メインコンテンツへスキップ
English (United States) Bahasa Indonesia ไทย Tiếng Việt

人事システムから名簿を自動で同期する（SCIM）

  • 更新

人事システムや Microsoft Entra ID・Okta などの ID 管理サービス（IdP）から、入社・異動・退職に合わせて、Dive のアカウントを自動で作る・変える・止める機能です。部署・役職・社員番号なども、あわせて Dive の名簿に届きます。業界標準の SCIM 2.0 に対応しています。

Enterpriseプランでご利用いただけます。設定はオーナーが PCブラウザから行います。シングルサインオン（SSO）と組み合わせて使うのが一般的ですが、SSO を使わないチームでも使えます。

人事の名簿の同期（SCIM）のカード

 

人事の名簿の同期でできること

  • 人事システム・IdP で追加した人を、Dive のユーザーとして作ります。メールアドレスの人は「招待中」で作り、メールアドレスの無い人はメール不要アカウントで作ります
  • 名前・部署・兼務の部署・役職・ふりがな・社員番号・入社日・雇用形態・退職日の変更を、Dive の名簿に反映します
  • 人事システム・IdP で無効にした人・削除した人は、Dive で無効化します。閲覧・教育の記録は残ります
  • 人事の部署から所属グループを、役職から権限を決められます（後述の「部署・役職からグループと権限を決める（対応づけ）」）

同期で作られた人は、アカウント数を使います。権限は閲覧ユーザーで作ります（対応づけで変えられます）。オーナーの権限は、同期では付きません。

部署・役職そのものについては 部署・役職を登録する（名簿の部署・役職・ふりがな・人事の項目） をご参照ください。

 

設定方法

Dive で鍵を発行する

  1. サイドメニュー [オーナー向け機能] を開きます
  2. 上部タブの [セキュリティ] を選び、[人事の名簿の同期（SCIM）] のカードを表示します
  3. [人事の名簿の同期を使う] をオンにします
  4. [鍵（シークレット トークン）] の欄に、用途のメモ（例：Entra ID）を入力して [鍵を発行] をクリックします
  5. 表示された鍵をコピーします。鍵はこの画面でしか表示されません。人事システム・IdP の設定に貼り付けてから閉じてください

鍵を発行しました（鍵はぼかしています）

人事システム・IdP の側には、カードの [受け口の URL（テナントの URL）] に表示される URL（https://app.divedx.com/api/scim/v2）と、発行した鍵を設定します。

有効な鍵は5本までです。使わなくなった鍵は、一覧の [失効] で止めます。失効させた鍵を使っている人事システム・IdP からの同期は止まります。一覧の [最終利用] で、鍵が最後に使われた日時を確認できます。

Microsoft Entra ID の場合

  1. Microsoft Entra 管理センターの [エンタープライズ アプリケーション] で [新しいアプリケーション] を開き、[独自のアプリケーションの作成] を選びます
  2. アプリの名前（例：Dive）を入力し、[ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)] を選んで作成します。名前の似たギャラリーのアプリが候補に出ても、選ばないでください
  3. 作成したアプリの [プロビジョニング] を開き、新しい構成を作ります
  4. [認証方法の選択] は [ベアラー認証] にし、[テナントの URL] に Dive の受け口の URL を、[シークレット トークン] に Dive で発行した鍵を入力し、[テスト接続] で接続できることを確認して保存します。作成した後は、左のメニューの [接続] で確かめ・変えられます
  5. [ユーザーとグループ] で、Dive に同期する人を割り当てます
  6. [プロビジョニング] の [マッピング]（新しい画面では左のメニューの [属性マッピング]）で、[Provision Microsoft Entra ID Groups] を無効（[いいえ]）にして保存します。Dive はグループの同期に対応していないため、有効のままグループを割り当てると、Entra ID の側でエラーになります。グループを割り当てた場合も、グループに入っている人は同期されます
  7. [プロビジョニングの開始] をクリックします（[プロビジョニング] の [プロビジョニング状態] を [オン] にして保存しても始まります）

