Apple School ManagerでIDプロバイダからユーザアカウントを同期する
Apple School ManagerでOpenID Connect（OIDC）またはクロスドメインID管理システム（SCIM）を使用すると、IDプロバイダ（IdP）からユーザアカウントを同期できます。このシステムを使用すると、Apple School Managerのプロパティ（学年や役割など）が、IdPから読み込んだユーザアカウントデータに統合されます。SCIMを使用してユーザを同期すると、接続が解除されるまで、アカウント情報が読み取り専用として追加されます。その際、アカウントは手動アカウントになり、アカウントの属性（ユーザ名など）が編集できるようになります。初回の同期には、それ以降のサイクルでの同期よりも長い時間がかかります。IdPのマニュアルを参照して、Apple School Managerとのユーザ同期が実行される頻度を確認してください。
重要: 4暦日以内にIdPへのトークンの転送を完了し接続を確立できないと、このプロセスをやり直す必要があります。
開始する前に
OIDC接続を使用してIdPと同期する前に、以下を行う必要があります。
使用するドメインを構成し、確認する。「新しいドメインにリンクする」を参照してください。
Student Information System（SIS）との接続を解除するか、SFTPを使用したアップロードを停止する。
ドメインを構成、連携し、有効にします。「IDプロバイダとのFederated Authenticationを使用する」を参照してください。
設定を編集する権限のあるIdPの管理者に連絡します。
以下の情報を用意してから、IdPに連絡します。
ユーザの一意の識別子フィールド：通常、この属性の値はユーザのメールアドレスです。これを使用してユーザの管理対象Apple IDが作成されます。たとえば「userName」などです。
認証方法：SAML 2.0。
認証モード：OAuth 2。
シングルサインオンURL：IdPのマニュアルを参照してください。
認可コールバックURL：IdPのマニュアルを参照してください。
IdPのユーザアカウントとApple School Manager
SCIMを使用してユーザをIdPからApple School Managerにコピーすると、デフォルトの役割は生徒になります。
注記: ユーザグループはIdPからApple School Managerに同期されません。
サインイン属性
Apple School Managerで管理対象Apple IDに使用する属性は、一意である必要があります。通常は、ユーザのメールアドレスを使用します。ユーザが、Apple School Managerで管理者の役割を持つ既存のユーザとまったく同じ属性を持っている場合は、同期が実行されず、ソースのフィールドは変更されません。
個人ID（Person ID）
IdPのユーザアカウントがApple School Managerに同期されると、Apple School ManagerのユーザアカウントにユーザIDが作成されます。このIDは、競合するユーザアカウントを識別するために使用されます。また、ユーザIDは、SCIMまたはSIS統合を使用して読み込まれたユーザに対して自動的に生成されますが、SFTPを使用して読み込まれたユーザに対しては自動生成されません。
SCIMが接続解除され、SFTPを使用してユーザが再度アップロードされる場合、SFTPアップロードファイルのユーザIDがSCIMによって割り当てられたユーザIDと一致しない限り、新しいユーザが作成されます。「Student Information SystemデータをApple School Managerにアップロードする」を参照してください。
ユーザIDの変更に関する重要な考慮事項：
以前にIdPから読み込まれたユーザアカウントのユーザIDを変更すると、そのユーザアカウントはIdPと同期されなくなります。
以前にIdPから読み込まれたユーザアカウントのユーザIDを変更した後、そのユーザアカウントを再接続する場合は、競合を解決する必要があります。
IdPにサインイン
管理者としてIdPにサインインし、以下のいずれかの操作を実行します。
IdPによって作成されたアプリを選択します。この操作では、いくつかの手順を省略できる場合もあります。
アプリを作成できる場所または接続を確立できる場所に移動します。
以下の情報を使用してアプリを作成します。
重要: SCIMアプリの名前は認可コールバックURLの作成時に必要になることがあるため、覚えておいてください。
Apple School Manager：AppleSchoolManagerSCIMを使用します。
アプリのタイプ：SCIMを使用します。
認証方法：SAML 2.0を使用します。
受信者と宛先に使用するシングルサインオンURL：IdPのマニュアルを参照してください。
