Lucid を Okta と統合すると、ユーザーは Okta を介した SAML シングルサインオンを使用して認証できます。さらに、SCIM 統合により、管理者は Lucid にサインインすることなく、Okta 自身内でユーザーを作成し、ユーザーのプロビジョニングとプロビジョニング解除を行うことができます。以下のチュートリアルでは、Okta を Lucid と統合するプロセスについて説明します。この統合を完了するには、Okta と Lucid の両方で管理者権限が必要です。

無料版	個人向け	チーム	エンタープライズ	FedRAMPの
				*

*Lucid GovSuite アカウントで Okta の SAML または SCIM 統合をセットアップするには、カスタムアプリを構成する必要があります。手順については、 SAML および SCIM ガイド「Lucid の FedRAMP 環境用に Okta でカスタムアプリを有効にする」コミュニティ投稿をご覧ください。

アップグレードの手順については、記事「Lucid アカウントのアップグレード」を参照してください。

Lucid の SAML インテグレーションを設定する

Lucidchart、Lucidspark、どちらをお使いの場合でも、以下の手順に従ってください。

Oktaでは。

Okta Integrations Networkをブラウズし、"Lucid "を検索します。
- Lucidアプリを Okta に追加した後、Okta インスタンスのエンドユーザーが Okta を介して SAML サインオンを使用して認証できるように SAML 統合を構成できます。
Okta の Lucid アプリの一般設定セクションで、表示する Lucid アプリ (Lucidchart および/または Lucidspark) を選択します。それぞれがユーザーのアプリギャラリーに表示され、IdP によるサインオンが容易になります。
Okta の [サインオン] タブで、右上隅にある [編集] をクリックします。
サインオン方法としてSAML 2.0を選択します。
[高度なサインオン設定] に SAML ドメイン名を入力します。
- SAML ドメイン名は会社固有のドメインであり、アカウントのサインオン/ACS URL に使用されます。
- 完全な URL ではなく、必ずドメインのみを入力してください。たとえば、サインオンURLがhttps://lucid.app/saml/sso/helpcenterdemo.comの場合、 helpcenterdemo.com にアクセスしてください。
Okta メタデータにアクセスするには、SAML 署名証明書に移動します。
「 アクション」をクリックします。
IdPメタデータの表示を選択します。
開いたタブを右クリックし、[名前を付けて保存] を選択してメタデータをダウンロードし、XML ファイルとして保存します。
- この XML ファイル (メタデータ) には、Lucid が Okta と通信するために必要な命令が含まれています。保存したファイルをLucidにアップロードします。

ルシードでは

Admin を選択します。
左側のメニューで [ セキュリティ ] をクリックします。
ドロップダウンから [認証]を選択します。
「SAML 認証を許可する」オプションの右側にある「構成」を選択して、Lucid の「SAML アクティベーション」ページに移動します。ドメインにデータを入力してメタデータをアップロードするまで、SAML を有効にすることはできません。
["Lucidchart サインイン URL] で、"ドメイン名を入力します。
- これは、Oktaの[サインオン]セクションで入力した内容と一致する必要があります。使用しているドメインがまだ使用されていないことを確認してください。これにより、XML ファイルが正しくアップロードされません。
クリック Save Changes.
Lucid の [SAML アクティブ化] ページを下にスクロールし、[ ID プロバイダーの追加] をクリックして、Okta からダウンロードした XML ファイルをアップロードします。
- メタデータは次のフィールドに入力されます。
Test SAML Connection をクリックして、Lucid が Okta と正しく通信していることを確認する。
- 接続は、LucidアプリがOktaのテストユーザーに割り当てられている場合にのみ機能します。アプリページの [割り当て] セクションで、アプリをユーザーに割り当てることができます。
[認証] ページに戻ります。
[SAML" 認証を許可する] の横にあるチェックボックスをオンにします"。
[変更を保存] をクリックします。

SAML 用に Lucid アカウントに追加する ID プロバイダーに暗号化されたアサーションを使用するオプションがあります。詳細については、 SAML の概要に関する記事を参照してください。

注: 上記のサインインオプションとして許可する方法を確認した後、Lucid で [既定の認証] 方法を選択できます。ユーザーは、[認証] ページで設定した既定の認証を使用してサインインするように求められます。

SAML を使用したログイン時にユーザーを作成する

Lucidchart アカウント用に Okta で SAML を設定したら、ジャストインタイム (JIT) プロビジョニングを設定して、Okta で Lucidchart アクセスを割り当てられたが Lucidchart アカウントを持っていないユーザーの初回ログイン時にアカウントが作成されるようにすることができます。