Microsoft Entra 管理センターのプロビジョニングの接続（テナントの URL とシークレット トークン）

ユーザーの属性のマッピング（[Provision Microsoft Entra ID Users]）は、Entra ID の初期状態のままで、名前・部署・役職・社員番号が Dive に届きます。グループを割り当てて同期するには、Entra ID の側で Microsoft Entra ID P1 以上のライセンスが必要です（無料のテナントでは、ユーザーを1人ずつ割り当てます）。

同期は、[プロビジョニングの開始] の後、約40分ごとに行われます。すぐに確かめたい場合は、Entra ID の [オンデマンドでプロビジョニング] で、1人ずつ送れます。Entra ID の画面の操作は、Microsoft のヘルプでご確認ください。

Okta・人事システムの場合

Okta など、SCIM 2.0 に対応したほかの IdP・人事システムも、同じ受け口の URL と鍵で設定します。認証の方式は、鍵を使う方式（Bearer トークン）を選びます。設定の方法は、それぞれのサービスのヘルプでご確認ください。自社のシステムから送る場合も、SCIM 2.0 の規格に沿って送れば同期できます。

 

受け取る項目

人事システム・IdP から送る項目（SCIM） Dive の項目
userName ログインのメールアドレス。メールアドレスの無い人は、社員番号などのログインID（メール不要アカウント）になります。ログインIDは、英数字と「.」「_」「-」だけで指定してください
displayName（名前） 名前
active 有効・無効
title 役職
department（enterprise 拡張） 部署。「本部 / 部 / 課」のフルパスで送ります
employeeNumber（enterprise 拡張） 社員番号（人事の項目）
Dive の拡張（urn:ietf:params:scim:schemas:extension:divedx:2.0:User） kana（ふりがな）・hireDate（入社日）・employmentType（雇用形態）・leaveDate（退職日）・additionalDepartments（兼務の部署。「;」区切り）

一覧に無い部署・役職が送られてきた時は、Dive の部署・役職の一覧に作ります。グループ（SCIM の Groups）は受け付けません。部署・役職からグループと権限を決めるには、対応づけを使います。

 

人事の値の扱い

  • 部署・兼務の部署・役職・人事の項目は、送られてきた項目だけを人事の値にします。人事の値の項目には、[ユーザー詳細] で [人事の同期] の印が付き、名簿の画面・Excel からは変えられなくなります
  • 送られてこない項目は、Dive で入れた値のまま残り、名簿の画面・Excel で変えられます
  • 前に送られていた項目が送られなくなった時は、その値を外します
  • 名前・ふりがなは、画面からも変えられます。人事から違う値が届くと、上書きされます
  • ログインのメールアドレスは、同期では変えません（招待中の人の招待のメールアドレスだけ変えます）

 

同期で作られた人のログイン

メールアドレスの人は「招待中」で作られます。招待メールは自動では送りません。

  • SAML の SSO を使うチーム：本人が SSO で初めてログインした時に、自動で結び付きます
  • Microsoft Entra ID（OIDC）の SSO を使うチーム・SSO を使わないチーム：[ユーザー管理] でその人の [ユーザー詳細] を開き、右上の [・・・] から [招待メールを再送] をクリックします。本人は招待メールから登録します
  • メール不要アカウントの人：初期パスワードは同期では配りません。[ユーザー詳細] の右上の [・・・] から [パスワードを再発行] で発行して配ってください

同期を使っている間は、SSO で初めてログインした人の自動登録（シングルサインオン（SSO）を設定する の手順4）は行いません。人事に載っていない人が SSO から入って、アカウントを使うのを防ぐためです。すでに登録されている人は、SSO でログインできます。

 

退職・無効化

  • 人事システム・IdP で無効にした人・削除した人は、Dive で無効化します。名簿の記録と、閲覧・教育・力量の記録は消しません
  • 人事システム・IdP で有効に戻すと、次の同期で Dive でも有効に戻ります
  • オーナーは、同期で無効化できますが、有効に戻すのは [ユーザー管理] の画面からです（無効化したユーザーを復元する）
  • チームの最後のオーナーは、同期では無効化しません

