Lucid で Okta SAML と SCIM を有効化

サポートされている機能

SAML SSO機能：

• SP開始型SSO
• IdP主導のSSO
• JIT（ジャストインタイム）プロビジョニング

SCIMプロビジョニング機能：

• ユーザーを作成する
• ユーザー属性を更新する
• ユーザーを無効化する
• プッシュグループ

Lucid の SAML インテグレーションを設定する

Lucidchart、Lucidspark、どちらをお使いの場合でも、以下の手順に従ってください。

ルシードでは

1. Admin を選択します。
2. 左側のメニューから 「セキュリティ 」をクリックしてください。
3. ドロップダウンから [認証]を選択します。

4. 「SAML認証を許可する」オプションの右側にある「設定」を選択すると、LucidのSAMLアクティベーションページに移動します。 ドメインを設定し、メタデータをアップロードするまで、SAMLを使用することはできません。

   

5. 「LucidサインインURL」にドメイン名を入力してください。
   • 使用するドメインが既に他のユーザーによって使用されていないことを確認してください。このドメインは、SSO（シングルサインオン）の際にアカウントを一意に識別するために使用されます。
     
6. [変更を保存] をクリックします。
7. LucidからACSのURLをコピーしてください（Oktaで必要になります）。

Oktaでは。

1. Okta Integrations Networkをブラウズし、"Lucid "を検索します。
   • LucidアプリをOktaに追加した後、SAMLインテグレーションを設定し、OktaインスタンスのエンドユーザーがOkta経由でSAMLサインオンで認証できるようにします。
2. Okta の Lucid for 管理アプリの一般設定セクションで：
   • Lucidから取得したACS URLを「SAML URL」として貼り付けてください。
   • 「ダイアグラム」と「ホワイトボード」のどちらを表示するかを選択します。それぞれがユーザー アプリ ギャラリーに表示され、IdP によって開始されるサインオンが容易になります。
     
3. Oktaの「サインオン」タブで、 「SAML署名証明書」に移動します。
4. 「 アクション」をクリックします。
5. IdPメタデータの表示を選択します。
   
6. メタデータをダウンロードするには、XMLページ上の任意の場所を右クリックし、「名前を付けて保存」を選択して、XMLファイル（例：「metadata.xml」）として保存します。
   • このXMLファイル(メタデータ)には、LucidがOktaと通信するために必要な指示が含まれています。保存したファイルをLucidにアップロードします。
     

ルシードでは

1. Lucid 管理者パネルを開きます。
2. 左側のナビゲーションから「App Integration」をクリックします。
3. ナビゲーションオプションから「一般」を選択してください。
4. [有効な統合] で、[SAML] タイルの[設定]をクリックします。
5. SAMLアクティベーションページを下にスクロールし、 「+ IDプロバイダーを追加」をクリックして、OktaからダウンロードしたXMLファイルをアップロードします。
   • メタデータは以下のフィールドに入力されます。
     
6. 「SAML接続のテスト」 をクリックして、 LucidがOktaと正しく通信していることを確認してください。
   • 接続は、OktaのテストユーザーにLucidの管理者管理アプリが割り当てられている場合にのみ機能します。アプリの割り当てセクションでユーザーにアプリを割り当てることができます。
   • 認証方法としてSAMLを有効にしていなければ、テストは失敗する可能性があります。もしそうなったら、Lucid管理者パネルのセキュリティ設定内の認証ページに移動し、「Allow SAML 認証」がチェックされているか確認してください。
     

Lucidアカウントに追加するSAMLのアイデンティティプロバイダーに暗号化されたアサーションを使うオプションがあります。詳しくは、 SAMLの概要 記事をご覧ください。

SAML を使用したログイン時にユーザーを作成する

OktaでLucidアカウントのSAMLを設定したら、Just-In-Time（JIT）プロビジョニングを設定できます。これにより、OktaでLucidへのアクセス権が割り当てられたユーザーのうち、Lucidアカウントを持っていないユーザーは、初回ログイン時にアカウントが作成されます。