注：このプロビジョニングが機能するには、ドメインコントロールが有効になっている必要があります。

ジャストインタイムプロビジョニングは、Lucid 管理パネルの [ ライセンス設定 ] セクションで設定できます。

すべてのユーザーにフル編集ライセンスを付与して Lucidchart アカウントにアクセスさせたい場合は、次の設定を選択します。
- 「アクセス資格」セクションで、 フルアクセスの資格があります。
- 「カスタマイズされた資格基準」の下で、 即時アクセス。
すべてのユーザーを制限付きアクセスユーザーとしてアクセスさせたい場合は、「アクセス資格」セクションで「制限付きアクセスのみ対象」を選択します。
- ユーザーは引き続きフル編集ライセンスをリクエストできます。「ユーザーがライセンスをリクエストしたとき」の設定に応じて、ユーザーのリクエスト時にライセンスを自動的に付与したり、リクエストをユーザーリストで保留中のリクエストに変換したりできます。

手記： 管理者にライセンスを要求するユーザーがいる場合は、カスタム要求ダイアログを表示することを強くお勧めします。

ジャストインタイム（JIT）プロビジョニングによるユーザー属性の追加

JIT プロビジョニングでは、Okta インスタンスで Lucidchart アクセス権を割り当てられたユーザーが初めて Lucid にログインしたときに、SAML プロトコルを使用して Lucid ユーザーを作成します。また、ユーザーの名、姓、電子メールアドレスなど、これらのユーザーの追加属性をLucidに送信するように SAML を構成することもできます。

注意:ライセンス値は、JIT プロビジョニング経由で Lucid に送信できません。つまり、Lucid の JIT プロビジョニングはユーザーの最初のログイン時にのみ機能するため、JIT プロビジョニングを使用してユーザーを更新、削除、または非アクティブ化することはできません。更新、削除、または非アクティブ化は、 Lucid管理者パネルのユーザー管理ページから手動で行う必要があります。

名、姓、電子メールの属性を構成するには、次の手順に従います。

Okta アカウントにログインします。
OktaのLucidアプリに移動します
[サインオン]タブを選択します。
[サインオン] セクションの右上隅で、 [編集]を選択します。
「属性（オプション）」の左側にある矢印をクリックしてメニューを展開します。
ユーザーの名を設定します。
- 名前フィールドにタイトルを追加します。この値は、「値」ドロップダウンセクションと一致する必要はありません。
- 名前の形式フィールドで、ドロップダウンリストから「未指定」を選択します。
- 「値」の下のドロップダウンメニューをクリックします。
- ドロップダウンから「ユーザー.firstName」を選択します。
別のフィールドを追加するには、 「別のフィールドを追加」をクリックします。
以下に示す名前フィールドと値フィールドを指定して、姓と電子メールに対して手順 8 ～ 9 の手順を繰り返します。
- ユーザーの姓を追加するには:
  - 名前フィールドにタイトルを追加します。
  - 「値」フィールドのドロップダウンから「User.lastName」を選択します。
- ユーザーのメールを追加するには:
  - メール名フィールドにタイトルを追加します。
  - [値フィールド] ドロップダウンから[User.email]を選択します。
これらの手順で説明したユーザー属性を追加すると、Okta ページは次のようになります。
この内部ウィンドウの一番下までスクロールします。
[保存] をクリックします。

これで、ユーザーが初めてサインインして Lucid アカウントを作成するときに、名、姓、電子メールアドレスの値が適切に設定されるようになります。

OktaでLucid SuiteのSCIMを設定する

Okta 経由で最初にログインする前にユーザーを作成するには、以下の手順に従ってLucid SCIM 統合をセットアップします。

注:この記事の SCIM 設定手順は、 Lucid Enterprise アカウントで初めて SCIM を設定する場合に適用されます。 2024 年 10 月 22 日より前にすでに SCIM を使用していた場合は、新しい組織グループエクスペリエンスに移行する必要があります。手順については、 Okta 移行に関する記事を参照してください。

SCIM を設定する前に、Lucid アカウントで次の操作を行ってください。

最新の料金プランの Enterprise アカウントを使用していることを確認します。アップグレードするには、営業担当者にお問い合わせください。
ライセンス設定で自動アップグレードが有効になっていることを確認します。この設定が有効になっていない場合、SCIM を設定するためのベアラートークンを生成することはできません。ベアラートークンの生成後に自動アップグレードをオフにして、設定プロセス中に不要なライセンスが許可されないようにします。

上記の事前構成手順を実行したら、Lucid でベアラートークンを生成し、それを Okta で使用することで、Okta で Lucid Suite の SCIM を構成できます。

