Okta での SCIM プロビジョニング

組織管理者として ClickHouse Cloud Console にサインインし、組織設定 → SAML and SCIM settings → SCIM Configuration を開きます。

Enable SCIM をクリックします。SCIM は SAML SSO の接続後に有効になります。オプションがグレーアウトしている場合は、先に SAML の設定を完了してください。

次の形式の SCIM エンドポイント URL が生成されます。

https://api.clickhouse.cloud/v1/organizations/<your-org-id>/scim

これをコピーしてください。後で Okta に貼り付けます。

Create an API key セクションで有効期限を選択します。

Generate key をクリックします。トークンは 一度だけ、キー (scim_ プレフィックス付き) とシークレットとして表示されます。両方をすぐにコピーし、安全なシークレットマネージャーに保存してください。後から再取得することはできません。紛失した場合は、そのトークンを取り消して新しいものを生成してください。

SCIM Configuration パネルで Map roles in "Users and roles" をクリックします (または Users and roles → Roles から直接移動します)。

SCIM グループは名前に基づいて ClickHouse Cloud のロールに紐付けられます。あわせて次のルールに注意してください。

• SCIM グループを定義済みのシステムロールにマップすることはできません。 SCIM マッピングが適用されるのはカスタムロールのみです。SCIM 経由でシステムレベルの権限を公開する必要がある場合は、必要な権限をまとめたカスタムロールを作成してください。
• 名前が一致すると自動的にリンクされます。 カスタムロールが受信した SCIM グループと同じ名前であれば、ClickHouse Cloud が自動的に紐付けます。手動マッピングは不要です。
• グループ名とは異なるロール名を使うには、まず使用したいロール名でカスタムロールを作成し、その後、そのロールが紐付けられる SCIM グループ名を SCIM group フィールドに設定してください。
• 未マップのグループは新しいロールを作成します。 Okta が、既存のロール名と一致せず、どのロールの SCIM group フィールドからも参照されていないグループをプッシュすると、ClickHouse Cloud はそのグループ名で新しいカスタムロールを作成します。その後、そのロールに必要な権限を付与できます。

Okta Admin Console で Applications → Applications に移動し、ClickHouse Cloud の SAML SSO 設定時に作成したアプリケーションを検索して開きます。

まだ SAML アプリケーションを作成していない場合は、先に SAML SSO setup guide に従ってください。SCIM プロビジョニングは同じアプリケーションで設定します。

General タブで App Settings セクションを見つけて Edit をクリックします。Provisioning で SCIM を選択し、Save をクリックします。

これで、アプリケーションに Provisioning タブが表示されます。

アプリケーションの Provisioning タブを開き、Edit をクリックします。フォームに必要事項を入力します。

• SCIM connector base URL — 先ほどの SCIM エンドポイント URL。
• Unique identifier field for users — userName。
• Supported provisioning actions — 次の項目をすべて選択します。
  • Import New Users and Profile Updates
  • Push New Users
  • Push Profile Updates
  • Push Groups
  • Import Groups
• Authentication Mode — Basic Auth。
  • Username — SCIM トークンのキー (scim_ で始まります) 。
  • Password — SCIM トークンのシークレット。

Test Connector Configuration をクリックします。緑色の確認メッセージが表示されるはずです。失敗した場合は、Troubleshooting に進んでください。

Save をクリックします。

引き続き Provisioning タブで、左側のサイドバーにある To App をクリックします。Edit をクリックし、以下を有効にします。

Save をクリックし、アプリケーションの Sign On / Provisioning タブに戻って、設定が反映されていることを確認します。

Okta と ClickHouse Cloud で、どのユーザーフィールドを対応付けるか一致している必要があります。Provisioning タブで To App をクリックし、アプリケーションの Attribute Mappings を確認してください。通常は Okta SAML アプリケーションのデフォルト設定で問題ありませんが、以下の表を確認してください。

department、manager、location などの任意の属性を追加できます。ClickHouse Cloud はこれらをユーザープロファイルに保存しますが、現時点では権限には使用しません。SCIM 標準セットに含まれない属性は、ClickHouse Cloud 側で無視されます。

ここでロールが自動的に適用されます。

Okta でグループを作成します。 先ほど設定した各ロールマッピングに対して、表示名が完全に一致する Okta グループを作成するか、既存のグループを特定します。たとえば、マッピングが ClickHouse-Admins → Admin であれば、Okta で ClickHouse-Admins という名前のグループを作成します。

作成したグループを開き、Assign people をクリックしてメンバーを追加します。

次に、ロールのメンバーシップとアプリへのアクセスを同期した状態に保つため、同じグループに SCIM アプリケーションも割り当てます。

グループをプッシュします。 アプリケーションの Provisioning タブで Push Groups → Find groups by name をクリックし、グループを検索して Save をクリックします。これを各ロールグループに対して繰り返します。プロビジョニングが完了すると、それぞれの Push Status は Active (Pushed) と表示されるはずです。

ユーザーを割り当てます。 方法は 2 つあります。

• グループ経由 (推奨) 。 先ほどプッシュした Okta グループにユーザーを追加します。ユーザーは ClickHouse Cloud にプロビジョニングされ、対応するロールが自動的に割り当てられます。
• 直接。 アプリケーションの Assignments タブで、Assign → Assign to People をクリックし、個別のユーザーを選択します。プッシュ済みのグループにも所属していない場合、ユーザーは Default role でプロビジョニングされます。

継続的な管理では、グループベースの割り当てのほうが簡潔です。誰かのロールが変わっても、更新するのはグループのメンバーシップだけで済みます。