注: JIT プロビジョニングを意図したとおりに機能させるには、 ドメイン制御 を有効にし、ユーザー検証方法を SAML に設定する必要があります。

ユーザーに与えたいアクセスに応じて、Lucid 管理者パネルのライセンス設定セクションでジャストインタイム プロビジョニングをカスタマイズできます。 選択肢は以下のとおりです。

• すべてのユーザーにフル編集ライセンスを付与してLucidアカウントにアクセスさせたい場合は、以下の設定を選択してください。
  • 「アクセス資格」セクションで「フルアクセスの資格」を選択してください。
  • 「カスタマイズされた適格基準」から「インスタントアクセス」を選択してください。
• すべてのユーザーを制限付きアクセスユーザーとして登録したい場合は、「アクセスの適格性」セクションで「限定アクセスのみの対象」を選択してください。
  • ユーザーは引き続き、完全編集ライセンスをリクエストできます。「ユーザーがライセンスを要求したとき」の設定に応じて、ユーザーの要求に応じて自動的にライセンスを付与したり、ユーザー リストでその要求を承認待ちライセンスに変更したりできます。

ジャストインタイム（JIT）プロビジョニングによるユーザー属性の追加

JITプロビジョニングは、SAMLプロトコルを使用して、OktaインスタンスでLucidアクセス権限が割り当てられたユーザーが初めてLucidにログインしたときに、Lucidユーザーを作成します。SAMLを設定することで、これらのユーザーに対して、ユーザーの名、姓、メールアドレスなどの追加属性をLucidに送信することもできます。

名、姓、電子メールの属性を構成するには、次の手順に従います。

1. Oktaアカウントにログインしてください。
2. OktaでLucid for 管理者管理アプリにアクセスする
3. 「サインオン」タブを選択してください。
4. [サインオン] セクションの右上隅で、 [編集]を選択します。
5. 「属性（オプション）」の左側にある矢印をクリックしてメニューを展開します。
6. ユーザーの名を設定します。
   • 名前フィールドにタイトルを追加します。 この値は、「値」ドロップダウン セクションと一致する必要はありません。
   • 名前の形式フィールドで、ドロップダウン リストから「未指定」を選択します。
   • 「値」の下のドロップダウンメニューをクリックします。
   • ドロップダウンから「ユーザー.firstName」を選択します。
7. 別のフィールドを追加するには、 「別のフィールドを追加」をクリックします。
8. 姓とメールアドレスについても、下記に示す指定された名前フィールドと値フィールドを使用して、同様の手順を繰り返してください。
   • ユーザーの姓を追加するには:
     • 名前フィールドにタイトルを追加します。
     • 「値フィールド」ドロップダウンから「姓.lastName」を選択してください。
   • ユーザーのメールを追加するには:
     • メール名フィールドにタイトルを追加します。
     • [値フィールド] ドロップダウンから[User.email]を選択します。
9. これらの手順で説明したユーザー属性を追加すると、Okta ページは次のようになります。
10. この内部ウィンドウの一番下までスクロールします。
11. [保存] をクリックします。

これで、ユーザーが初めてサインインして Lucid アカウントを作成するときに、名、姓、電子メール アドレスの値が適切に設定されるようになります。

OktaでLucid SuiteのSCIMを設定する

Okta 経由で最初にログインする前にユーザーを作成するには、以下の手順に従って Lucid SCIM 統合をセットアップします。

SCIMを設定する前に、最新の料金プランが適用されたエンタープライズアカウントを使用していることを確認してください。アップグレードするには、営業担当者にお問い合わせください。

上記の事前設定手順を完了したら、Lucid で個別のベアラートークンを生成し、それを Okta で使用することで、 Lucid Suiteの SCIM 管理用とコンテンツアクセスアプリ用の SCIM の両方を Okta で設定できます。 各アプリの違いや価値について詳しく知りたい場合は、 Lucid向けSCIM概要記事をご覧ください。

