Lucid で Microsoft Entra ID SAML と SCIM を有効化

Microsoft Entra ID で管理者管理用 Lucid アプリを設定する

1. Azure にログインします。
2. ホームページから、左側のナビゲーションメニューでEntra IDをクリックします。
3. 左側のナビゲーションメニューからエンタープライズアプリケーションを選択します。
4. ページ左上の [+新規アプリケーション] をクリックします。
5. 「Lucid」を検索し、Lucid (All Products) タイルを選択します。
   • SCIM の利用を予定している場合は、Entra ID でこのアプリに「Lucid for admin management」とラベルを付けることをおすすめします。SCIM も活用する場合、推奨される Lucid アプリが2つあるためです。
6. [作成] をクリックします。

ここで作成されたアプリは、SAMLとSCIMの両方に使用されます。

Azure Portal で Lucid の SAML インテグレーションを構成

Azure Portal で Lucid の SAML インテグレーションを構成するには、以下の手順に従ってください。

Azure で:

1. Azure ホームページの左側のナビゲーションメニューから [Entra ID] を選択します。
2. 左側のナビゲーションメニューから [エンタープライズアプリケーション] を選択します。
3. Lucid (All Products) アプリを開き、名前を「Lucid for admin management」に変更します。
4. アプリで [シングルサインオンを設定] に移動します。
5. シングルサインオンモードで、[SAML] を選択します。
6. [基本的な SAML 構成] で [編集] を選択します。 
7. エンティティ ID を「lucidchart.com」に変更します。
   • デフォルトは「lucid.app」ですが、これでは機能しません。
8. 商用環境をご利用の場合は、次の内容に合わせて応答 URL とサインオン URL を更新してください。 
   • デフォルトの応答 URL リンク: https://lucid.app/saml/sso/<yourdomainnamehere>
   • セカンダリ返信 URL リンク: https://www.lucidchart.com/saml/sso/<yourdomainnamehere>
   • サインオン URL リンク: https://lucid.app/saml/sso/<yourdomainnamehere> 
     
     
9. FedRAMP 環境をご利用の場合は、使用するサインオン URL とデフォルトの返信 URL について、FedRAMP の概要に関する記事を参照してください。
10. [保存]をクリックします。
11. ユーザー ID が「user.userprincipalname」であることを確認します。 
    • すべての基本的な属性とクレームは、デフォルトですでに設定されているはずです。
12. [保存] をクリックします。
13. 「フェデレーションメタデータ XML」の下にある [ダウンロード] を選択して IdP メタデータを取得します。 
    • XML ファイル (メタデータ) は開かないでください。保存したファイルを Lucid にアップロードします。

Lucid で:

1. [管理者] を選択します。
2. 左側のメニューで [セキュリティ] をクリックします。
3. ドロップダウンオプションから [認証] をクリックします。

4. [SAML 認証を許可] オプションの右側にある [設定] を選択して、Lucid の SAML 有効化ページに移動します。

   • ドメインを入力し、メタデータをアップロードするまで、SAML を有効にすることはできません。

     

5. [Lucidchart サインイン URL] で、ドメイン名を入力します。
   
6. [変更を保存] をクリックします。
7. Lucidchart の SAML 有効化ページで下にスクロールし、Add Identity Provider をクリックします。
8. Entra ID からダウンロードした XML ファイル (メタデータ) をアップロードします。
   • 以前に Lucid にアップロードした Entra ID の IdP メタデータがあり、それを更新する必要がある場合は、SAML の概要の記事の手順に従ってください。
9. Lucid が Microsoft Entra ID と正常に通信していることを確認するには、[SAML 接続をテスト] をクリックします。
   • Entra ID でテストユーザーに Lucid  for admin management アプリが割り当てられている場合にのみ、接続が機能します。アプリページの [割り当て] セクションで、ユーザーにアプリを割り当てることができます。これを行うには、左側の [ユーザーとグループ] に移動し、[割り当て] をクリックします。 
10. セキュリティページに戻ります。 
11. [SAML 認証を許可] の横にあるチェックボックスにチェックを入れます。
12. [変更を保存] をクリックします。
    

Lucid で SAML を有効化した後、接続を完了するには、アカウント管理者が Microsoft Entra ID コンソール内で1回限りの承認を行う必要があります。これが許可されるまで、ログインを試みるユーザーには管理者に問い合わせるよう促すメッセージが表示される場合があります。

Lucid アカウントに SAML 用に追加する ID プロバイダーで、暗号化されたアサーションを使用するオプションがあります。詳細については、SAML の概要に関する記事をご覧ください。

