SAML シングルサインオン (SSO) をサポートするようにサイトを構成する必要があります。

Okta を使用した SAML の構成の次のセクションを実施します。
- ステップ 1: Tableau Cloud の SAML 設定を開く
- ステップ 2: Tableau Cloud を Okta アプリケーションに追加する
これら 2 つのセクションのステップを完了し、Okta の管理者コンソールと Tableau Cloud にサインインしたままの状態で以下のページを表示します。
- Tableau Cloud では [設定] の [認証] ページ。
- Okta 管理者コンソールでは、[アプリケーション]、[アプリケーション]、[Tableau Cloud]、[プロビジョニング]。

ステップ 2: SCIM サポートを有効にする

Okta を使用して SCIM サポートを有効にするには、以下のステップを実行します。以下のセクションの「Azure Active Directory を使用した SCIM サポートの注意点と制限事項」も参照してください。

Tableau Cloud サイトにサイト管理者としてサインインし、[設定]、[認証] の順に選択します。
次を実行します。
1. [認証] ページで、[自動プロビジョニングとグループ同期 (SCIM)] にある [SCIM の有効化] チェックボックスを選択します。
  これにより、ベース URL と IdP の SCIM 構成でで使用する値が入っているシークレットボックスが設定されます。
  重要: シークレットトークンは、生成された直後にのみ表示されます。IdP に適用する前に見失ってしまった場合には、[新しいシークレットを生成] を選択します。また、シークレットトークンは、SCIM サポートを有効にするサイト管理者の Tableau Cloud ユーザーアカウントに関連付けられています。そのユーザーのサイトロールが変更されるか、そのユーザーがサイトから削除されると、シークレットトークンは無効になり、別のサイト管理者が新しいシークレットトークンを生成して IdP に適用する必要があります。
シークレットトークンの値をコピーします。
Okta 管理者コンソールで、以下を実行します。
1. 左側のペインで [アプリケーション]、[アプリケーション] の順に選択して [Tableau Cloud] アプリケーションをクリックし、[プロビジョニング] タブをクリックします。
2. [API 統合を有効化] ボタンをクリックします。
3. [API 統合の有効化] チェックボックスを選択して [保存] をクリックします。
4. 次を実行します。
  1. [API トークン] には、前のステップでコピーした Tableau CloudSCIM シークレットを貼り付けます。
  2. [Base URL (ベース URL)] には Tableau Cloud SCIM 設定で表示されたベース URL をコピーして貼り付けます。
「API 認証資格情報のテスト」ボタンをクリックして、構成が正しく行われたことを確認します。正しく設定されると、「Tableau Cloud は正常に検証されました」というメッセージが表示されます。
完了したら、[保存] をクリックします。

ステップ 3: ユーザーとグループを Tableau に割り当てる

Okta では、ユーザーを Tableau にプロビジョニングできるように、ユーザーとグループを Tableau アプリケーションに割り当てる必要があります。

注: Okta では、割り当て用とプッシュ用に別のグループを作成することを推奨しています。詳細については、Okta ドキュメントの「グループのプッシュについて」(新しいウィンドウでリンクが開く)を参照してください。

左側のペインで [アプリケーション]、[アプリケーション] の順に選択して [Tableau Cloud] アプリケーションをクリックし、[割り当て] タブをクリックします。
[割り当て] ドロップダウンをクリックし、[ユーザーに割り当て] または [グループに割り当て] を選択します。
次を実行します。
1. 関連するユーザーまたはグループを選択します。
2. ユーザーを Tableau にプロビジョニングするサイトロールを選択します。以下のオプションがあります。
  - ライセンスなし
  - Viewer
  - Explorer
  - Explorer (パブリッシュ可能)
  - Creator
  - サイト管理者 Explorer
  - サイト管理者 Creator
完了したら、[保存して戻る] ボタンをクリックします。
必要に応じてステップ 3 と 4 を繰り返し、[完了] ボタンをクリックします。

ステップ 4: グループプロビジョニングの有効化

Okta を使用すると、既存のグループとそのメンバーシップを Tableau Cloud にプッシュできます。グループをプッシュしたら、Tableau Cloud の対応するグループが自動的に更新されるように Okta のグループメンバーシップを管理できます。これらの手順に従う前に、Okta ドキュメントの「グループプッシュの前提条件」(新しいウィンドウでリンクが開く)と「グループプッシュについて」(新しいウィンドウでリンクが開く)を確認することをお勧めします。