SCIMを有効にしてLucidでベアラートークンを生成する

アカウント管理者またはアカウント管理者としてLucidにログインします。
左側のメニューから「管理者」を選択します。
左側のナビゲーションメニューで[アプリの統合]を選択します。
SCIM タイルで、 [設定]を選択します。
アカウントの自動アップグレードをまだ有効にしていない場合は、「利用可能なライセンスがなくなったときにアカウントを自動的にアップグレードする」のトグルをオンにします。
SCIM を有効にするをクリックします。
ベアラートークンセクションで、 [トークンの生成] をクリックします。
ベアラートークンをコピーします。

Okta で統合を構成し、ベアラートークンを使用する

管理者として Okta にログインします。
管理 UI を開きます。
プロビジョニングタブに移動します。
「API 統合の構成」をクリックします。
「API 統合を有効にする」の横のボックスにチェックを入れます。
- Lucid によって生成されたコードを追加できるテキストフィールドが表示されます。
Lucid によって生成されたベアラートークンを API トークンフィールドに貼り付けます。
[保存] をクリックします。

Lucidと Okta の接続が確立されたら、SCIM に対して有効にする統合ポイントを選択し、SCIM 接続の使用を開始してユーザーを作成し、ユーザーにライセンスを割り当てることができます。詳細については、以下のセクションを参照してください。

詳細:タイトルと部門のオプションのフィールドマッピングを設定することで、Lucid でのチームコラボレーションとツールの推奨を改善します。手順を確認するには、 Okta SCIM フィールドマッピングのコミュニティ投稿をお読みください。

すべてのユーザーグループを設定する

Okta ですべてのユーザーグループを設定するには、次の手順に従います。

Okta の Lucid アプリケーションの「割り当て」タブに移動します。
[割り当て] ページの左上にある[割り当て]をクリックします。
ドロップダウンオプションから、 [グループ化の割り当て]を選択します。
左側の「フィルター」メニューから、 「グループ」をクリックします。
「すべてのユーザー」グループを検索します。
- 「すべてのユーザー」グループ (会社によって名前が異なる可能性があります) は、通常、会社のすべてのユーザーをこの Okta アプリケーションに割り当てるために使用されるため、重要です。これにより、ユーザーはサインインして、メインの Okta アプリケーションページ内でチックレットを表示できるようになります。
[割り当て] をクリックします。

注:次のセクションでライセンスおよびライセンス解除のプッシュグループを作成した後、どのプッシュグループに属するかに関係なく、アカウントの各ユーザーは「すべてのユーザー」グループに属する必要があります。

グループプッシュによるライセンスの割り当てとライセンス解除のグループ

Okta のグループプッシュを使用すると、管理者は Okta から Lucid にグループをプッシュし、Okta を通じて Lucid 組織グループを管理できます。これらの Okta プッシュグループは、Lucid でユーザーのライセンスを付与および解除するためにも使用されます。

Lucid 組織グループと連携する新しいプッシュグループを作成するには、次の手順に従います。

Okta の Lucid アプリページの上部にあるメニューから[プッシュグループ]タブを選択します。
+ プッシュグループをクリックします。
ドロップダウンオプションから、名前でグループを検索を選択します。
次のグループをカスタマイズすることをお勧めします。
- 「 Lucid Suiteライセンスユーザー」グループ: このグループは、グループのメンバーシップに基づいてユーザーにLucidのライセンスを割り当てるために使用されます。
  - このグループに割り当てられたユーザーは、ユーザーにライセンスを付与するために使用されるため、他の制限付きアクセス、読み取り専用、またはライセンス解除グループにも割り当てることはできません。
- 「 Lucid Suite Limited Access」グループ: このグループは、ライセンスユーザーグループからユーザーにライセンスを取得し、他のユーザーが使用できるライセンスを解放するために使用されます。
  - このグループに割り当てられたユーザーは、ユーザーからライセンスを削除するために使用されるため、「ライセンスユーザー」グループにも割り当てることができません。
別のグループを追加する必要がある場合は、 「保存してさらに追加」をクリックします。
最後のグループを追加したら、 「保存」をクリックします。

注意:ユーザーは 1 つの組織グループにのみ所属でき、したがって一度に所属できるプッシュグループは 1 つだけです。ただし、ライセンスおよびライセンス解除のユーザーグループは必要な数だけ作成できます。

Okta プッシュグループを Lucid の組織グループとして表示する

プロセスのこの段階では、Lucid の組織グループとして期待される Okta プッシュグループが表示されていることを再確認することをお勧めします。これにより、移行が成功したことが確認できます。 Lucid の組織グループページにアクセスするには、次の手順に従います。

Lucid管理者パネルに移動します。
左側のナビゲーションメニューから[グループ] を選択します。
ドロップダウンメニューから、 [組織グループ]をクリックします。