 

部署・役職からグループと権限を決める（対応づけ）

人事から送られてきた部署・役職をもとに、所属グループと権限を自動で決められます。設定はオーナー・チーム管理者が行います。

  1. サイドバーの [ユーザー管理] を開き、画面上部の [部署・役職] をクリックします
  2. [対応づけ] タブを開き、[対応づけを使う] をオンにします
  3. [部署 → グループ] で、部署ごとに Dive のグループを選びます。[対応の無い部署は、親の部署の対応を継ぐ] にチェックを入れると、グループを選んでいない部署は、親の部署のグループになります
  4. [役職 → 権限] で、役職ごとに権限を選びます。[対応なし（変えない）] の役職の人は、権限を変えません
  5. [変わる内容を確かめる] をクリックし、[当てた時に変わる内容]（対象の人・権限が変わる人・グループに入れる・グループから外す）を確認します
  6. [保存して当てる] をクリックし、確認の画面で [保存して当てる] をクリックします

部署・役職の対応づけタブ

  • 保存すると、人事の同期で入った人の権限と所属グループを、すぐに書き換えます。以後は、人事から変更が届くたびに当てます
  • 当てるのは、人事から送られてきた部署・役職だけです。画面や Excel で入れた部署・役職からは決めません
  • 権限は、閲覧ユーザー・作成ユーザー・グループ管理者・チーム管理者から選べます。設定する人が付けられる権限までです
  • オーナーとゲストには当てません
  • 対応表に出てこないグループ（Dive だけで作った、部署をまたぐグループなど）の所属は変えません
  • 対応づけで決まる権限・所属グループは、名簿の画面・Excel からは変えられなくなります

 

アカウント数の上限に達した時

  • アカウント数の上限を超える作成・有効化は行いません。人事システム・IdP の側にはエラーとして残り、次の同期でやり直されます
  • [人事の名簿の同期（SCIM）] のカードに、作成・有効化できなかった人が日ごとに表示されます（直近30日）
  • 作成できなかった人がいた日の翌朝8時ごろ、オーナーにメールでお知らせします（人数と日付だけを載せます）
  • アカウント数を増やすと、人事システム・IdP の次の同期で作成されます
  • 名前・部署などの変更と無効化は、上限に関係なく反映します

 

同期を止める

[人事の名簿の同期を使う] をオフにすると、同期は止まります。人事の値で変えられなくしていた項目は、名簿の画面・Excel から変えられるようになります。止めている間に人事システム・IdP から届いた変更は反映しません。

ご契約のプランが Enterprise でなくなった場合も、同期は止まります。カードでは、同期を止めることと、鍵を失効させることだけができます。

同期の有効・停止、鍵の発行・失効、同期による名簿の変更は、監査ログに記録されます（監査ログをCSV出力する）。

 

よくある質問

Q. グループも同期できますか？
A. グループの同期（SCIM の Groups）には対応していません。人事の部署・役職から所属グループと権限を決めるには、対応づけを使います。

Q. SSO を使っていないチームでも使えますか？
A. 使えます。メールアドレスの人には、名簿の画面から招待メールを再送して登録してもらいます。メールアドレスの無い人は、メール不要アカウントで作られます。

Q. 同期で作られた人の権限は何になりますか？
A. 閲覧ユーザーです。対応づけを使うと、役職から権限を決められます。名簿の画面から1人ずつ変えることもできます（対応づけで決まる人を除きます）。

Q. すでに Dive にいる人は、二重に作られませんか？
A. 名簿にいる人は、メールアドレスで突き合わせて結び付けます。同じ人を二重に作りません。

 

関連情報

シングルサインオン（SSO）を設定する（Microsoft Entra ID / SAML 2.0）

部署・役職を登録する（名簿の部署・役職・ふりがな・人事の項目）

セキュリティ設定の全体像（オーナー向け機能）

ユーザーの追加（メール招待・メール不要アカウント発行）

この記事は役に立ちましたか？
0人中0人がこの記事が役に立ったと言っています
ページの先頭へ戻る