SAML でのログイン時にユーザーを作成

Lucid アカウント用に Microsoft Entra ID で SAML を設定すると、Just-In-Time プロビジョニングを設定して、Entra ID で Lucid へのアクセス権が割り当てられているものの、Lucid アカウントを持っていないユーザーに対して初回ログイン時にアカウントが作成されるようにすることができます。

注: JIT プロビジョニングが意図したとおりに機能するには、ドメイン管理を有効にし、ユーザー検証方法を SAML に設定しておく必要があります。

アプリケーションへ割り当てられたユーザーの新規作成を有効化するには :

1. Entra ID 内の Lucid 管理者管理アプリケーションページの [プロパティ] タブに移動します。
2. ページの最下部までスクロールし、[User Assignment Required?] を [No] に切り替えます。 
3. [保存] をクリックします。
4. [管理] メニューから [ユーザーとグループ] を選択します。 
5. 管理者管理用 Lucid アプリケーション へのアクセスを許可するユーザーやグループを選択し、割り当てます。

ユーザーに許可するアクセス権に応じて、Lucid 管理者パネルの [ライセンス設定] セクションで Just-In-Time プロビジョニングをカスタマイズできます。利用可能なオプションは次のとおりです。

• すべてのユーザーを完全な編集ライセンス付きで Lucidchart アカウントに追加する場合は、次の設定を選択してください。
  • [アクセス資格] セクションで、[完全なアクセス権限の対象] を選択します。
  • [カスタム資格基準] で、[即時アクセス] を選択します。
• すべてのユーザーをアクセス制限付きユーザーとして参加させたい場合は、[アクセス資格] セクションで [制限付きアクセスのみ対象] を選択します。
  • ユーザーは引き続き完全編集ライセンスをリクエストできます。[ユーザーがライセンスをリクエストした際] 設定に応じて、ユーザーがライセンスをリクエストした際に自動的に付与するか、リクエストをユーザーリストの承認待ちライセンスとして表示することができます。

Entra ID で Lucid Suite の SCIM を設定

SCIM を使用して初回のログイン前に Lucid ユーザーを作成し、Lucid 組織グループを使用して Lucid Suite ライセンスを割り当てることができます。ユーザーとグループをプロビジョニングするには、作成した Lucid for admin management アプリで以下の手順に従います。Entra ID でまだ Lucid for admin management アプリを設定 していない場合は、上のセクションで手順を確認できます。

SCIM を設定する前に、Lucid アカウントで以下を完了してください:

• 現行の料金プランでエンタープライズアカウントをご利用中であることを確認してください。アップグレードするには、セールスチームにお問い合わせください。
• ライセンス付与の設定で自動アップグレードが有効になっていることを確認してください。これは、アカウント所有者、または請求管理者とアカウント管理者の両方の役割を持つ管理者のみが行えます。 
  • この設定が有効になっていない場合、SCIM を設定するためのベアラートークンを生成できません。 設定プロセス中に意図しないライセンス付与を防ぐため、ベアラートークンの生成後に自動アップグレードをオフにすることをお勧めします。

上記の事前設定手順を完了したら、Lucid で個別のベアラートークンを生成して Entra ID で使用することで、Entra ID で Lucid Suite 向けの管理者管理向け SCIM とコンテンツアクセスのための SCIM の両方を設定できます。各アプリの違いやメリットの詳細については、Lucid の SCIM の概要に関する記事を参照してください。

Lucid でベアラートークンを取得して SCIM 設定を構成

Entra ID で SCIM プロビジョニングを有効にする前に、Lucid からベアラートークンを取得する必要があります。これは以下の手順で行います。

1. アカウント所有者またはアカウント管理者として Lucid にサインインします。
2. 左側のメニューから [管理者] を選択します。
3. 左側のナビゲーションメニューから [アプリのインテグレーション] をクリックします。
4. 該当する SCIM タイルで [設定] (または [インストール]) を選択します。
   • 両方のアプリを設定するには、管理者管理向け SCIM とコンテンツアクセス用 SCIM について、残りの手順をそれぞれ個別に行う必要があります。アプリごとに個別のベアラートークンを生成します。
5. SCIM を有効化をクリックします。
6. [保存] をクリックします。
7. [トークンを生成] をクリックします。
   • [トークンを生成] がクリックできない場合は、[ライセンス設定]で「使用可能なライセンスがなくなった時点でアカウントを自動アップグレードする」オプションにチェックが入っていることを確認し、もう一度お試しください。
8. ベアラートークンをコピーします。
9. [ID プロバイダからグループを除外] で、右端にある [編集] をクリックします。
10. Entra ID の「すべてのユーザーグループ」および除外したいその他のグループの名前を入力します。
    • 「すべてのユーザーグループ」はおそらく別の名前になっていると思われますが、Microsoft Entra ID グループの名前と完全に一致している必要があります (大文字と小文字は区別されません)。
11. [保存] をクリックします。