Lucid管理者パネルのこのページには、Okta プッシュグループが組織グループとして表示されます。

Lucid Suite -scim-ユーザーグループがLucid内の組織グループとして表示されます .png

各グループのライセンス設定を構成する

これで、組織グループごとにライセンス設定を構成する準備が整いました。これにより、ユーザーがいずれかのグループに追加されたり、いずれかのグループから削除されたりするときに、適切にライセンスが付与または解除されることが保証されます。

ライセンス設定にアクセスするには、次の手順に従います。

Lucid管理者パネルに移動します。
左側のナビゲーションメニューから[ライセンス設定]を選択します。
ドロップダウンメニューから、 Lucid Suite設定]をクリックします。
各組織グループのライセンス設定をカスタマイズするには、以下の適切な手順に進んでください。

ライセンスユーザーグループのライセンス設定を構成します。

ライセンスページの左側にある組織グループのリストから、 Lucid Suiteライセンスユーザー」をクリックします。
「アクセス資格」セクションで、 「フルアクセス資格あり」を選択します。
「カスタマイズされた資格基準」の下で、 「即時アクセス」を選択します。
[変更を保存] をクリックします。

注:これらの設定により、SCIM 経由でこのグループに追加されたすべてのユーザーは、Lucid Suite ライセンスを自動的に受け取るようになります。

制限付きアクセスグループのライセンス設定を構成します。

ライセンスページの左側にある組織グループのリストからLucid Suite Limited Access ユーザー] をクリックします。
[アクセス資格] セクションで、 [制限付きアクセスのみ対象]を選択します。
[変更を保存] をクリックします。
表示されるポップアップウィンドウに、このグループの現在のメンバーと将来のメンバー全員が Lucid によってライセンス解除されることが通知されます。
- このグループの目的は、アクセスが制限されたユーザーをここでホストすることなので、これは予想されたことです。
上記の規定とこのポップアップ確認ウィンドウの規定に同意する場合は、 「変更を保存」をクリックします。

これで、Lucid アプリを再構成するためのすべての手順が完了しました。ライセンス設定は、SCIM 経由で作成された組織グループを通じて管理されるようになりました。

SCIM を使用してユーザーにロールを割り当てる

ユーザーの役割を定義するには、文字列 "チーム管理者" と "請求管理者" を使用します。両方の管理者ロールをユーザーに適用するには、文字列を連結した単一のロールではなく、ユーザーまたはグループに複数のロールを割り当てる必要があります。

手記： 上記の文字列は、これらのユーザーロールで表される大文字と小文字と一致する必要があります。 Lucid 管理者パネルでは、チーム管理者ロールの名前がアカウント管理者に変更されていることに注意してください。

よくある質問 (FAQ)

SCIMを介してユーザーのライセンスを解除すると、ドキュメントはどうなりますか?

SCIM 経由でユーザーのライセンスを解除または削除する場合、その文書をエンタープライズアカウント上の別のユーザーに転送する必要があります。
デフォルトでは、ユーザーのライセンス解除または削除時に自動的に転送される文書の受信者はアカウント所有者になります。転送された文書の受信者を変更するには、Lucid 管理者パネルの SCIM インテグレーション設定に移動し、電子メールアドレスの右側にある[デフォルト所有者の変更]を選択します。参考までに下のスクリーンショットをご覧ください。

「デフォルトの所有者の変更」をクリックすると、管理者パネルの「コンプライアンス設定」ページにリダイレクトされ、アカウントのデフォルトの文書所有者を変更できます。 Lucid 管理者パネル: コンプライアンス設定を参照してください。詳細については記事をご覧ください。

SCIMを介したドキュメント受信者の変更または削除またはライセンスユーザー.png

JIT プロビジョニングは、Lucid のユーザーの更新、削除、非アクティブ化を処理しますか?

いいえ。JIT プロビジョニングは、ユーザーの最初のログイン時にのみ機能するため、Lucid でユーザーを更新、削除、または非アクティブ化することはできません。つまり、更新、削除、非アクティブ化はすべてLucid管理者パネルで手動で行う必要があります。

ユーザーを更新し、ユーザーの削除や非アクティブ化を自動化できるようにするには、ジャストインタイムプロビジョニングではなく SCIM を使用する必要があります。

リソース

この機能の詳細や質問については、以下のその他のリソースをご覧ください。これらのリソースは英語でのみ利用できます。

コミュニティの投稿

IdP メタデータ証明書を更新する手順 (SSO 証明書の更新)

この記事へのフィードバックをお寄せください

この記事に関するフィードバックはありますか？体験の内容についてこちらから教えてください。

関連記事