注: SCIM を有効にすると、ユーザーとその属性は IdP を介して管理する必要があります。Tableau Cloud 内で直接変更を行うと、予期しない動作が発生したり、値が上書きされたりする可能性があります。

前のセクションの続きから以下のステップを行います。ここでは Okta 管理者コンソールにサインインしていることを前提にしています。

左側のペインで、[アプリケーション]、[アプリケーション] の順に選択して Tableau Cloud アプリケーションをクリックし、[グループのプッシュ] タブをクリックします。
[グループのプッシュ] ボタンをクリックし、ドロップダウンメニューから以下のオプションの 1 つを選択します。

[Find groups by name (名前でグループを検索)]: 名前でグループを検索するには、このオプションを選択します。
[Find groups by rule (ルールでグループを検索)]: ルールに一致するグループをプッシュするには、このオプションを選択して検索ルールを作成します。

[Push Status (プッシュステータス)] 列の [Active (アクティブ)] または[Inactive (非アクティブ)] をクリックすると、グループプッシュを無効にしたり、プッシュされたグループのリンクを解除したり、グループのメンバーシップをすぐにプッシュしたりできます。複数のグループを削除、または非アクティブまたはアクティブにするには、[Bulk Edit (一括編集)] をクリックします。詳細については、Okta ドキュメントの「グループプッシュを有効にする(新しいウィンドウでリンクが開く)」を参照してください。

(オプション) 複数のグループをプッシュする場合は、[保存して別のグループを追加] ボタンをクリックし、前の手順を繰り返します。
完了したら、[保存] をクリックします。

Okta を使用した SCIM サポートの注意点

Okta ユーザー割り当て設定では、[ユーザー名] および [主要メールアドレス] の値が同一である必要があります。
SCIM を使用して管理するサイトそれぞれに、別々の Tableau Cloud Okta アプリを追加する必要があります。
サイトを移行する場合は、新しいサイトで SCIM プロビジョニングを再構成する必要があります。
新しいユーザーをプロビジョニングする際、Okta の名と姓の属性は Tableau Cloud に同期されません。新しいユーザーは、Tableau Cloud に初めてサインインするときにこれらのフィールドを設定する必要があります。
ユーザーが Okta の Tableau Cloud アプリケーションから割り当てを解除されるか、ユーザーが Okta から完全に認証解除または削除されると、そのユーザーは Tableau Cloud でライセンスなしのサイトロールに変換されます。ユーザーがコンテンツを所有している場合、Tableau Cloud でそのユーザーを手動で削除する前に、まずそれらのアセットの所有権を再度割り当てる必要があります。
Okta でユーザーのサイトロール (Creator、Explorer、Viewer など) を、ユーザーレベルまたはグループレベルのどちらかで設定できます。グループレベルでサイトロールを割り当てることをお勧めします。ユーザーがサイトロールを直接割り当てる場合は、グループ設定が上書きされます。
1 人のユーザーが複数のグループのメンバーになることができます。グループには、さまざまなサイトロールを設定できます。さまざまなサイトロールが設定されたグループにユーザーが割り当てられる場合、ユーザーには最も制限の少ないサイトロールが Tableau Cloud で設定されます。たとえば、Viewer と Creator を選択すると、Tableau は Creator サイトロールを割り当てます。
サイトロールを最も制限が少ないものから多いものの順に以下に示します。
- サイト管理者 Creator
- サイト管理者 Explorer
- Creator
- Explorer (パブリッシュ可能)
- Explorer
- Viewer
ユーザーのサイトロールの属性を Okta で更新することができ、この変更が Tableau Cloud に反映されます。[ユーザー名] や [主要メールアドレス] などの他の属性は更新できません。これらの属性を変更するには、ユーザーを削除し、属性を変更してから、再びユーザーを追加します。
2024 年 2 月 (Tableau 2023.3) から、サインイン時にライセンスを付与 (GLSI) SCIM の使用がサポートされます。GLSI では、グループのオプションを手動で有効にし、Tableau Cloud のグループのメンバーであるユーザーに対して最小限のサイトロールを選択する必要があります。Okta で GLSI 属性を使用してグループを設定することはできませんが、Tableau Cloud の Okta からプロビジョニングしたグループの属性を設定することはできます。

一番上に戻る

フィードバックをありがとうございます。

フィードバックは正常に送信されました。ありがとうございます!

Tableau Cloud ヘルプ