Microsoft Entra ID の PowerDMARC アプリケーションからユーザーを削除すると、SCIM プロビジョニングによって、PowerDMARC でもそのユーザーが非アクティブ化されるはずです。この記事では、アプリケーションから割り当てが解除されたユーザー、または Entra ID で削除されたユーザーが、PowerDMARC でも非アクティブ化（ソフト削除）されるように、アクティブ属性のマッピングを設定する方法について説明します。
これが重要な理由：このマッピングを行わないと、Entra IDで利用停止処理を行ったユーザーでも、PowerDMARCではアクティブな状態のままとなり、アカウントへのアクセス権を維持してしまう可能性があります。
始める前に
- Microsoft Entra ID と PowerDMARC 間の SCIM プロビジョニングは、あらかじめ設定済みである必要があります。設定されていない場合は、 「Microsoft Entra ID 向け SCIM 構成ガイド」 に従ってください。
- Entra ID では、エンタープライズアプリケーションのプロビジョニング設定を編集できるロール（「アプリケーション管理者」や「クラウドアプリケーション管理者」など）が必要です。
プロビジョニング解除の仕組み
| Microsoft Entra ID での操作 | PowerDMARCでの結果 |
|---|---|
| PowerDMARCアプリケーションからユーザーが割り当て解除されました | ユーザーが無効化されました（ソフト削除されました） |
| Entra ID でユーザーが削除されました | ユーザーが無効化されました（ソフト削除されました） |
| ユーザーがアプリケーションに再割り当てされます | ユーザーのアカウントが再開されました |
変更は、通常40分ごとに実行される次のプロビジョニングサイクルで反映されます。変更をすぐに反映させるには、「オンデマンドでのプロビジョニング」を使用してください（ 構成の確認を参照）を使用してください。
アクティブマッピングの設定
アプリケーションを開きます。Microsoft Entra 管理センターで、[アプリケーション] > [エンタープライズ アプリケーション] >[すべてのアプリケーション] の順に移動し、PowerDMARC アプリケーションを選択します。- ユーザー属性マッピングを開きます。
「プロビジョニング」>「属性マッピング」に移動し、「Microsoft Entra ID ユーザーのプロビジョニング」を選択します。 - アクティブなマッピングを編集または追加する
- 「customappsso」属性の下に「active」がすでに表示されている場合は、その横にある「編集」をクリックしてください。
- そうでない場合は、「新しいマッピングを追加」をクリックしてください。
- 以下の設定を入力してください
フィールド 価値 マッピングの種類 表現 表現 Not([IsSoftDeleted]) null の場合のデフォルト値 空欄のままにしてください ターゲット属性 アクティブ この属性を使用してオブジェクトを照合する いいえ このマッピングを適用する いつも - 変更を保存します。
[OK] をクリックし、[属性マッピング] ページの上部にある[保存] をクリックします。
| 警告 | 各ターゲット属性には、1つのマッピングしか設定できません。もし「active」が現在「accountEnabled」にマッピングされている場合は、そのマッピングを編集して置き換えてください。2つ目のマッピングを追加しないでください。 |
|---|
最終的なユーザー属性のマッピングは、次のような形になるはずです：
| customappsso 属性 | Microsoft Entra ID の属性 | 演算子の優先順位 |
|---|---|---|
| ユーザー名 | メール | 1 |
| アクティブ | Not([IsSoftDeleted]) | |
| 表示名 | 表示名 | |
| userType | SingleAppRoleAssignment([appRoleAssignments]) |
設定の確認
組織全体でこのマッピングを利用する前に、まず1人のユーザーでテストを行ってください。
- Entra ID で、PowerDMARC アプリケーションにテストユーザーを割り当てます。
- [プロビジョニング] > [オンデマンドプロビジョニング] に移動し、テストユーザーを検索して、[プロビジョニング] をクリックします。
- PowerDMARCの「設定」＞「ユーザー」で、そのユーザーが「アクティブ」と表示されていることを確認してください。
- Entra ID の「ユーザーとグループ」で、アプリケーションからテストユーザーを削除してください。
- テストユーザーに対して、オンデマンドのプロビジョニングを再度実行してください。
- PowerDMARCで、そのユーザーが現在無効化されていることを確認してください。
留意点
| 注 | Entra ID で、アプリケーションへの割り当てを維持したままユーザーのサインインを無効化しても、PowerDMARC ではそのユーザーは非アクティブ化されません。ユーザーを非アクティブ化するには、Entra ID でそのユーザーをアプリケーションから割り当て解除するか、削除してください。 |
|---|
| 注 | 無効化されたユーザーは、完全に削除されるのではなく、一時的に削除されます。そのユーザーをアプリケーションに再割り当てすると、次回のプロビジョニングサイクルで再有効化されます。 |
|---|
関連記事
さらにサポートが必要な場合は、以下のサイトをご覧ください。 support.powerdmarc.com 、またはPowerDMARCのアカウントマネージャーまでお問い合わせください。
この記事にある2つのNOTE文については、公開する前にまだ確認が必要です：
- ユーザーのサインインを無効にしても、そのユーザーは非アクティブ化されません。 Not([IsSoftDeleted])はそのように動作すると思いますが、実際にテストした人はいません。簡単なテストの結果、サインインの無効化によってユーザーが非アクティブ化されることが判明した場合は、そのメモを削除してください。
- ユーザーを再割り当てすると、そのユーザーは再有効化されます。これはSCIMの標準的な動作ですが、ジェレミーは非有効化のみをテストしました。念のため、こちら側で簡単な再割り当てテストを行ってください。
Entra ID から削除されたユーザーの無効化
このガイドで紹介するアクティブマッピング（accountEnabled）は、Microsoft Entra ID でユーザーのアカウントが無効化された場合に、PowerDMARC でのそのユーザーのアカウントを無効化します。ただし、アプリケーションから割り当てが解除されたユーザーや、Entra ID で削除されたユーザーについては、無効化されません。
アプリケーションからユーザーを削除したり、アカウントを削除したりしてユーザーをオフボードする場合は、「Microsoft Entra ID を使用した SCIM プロビジョニング解除：削除されたユーザーを自動的に無効化」を参照してください。
| 注 | 各ターゲット属性には、1つのマッピングのみを設定できます。組織におけるユーザーの退社手続きの方法に合わせて、有効なマッピングを選択してください。 |
|---|
2つの記事がセットとして読めるよう、新しい記事に修正を加えました
- 冒 頭の段落。「これは、 『Microsoft Entra ID 用 SCIM 構成ガイド』に記載されている『accountEnabled』マッピングに代わるものです。同マッピングでは、アカウントが無効化されているユーザーのみを無効化していました。」
- 「accountEnabled」のマッピングを置き換えることに関する警告は残しておいてください。元のガイドからこのページにたどり着いた人は、すでにそのマッピングを設定済みであるため、これが重要なポイントとなっています。
- 最初の「注」を次のように変更 してください：「このマッピングでは、ユーザーがアプリケーションに割り当てられたままの状態でも、Entra ID でそのユーザーのサインインを無効にしても、PowerDMARC ではそのユーザーが非アクティブ化されません。その動作が必要な場合は、 SCIM 構成ガイド の『accountEnabled』マッピングを使用してください。」
まず新しい記事を公開してリンクを取得し、その後、元の記事にそのブロックを追加してください。元のガイドの誤字の修正と、 userType 以前のGoogleドキュメントに記載されていた「オブジェクトの作成時のみ」という変更点は、依然として適用されます。ただし、 アクティブ マッピングのセクションは現状のままです。