セキュリティ実装ガイド
j接続アプリケーションのユーザプロビジョニング
| 使用可能なエディション: Salesforce Classic と Lightning Experience の両方 |
|
接続アプリケーションを作成可能なエディション: Group Edition、Professional Edition、Enterprise Edition、Performance Edition、Unlimited Edition、および Developer Edition 接続アプリケーションをインストール可能なエディション: すべてのエディション |
| 必要なユーザ権限 | |
|---|---|
| 参照する | 「アプリケーションのカスタマイズ」 |
| 作成、更新または削除する | 「アプリケーションのカスタマイズ」および 「すべてのデータの編集」または「接続アプリケーションの管理」のいずれか |
| プロファイル、権限セット、およびサービスプロバイダの SAML 属性以外のすべての項目を更新する | 「アプリケーションのカスタマイズ」 |
| プロファイル、権限セット、およびサービスプロバイダの SAML 属性を更新する | 「アプリケーションのカスタマイズ」および「すべてのデータの編集」 |
| アンインストールする | 「AppExchange パッケージのダウンロード」 |
接続アプリケーションは、ユーザをサードパーティサービスおよびアプリケーションにリンクします。接続アプリケーションのユーザプロビジョニングでは、それらのサービスおよびアプリケーションのユーザアカウントを作成、更新、および管理できます。この機能により、Google Apps などのサービスのアカウント作成が簡略化され、Salesforce ユーザのアカウントがサードパーティアカウントにリンクされます。これらのアカウントがリンクされたら、アプリケーションランチャーを設定し、ユーザがアプリケーションランチャーの接続アプリケーションアイコンをクリックして、対象サービスに瞬時にアクセスできるようにします。
ユーザプロビジョニングは、設定された接続アプリケーションへのアクセス権を付与するプロファイルまたは権限セットに割り当てられたユーザのみに適用されます。たとえば、組織の Google Apps 接続アプリケーションのユーザプロビジョニングを設定できます。次に、その接続アプリケーションに「従業員」プロファイルを割り当てます。組織で新規ユーザが作成されて「従業員」プロファイルが割り当てられると、そのユーザは自動的に Google Apps でプロビジョニングされます。また、このユーザが無効化された場合やプロファイルの割り当てが変更された場合は、このユーザの Google Apps のプロビジョニングが自動的に解除されます。
Salesforce のウィザードに従って、各接続アプリケーションのユーザプロビジョニングを設定します。
さらに、レポートを実行すれば、すべての接続アプリケーションのすべてのユーザアカウントをまとめた一元ビューで、特定のサードパーティアプリケーションへのアクセス権があるユーザを確認できます。
ユーザプロビジョニング要求
ユーザプロビジョニングを設定後は、Salesforce がサードパーティシステムの更新要求を管理します。Salesforce が、組織の特定のイベントに基づいて、ユーザプロビジョニング要求を UI または API コールのいずれかでサードパーティシステムに送信します。次の表に、ユーザプロビジョニング要求をトリガするイベントを示します。
| イベント | 操作 | オブジェクト |
|---|---|---|
| ユーザの作成 | Create | User |
| ユーザの更新 (選択した属性) | Update | User |
| ユーザの無効化 | Deactivate | User |
| ユーザの有効化 | Activate | User |
| ユーザの凍結 | Freeze | UserLogin |
| ユーザの凍結解凍 | Unfreeze | UserLogin |
| ユーザの再有効化 | Reactivate | User |
| ユーザプロファイルの変更 | Create/Deactivate | User |
| ユーザへの権限セットの割り当て/割り当て解除 | Create/Deactivate | PermissionSetAssignment |
| 接続アプリケーションへのプロファイルの割り当て/割り当て解除 | Create/Deactivate | SetupEntityAccess |
| 接続アプリケーションへの権限セットの割り当て/割り当て解除 | Create/Deactivate | SetupEntityAccess |
操作値は、UserProvisioningRequest オブジェクトに保存されます。Salesforce は、要求をすぐに処理することも、承認プロセスが完��するまで待機することもできます (ユーザプロビジョニングウィザードの手順で承認プロセスを追加した場合)。要求を処理するために、Salesforce は、[ユーザプロビジョニング] 種別のフローを使用します。このフローには、Apex の UserProvisioningPlugin クラスへの参照が含まれます。フローが、サードパーティサービスのユーザアカウントプロビジョニングを管理する API をコールします。
Active Directory のイベントに基づいてユーザプロビジョニング要求を送信する場合は、Salesforce Identity Connect を使用して、これらのイベントを取得し、Salesforce 組織に同期させます。次に、Salesforce がユーザをプロビジョニングまたはプロビジョニング解除するユーザプロビジョニング要求をサードパーティシステムに送信します。
制限事項
- エンタイトルメント
- サービスプロバイダのロールと権限は、Salesforce 組織で管理または保存することはできません。したがって、サービスプロバイダのリソースに対する特定のエンタイトルメントは、ユーザプロビジョニングが有効化されたサードパーティアプリケーションへのアクセスをユーザが要求するときには含まれていません。サービスプロバイダのユーザアカウントは作成できますが、そのユーザアカウントの追加ロールまたは権限はサービスプロバイダ経由で管理する必要があります。
- 定期的なアカウント調整
- サードパーティシステムのユーザを収集および分析するたびに、ユーザプロビジョニングウィザードを実行します。自動的な収集および分析の間隔を設定することはできません。
- アクセスの再認証
- ユーザのアカウントが作成された後、サービスプロバイダのリソースへのユーザアクセスの検証はサービスプロバイダで実行する必要があります。