Entra ID でインテグレーションを構成し、ベアラートークンを使用

管理者管理向け SCIM、コンテンツアクセスのための SCIM、またはその両方のいずれを使用するかによって、ここでの手順は多少異なります。

管理者管理向け SCIM の設定

Microsoft Entra ID で管理者管理向け SCIM プロビジョニングを有効にするには、以下の手順に従います。

1. Lucid for admin management アプリを開きます。
2. 左側のナビゲーションメニューから [プロビジョニング] を選択します。
3. 使ってみるをクリックします。
4. [プロビジョニングモード] ドロップダウンから [自動] を選択します。
5. [管理者資格情報] で https://users.lucid.app/scim/v2/azure を [テナント URL] に入力します。
6. 管理者管理用の SCIM から Lucid で生成されたベアラートークンを [シークレットトークン] に入力します。
7. [接続をテスト] をクリックします。
   
8. 接続に成功した場合は、[保存] をクリックします。

コンテンツアクセスのための SCIM の設定

1. Entra ID に管理者としてログインします。
2. Azure ホームページの左側のナビゲーションメニューから [Entra ID] を選択します。
3. 左側のナビゲーションメニューから [エンタープライズアプリケーション] を選択します。
4. Lucid (All Products) アプリから新しいアプリを作成し、名前を "Lucid for content access" に変更します。
   • これにより、Entra ID 内のこの Lucid アプリを、上記の手順で使用している可能性がある管理者管理用の Lucid SCIM アプリと区別できるようになります。
5. 左側のナビゲーションメニューから [プロビジョニング] を選択します。
6. 使ってみるをクリックします。
7. [プロビジョニングモード] ドロップダウンから [自動] を選択します。
8. [管理者資格情報] で https://users.lucid.app/scim/v2/azure を [テナント URL] に入力します。
9. 上記の手順で「Lucid for content access」タイルから取得したトークンを使用して、「シークレットトークン」にベアラートークンを入力します。
10. [接続をテスト] をクリックします。
    
11. 接続に成功した場合は、[保存] をクリックします。

管理者管理向け SCIM を設定

管理者管理向け SCIM 用に設定したグループは、属性管理（コストセンター、地域など）を含め、ライセンス管理や詳細な管理者コントロールを大規模に管理するために使用されます。これらのグループを使用して、会社の階層を反映するようにユーザーや Lucid 組織グループを自動的にプロビジョニングすることもできます。

ユーザーグループを作成する

次の手順に従って、新しいグループまたは追加のグループを作成します。

1. Azure ホームページの左側にあるナビゲーションメニューから [Entra ID] を選択します。
2. 左側のメニューから [グループ] を選択します。
3. 以下の手順に従って、ライセンスユーザーグループを作成してください。

ライセンスグループを作成する

1. [新規グループ] をクリックします。
2. 次の設定を更新してください。
   • グループ名 : [希望する名前を入力してください]
   • 必要に応じて、グループの説明を入力できます。
3. [作成] をクリックします。
4. 必要なライセンスグループの数だけこれらの手順を繰り返します。

Lucid for admin management アプリにグループを割り当て

これで、前のセクションで作成したユーザーグループを、以下の手順で Lucid for admin management アプリに割り当てることができます。

1. Entra ID の Lucid for admin management アプリに移動します。
2. [ユーザーとグループ] をクリックします。
3. このセクションの残りの指示に従って、両方のグループを適切に割り当ててください。

「すべてのユーザー」グループを割り当てる

これは、会社の現在および新規のすべてのユーザーが自動的に追加されるグループにする必要があります。これにより、SAML が設定されている場合、割り当てられたすべてのユーザーが Lucid アプリケーションにサインインできるようになります。また、このグループ内のすべてのユーザーをデフォルトの Lucid 組織グループにプロビジョニングするために使用されます。

この「すべてのユーザー」グループを設定するには、以下の手順に従います。

1. ユーザー/グループを追加をクリックします。
2. [ユーザーとグループ] で、[選択なし]をクリックします。
3. Entra ID で「すべてのユーザー」グループを検索します。 
   • この例では「すべてのユーザー」という名前を使用しますが、実際には異なる名前になっている可能性があります。
4. グループを選択してください。
5. [選択] をクリックします。
6. [割り当て] をクリックします。
   