SCIMを有効にしてLucidでベアラートークンを生成する

1. アカウント管理者またはアカウント管理者としてLucidにログインします。
2. 左側のメニューから「管理者」を選択します。
3. 左側のナビゲーション メニューで[アプリの統合]を選択します。
4. 該当するSCIMタイルで、 「設定」 （または「インストール」）を選択します。
   • 両方のアプリをセットアップするには、管理者管理用の SCIM とコンテンツ アクセス用の SCIM の残りの手順を個別に実行する必要があります。 アプリごとに個別のベアラートークンが生成されます。
5. ベアラー トークン セクションで、 [トークンの生成] をクリックします。
   • Oktaでの次のステップでは、LucidのベースURLとベアラートークンが必要になります。

Oktaでインテグレーションの設定とベアラートークンの使用

管理者管理にSCIMを使うか、コンテンツアクセスにSCIMを使うか、あるいはその両方を使うかによって、手順は若干異なります。

管理者管理のためのSCIM設定

1. Oktaに管理者としてログインしてください。
2. Okta 管理者コンソールを開き、Lucid アプリに移動します。
3. 「一般」タブの「アプリ設定」セクションで、SCIMベースURLを追加します。
   
   • このURLは、LucidのSCIM for管理ページから直接コピーできます。
     
4. [プロビジョニング] タブで、 [API 統合の構成]をクリックします。
5. 「API 統合を有効にする」の横のボックスにチェックを入れます。
   • Lucidによって生成されたベアラートークンを追加できるテキストフィールドが表示されます。
     
6. LucidがSCIMから生成した管理者管理用のベアラートークンをAPIトークンフィールドに貼り付けてください。
   • Lucid SCIMアプリを両方設定する場合、これはコンテンツアクセストークン用のSCIMとは別のベアラートークンであることに注意してください。各アプリで正しいものを使用するようにしてください。
7. 「グループのインポート」がチェックされていないことを確認してください（既存のLucid組織グループをOktaにインポートしたい場合を除く）。
8. [保存] をクリックします。

Lucid と Okta の接続が確立されたら、SCIM 接続を使用して起動し、ユーザーとグループをプロビジョニングし、ライセンスを管理できます。 詳細については、以下のセクションをご覧ください。

コンテンツアクセスのためのSCIMの設定

1. Oktaに管理者としてログインしてください。
2. Okta Integrations Networkをブラウズし、"Lucid "を検索します。
3. 新しいLucidアプリを作成しましょう。
   • 管理者管理にもSCIMを使用している場合は、両者を区別するために、このアプリの名前を「コンテンツアクセス用Lucid」とすることをお勧めします。
4. Okta の Lucid for content access アプリの一般設定セクションで、「ダイアグラム」および/または「ホワイトボード」を表示するかどうかを選択します。
   • 管理者管理にも SCIM を使用している場合は、エンド ユーザーに対して Lucid タイルが重複するのを防ぐために、このアプリの「ダイアグラム」と「ホワイトボード」の両方のチェックを外すことをお勧めします。
5. [プロビジョニング] タブで、 [API 統合の構成]をクリックします。
6. 「API 統合を有効にする」の横のボックスにチェックを入れます。
   • Lucidによって生成されたベアラートークンを追加できるテキストフィールドが表示されます。
7. LucidがSCIMコンテンツアクセスタイルから生成したベアラートークンをAPIトークンフィールドに貼り付けてください。
   • Lucid SCIMアプリを両方設定する場合は、これは管理者管理用SCIMトークンとは別のベアラートークンであることに注意してください。各アプリで正しいものを使用するようにしてください。
8. 「グループのインポート」がチェックされていないことを確認してください（既存のLucidチームをOktaにインポートしたい場合を除く）。
9. [保存] をクリックします。

管理者管理のためにSCIMを設定する

管理者管理用にSCIMで設定したグループは、ライセンス管理や管理者の細かい管理、例えば属性管理(例: コストセンター、地域などです。これらのグループは、ユーザーの自動プロビジョニングやLucid組織グループのプロビジョニングにも使え、会社の階層を反映させることができます。