オーディエンスURI：エンティティIDを使用します。
変更内容を保存します。
SCIMアプリのプロビジョニング設定を構成する
IdPのSCIMアプリのプロビジョニングセクションを見つけて、以下の値を入力します。
SCIMコネクタのベースURL：https://federation.apple.com/feeds/school/scim
アクセストークンURI：https://appleid.apple.com/auth/oauth2/v2/token
認可URI：https://appleid.apple.com/auth/oauth2/v2/authorize
クライアントID：123
クライアントシークレット：123
重要: SCIMの実際のクライアントIDとクライアントシークレットはまだわからないため、123がプレースホルダとして使用されます。以降のタスクでこれらの値を置き換えます。
認証モード：OAuth 2。
ユーザの一意の識別子フィールド：IdPのマニュアルを参照してください。
重要: 識別子の大文字と小文字は区別されます。
サポートされているプロビジョニング操作：
新しいユーザとプロファイルの更新情報を読み込む。
新しいユーザをプッシュする。
プロファイルの更新情報をプッシュする。
変更内容を保存します。
認可コールバックURLを作成する
SCIMを使用してIdPからユーザレコードを取得するには、Apple School Managerの認可コールバックURLを作成する必要があります。このコールバックURLは、IdPで作成したSCIMアプリの名前に基づきます。
SCIMアプリの名前を確認します。以下に例を示します。
Apple School Manager：AppleSchoolManagerSCIM
以下のURL内にアプリ名をペーストします。以下に例を示します。
https://identity-provider.com/admin/app/AppleSchoolManagerSCIM/oauth/callback
認可コールバックURLを保存します。
次のタスクで、これをApple School Managerにペーストします。
SCIMのクライアント情報を作成してIdPにコピーする
Apple School Manager
で、管理者、サイトマネージャ、またはユーザマネージャの役割を持つユーザでサインインします。サイドバーの下部にある自分の名前を選択し、「環境設定」
を選択して、「管理対象Apple ID」
を選択します。「カスタム同期」の横にある「有効にする」を選択します。
前のタスクで作成した認可コールバックURLをペーストして、「作成」を選択します。
「SCIMアプリケーション」＞「作成」の順に選択します。
新しいテキストファイルまたはスプレッドシートを開き、Apple School Managerから以下の値を取得して入力します。
OIDCクライアントID用に、SCIMクライアントIDをペーストします。
OIDCクライアントシークレット用に、SCIMクライアントシークレットをペーストします。
「クライアントID」の横にある「コピー」を選択し、ファイルにクライアントIDをペーストします。
「クライアントシークレット」を選択してシークレットの有効期間（6か月、9か月、または12か月）を選択し、ファイルにクライアントシークレットをペーストします。
重要: IdPのSCIMアプリにペーストする前にクライアントシークレットを削除した、または忘れた場合は、新しいクライアントシークレットを作成する必要があります。
「完了」を選択します。
IdPのSCIMアプリにクライアントIDとクライアントシークレットをペーストして、接続を確認する
IdPのSCIMアプリのプロビジョニングセクションに戻り、以下の値をペーストします。
Apple School ManagerのSCIMクライアントID
Apple School ManagerのSCIMクライアントシークレット
変更内容を保存します。
IdPの管理者アカウントを使ってIdPで認証テストを実行できる場合は、この段階でテストします。たとえば、「[AppleSchoolManagerSCIM]、[AppleBusinessManagerSCIM]、[AppleBusinessEssentialsSCIM]（SCIMアプリに付けた任意の名前）で認証」というボタンがあります。
IdPの管理者名とパスワードを入力し、2ファクタ認証の値を入力します。
表示される認証情報をよく読みます。同意する場合は、「続ける」を選択します。
必要な場合は、この段階でこのドメインのFederated Authenticationをオンにします。
これで、特定のユーザ属性の変更がIdPからApple School Managerに同期されるようにIdPとApple School Managerが構成されました。