「ライセンスユーザー」グループを割り当て

これらのグループは、グループのメンバーシップに基づいて Lucid でユーザーにライセンスを割り当てるために使用されます。

この「ライセンスユーザー」グループを設定するには、以下の手順に従います。

1. ユーザー/グループを追加をクリックします。
2. [ユーザーとグループ] で、[選択なし]をクリックします。
3. 目的のライセンスグループを検索します。
4. グループを選択してください。
5. [選択] をクリックします。
   
6. ページの左下にある [割り当て] をクリックします。

プロビジョニングのテスト

上記で詳しく説明したすべての設定を保存した後、アプリケーションをテストして適切に機能することを確認してください。これは以下の手順で行います。

1. テストユーザーをいずれかのライセンスグループに割り当てます。
2. Lucid for admin management アプリを開きます。
3. 左側のナビゲーションメニューから [プロビジョニング] を選択します。
4. ページ上部のメニューから [オンデマンドプロビジョニング] をクリックします。
5. ライセンスグループに割り当てたテストユーザーの名前を入力します。
6. プロビジョニングをクリックします。

すべてが意図したとおりに機能している場合は、すべてのステップの横に緑色のチェックマークが表示されます。変更した属性によって、ユーザー名、メールアドレスなどの値が正常に取り込まれたことも確認できます。

チェックマークアイコンが表示されない場合は、上記の設定手順を確認してください。テストでユーザーが正常にプロビジョニングされた場合は、次のセクションに進んでください。

Microsoft Entra ID でプロビジョニングを有効にする

SCIM の設定手順を完了し、プロビジョニングテストが正常に実行されたら、プロビジョニングを有効化できます。以下の手順で行います。

1. Entra ID の Lucid for admin management アプリに戻ります。
2. [プロビジョニング] ページを開きます。
3. [プロビジョニングを開始] をクリックします。
4. Entra ID がユーザー、グループ、メンバーシップを Lucid にプロビジョニングする間、お待ちください。
   • [現在のサイクルのステータス] が100%完了と表示されたら、次のセクションに進みます。

Lucid で Microsoft Entra ID グループを組織グループとして表示する

Lucid で管理者管理グループの想定される Microsoft Entra ID が組織グループとして表示されていることを再確認します。これにより、移行が成功したことが確認されます。Lucid の組織グループページにアクセスするには、次の手順に従います。

1. Lucid 管理者パネルに戻ります。
2. 左側のナビゲーションメニューから [グループ] を選択します。
3. ドロップダウンメニューから [組織グループ] をクリックします。

このセクションに進む前に確認することをお勧めしますが、Entra ID のプロビジョニングが完了していれば、Lucid 管理者パネルのこのページに、管理者管理用 Lucid SCIM アプリの Microsoft Entra ID グループが組織グループとして表示されているはずです。

Entra ID で、組織グループから All Users グループ（および該当する他のグループ）を除外する手順を正常に実行した場合、そのグループは Lucid 管理者パネルには表示されません。ライセンスユーザーを割り当てるために作成した組織グループのいずれにも追加されていないユーザーは、代わりに自動的に「デフォルトの組織グループ」に追加されます。

グループごとにライセンス設定を構成

プロセスのこの段階では、各組織グループのライセンス設定を構成できます。これにより、ユーザーがこれらのグループのいずれかに追加または削除された際に、意図したとおりにライセンスが付与または解除されるようになります。ライセンス設定にアクセスするには、以下の手順に従います。

1. Lucid 管理者パネルに移動します。
2. 左側のナビゲーションメニューから [ライセンス設定] を選択します。
3. ドロップダウンメニューから [Lucid Suite 設定] をクリックします。
4. 各組織グループのライセンス設定をカスタマイズするには、以下の該当する手順に進んでください。

ライセンスユーザーグループ用に設定されたライセンス設定 :

1. ライセンスページの左側にある組織グループのリストから、目的のライセンスグループを選択します。
2. [アクセス資格] セクションで、[完全なアクセス権限の対象] を選択します。
3. [カスタム資格基準] で、[即時アクセス] を選択します。
4. [変更を保存] をクリックします。
5. 追加のライセンスグループごとに、これらの手順を繰り返します。

これで、Lucid for admin management アプリを正常に設定するためのすべてのステップが完了しました。今後は、SCIM 経由で作成された組織グループを通じてライセンス設定が管理されます。