すべてのユーザーグループを設定する

Okta ですべてのユーザー グループを設定するには、次の手順に従います。

1. Okta の Lucid アプリケーションの「割り当て」タブに移動します。
2. 「課題」ページの左上にある「割り当て」をクリックしてください。
3. ドロップダウン オプションから、 [グループ化の割り当て]を選択します。
4. 「すべてのユーザー」グループを検索します。
   • 通常、会社のすべてのユーザーをこの Okta アプリケーションに割り当てるために使用されるため、All ユーザー グループ (会社では異なる名前が付けられる可能性が高い) を持つことが重要です。 これにより、ユーザーはログインして、Oktaのメインアプリケーションページ内でLucidタイルを表示できるようになります。
5. [割り当て] をクリックします。

グループプッシュによるライセンスグループの割り当て

Oktaのグループプッシュ機能を使用すると、管理者はOktaからLucidの組織グループとしてグループをプロビジョニングできます。これらのOktaプッシュグループは、Lucidにおけるユーザーのライセンス付与およびライセンス解除に使用されます。

Lucid 組織グループと連携する新しいプッシュ グループを作成するには、次の手順に従います。

1. Okta の Lucid アプリ ページの上部にあるメニューから[プッシュ グループ]タブを選択します。
2. + プッシュグループをクリックします。
3. ドロップダウン オプションから、名前でグループを検索を選択します。
4. ライセンスグループのカスタマイズをお勧めします。
   • これらのグループは、ユーザーがグループに所属しているかどうかに基づいて、Lucidにおけるライセンスを割り当てるために使用されます。
   • ライセンス グループからユーザーを削除すると、そのユーザーのライセンスが解除され、他のユーザーが使用できるライセンスが無料になります。
5. 別のグループを追加する必要がある場合は、 「保存してさらに追加」をクリックします。
6. 最後のグループを追加したら、 「保存」をクリックします。

Okta プッシュ グループを Lucid の組織グループとして表示する

この段階では、Lucid上で想定どおりのOktaプッシュグループが組織グループとして表示されていることを再度確認することをお勧めします。これにより、SCIMグループの設定が成功したことが確認できます。Lucid の組織グループ ページにアクセスするには、次の手順に従います。

1. Lucid管理者パネルに移動します。
2. 左側のナビゲーション メニューから[グループ] を選択します。
3. ドロップダウン メニューから、 [組織グループ]をクリックします。

Lucid管理者パネルのこのページには、Okta プッシュ グループが組織グループとして表示されます。

各グループのライセンス設定を構成する

これで、各組織グループのライセンス設定を構成する準備が整いました。これにより、ユーザーがこれらのグループに追加または削除された際に、適切なライセンス付与またはライセンス解除が行われることが保証されます。

ライセンス設定にアクセスするには、次の手順に従います。

1. Lucid管理者パネルに移動します。
2. 左側のナビゲーション メニューから[ライセンス設定]を選択します。
3. ドロップダウン メニューから、 Lucid Suite設定]をクリックします。
4. 各組織グループのライセンス設定をカスタマイズするには、以下の適切な手順に進んでください。

ライセンスユーザーグループのライセンス設定を構成します。

1. 希望するライセンスグループを選択してください ライセンスページの左側にある組織グループの一覧から選択してください。
2. 「アクセス資格」セクションで、 「フルアクセス資格あり」を選択します。
3. 「カスタマイズされた資格基準」の下で、 「即時アクセス」を選択します。
4. [変更を保存] をクリックします。
5. 追加のライセンスグループについても、これらの手順を繰り返してください。

これで、Lucid アプリを再構成するためのすべての手順が完了しました。ライセンス設定は、SCIM 経由で作成された組織グループを通じて管理されるようになりました。

SCIM を使用してユーザーにロールを割り当てる

ユーザーの役割を定義するには、「AccountAdmin」と「BillingAdmin」という文字列を使用します。両方の ロールを に適用するには、連結された文字列を持つ単一のロールではなく、複数のロールを またはグループに割り当てる必要があります。

コンテンツアクセス用のSCIMを設定してください

コンテンツアクセス用のSCIMは、コラボレーションやドキュメント共有の管理に最適です。これにより、IDプロバイダーから直接ユーザーとチームのプロビジョニングおよびプロビジョニング解除を行うことができますが、ライセンス管理は行いません。Okta でコンテンツ アクセス アプリ用の SCIM を設定するには、 「Okta でLucid Suiteの SCIM を設定する」セクションの手順に従ってから、ここに戻ってカスタマイズの手順を続行してください。 グループ。

アカウントのニーズに応じて、部署や所在地などで共有するためのグループ作成をおすすめします。

Oktaの「割り当て」タブでユーザーを割り当てる

1. Oktaで作成したLucid SCIMコンテンツアクセスアプリの「Assignments」タブに移動します。
2. 割り当てページ左上から 「割り当て 」をクリックします。
3. ドロップダウン オプションから、 [グループ化の割り当て]を選択します。
4. 共有に使う予定の関連グループを検索してください。
   • これらは、部署や勤務地に特化したグループのようなものかもしれません。これらは次のセクションで使うプッシュグループと一致させることができます。
   • あるいは、管理者管理用のSCIMで使っている「All ユーザー」グループを使うこともできます。 もし使いたい場合は「 全ユーザーグループを設定する 」セクションを参照してください。
5. [割り当て] をクリックします。

Oktaでプッシュグループにユーザーを追加する

Okta のグループ プッシュを使用すると、管理者はグループを Okta から Lucid にプッシュし、Okta を介して共有する Lucid チームを管理できます。

コンテンツアクセス用の新しいプッシュグループを作成するには、以下のステップをフォローしてください:

1. Okta の Lucid アプリ ページの上部にあるメニューから[プッシュ グループ]タブを選択します。
2. + プッシュグループをクリックします。
3. ドロップダウン オプションから、名前でグループを検索を選択します。
4. 文書共有用のグループを追加・カスタマイズしてください。部署や場所ごとのグループのように見える場合もあります。
5. 別のグループを追加する必要がある場合は、 「保存してさらに追加」をクリックします。
6. 最後のグループを追加したら 「保存 」をクリックします。

Access チーム from Lucid 管理者パネル

作成したグループは、以下の手順に従うことでLucid管理者パネルに表示されます。

1. Lucid管理者パネルに移動します。
2. 左側のナビゲーション メニューから[グループ] を選択します。
3. ドロップダウンメニューから チームをクリックします。

よくある質問 (FAQ)

SCIMを介してユーザーのライセンスを解除すると、ドキュメントはどうなりますか?

SCIM経由でユーザーのライセンスを解除すると、そのユーザーのドキュメントはエンタープライズアカウント上の別のユーザーに転送されます。ドキュメントの転送は、SCIM 経由でライセンスを解除してから 24 時間後に行われます。

デフォルトでは、アカウント管理者が文書の受信者となり、ユーザーの免許解除時に自動的に文書が移管されます。 Lucid 管理者パネルの SCIM インテグレーション設定から、メールアドレスの右側にある 「デフォルトの所有者を変更する 」を選択することで、転送文書の受信者を変更できます。 以下のスクリーンショットを参照してください。

「デフォルト所有者の変更」をクリックすると、管理者パネルの「コンプライアンス設定」ページにリダイレクトされ、アカウントのデフォルトのドキュメント所有者を変更できます。 Lucid 管理者パネル: コンプライアンス設定を参照してください。 詳細については記事をご覧ください。

JIT プロビジョニングは、Lucid のユーザーの更新、削除、非アクティブ化を処理しますか?

いいえ。JITプロビジョニングは、ユーザーの初回ログイン時のみ機能するため、Lucidのユーザーを更新、削除、または無効化することはできません。つまり、SCIM を使用していない場合は、更新、削除、または非アクティブ化を Lucid管理者パネル内で行う必要があります。

ユーザーを更新し、ユーザーを無効化の自動化を許可したい場合は、Just-In-TimeプロビジョニングではなくSCIMを使うべきです。

リソース

この機能の詳細や質問については、以下のその他のリソースをご覧ください。 これらのリソースは英語でのみ利用できます。

コミュニティの投稿

IdP メタデータ証明書を更新する手順 (SSO 証明書の更新)

この記事へのフィードバックをお寄せください