Skip to content

SAML ジャストインタイムプロビジョニング

ジャストインタイムプロビジョニングはSAML SSOと連携して、新しい会社ユーザーが初回サインイン時にBrazeアカウントを作成できるようにします。これにより、管理者が新しい会社ユーザーのアカウントを手動で作成し、権限を選択し、ワークスペースに割り当て、アカウントの有効化を待つ必要がなくなります。

セキュリティ対策として、SAML ジャストインタイムプロビジョニング（JITP）は、会社に既に存在するメールドメインを持つユーザーに対してのみ機能します。JITPは、会社内に少なくとも1人の確認済みで、なりすましではない開発者が既に存在するドメインでのみ可能です。

例えば、アカウント [email protected] がJITPを使用してDecorumsoft にログインできるとします。アカウント [email protected] は同じドメインを持つため、プロビジョニングも許可されます。しかし、[email protected] でJITPを使用しようとすると、DecorumsoftのBrazeダッシュボード内に decorumsoft.eu のアカウントが存在しないため、プロビジョニングは許可されません。

会社の例外を設定するには、サポートにお問い合わせください。

前提条件

SAML JITPを使用するには、SAML SSOが設定され、統合されている必要があります。Google SSOとは互換性がなく、IDプロバイダー主導（IdP主導）のログインワークフローのみがサポートされています。

要件 詳細
SAML SSO JITPを有効にする前に設定とテストを完了してください。SAML SSO設定を参照してください。
IdP主導のログイン ユーザーは初回ログイン時にIdPポータルからサインインする必要があります。サービスプロバイダー主導のログインだけでは、新規ユーザーはプロビジョニングされません。
メールドメイン ユーザーのメールドメインが、すでに会社に存在している必要があります（そのドメインを持つ確認済みの、なりすましではない開発者が少なくとも1人必要です）。
会社のイネーブルメント Automatic user provisioningトグルが表示されるには、Brazeが会社に対してsaml_jit_provisioning機能を有効にする必要があります。

JITPの仕組み

JITPが有効で、新しいユーザーがIdP経由で初めてサインインすると、以下の処理が行われます。

  1. BrazeがSAMLアサーションを検証し、ユーザーのメールドメインがJITPで許可されているかを確認します。
  2. BrazeがSAMLアサーションのメールを使用してダッシュボードユーザーアカウントを作成します。
  3. Brazeがセキュリティ設定で設定されたデフォルトのワークスペースと権限セットを割り当てます。
  4. ユーザーは別途招待やアクティベーションステップを必要とせず、すぐにBrazeにアクセスできます。

JITPは既存ユーザーの権限を更新しません。会社にまだ存在しないユーザーのアカウントのみを作成します。

SAML ジャストインタイムプロビジョニング（JITP）の設定

Braze管理者に以下の手順を実行してもらいます。

  1. 設定 > 会社設定 > 管理者設定 > セキュリティ設定に移動します。
  2. SAML SSO セクションで、自動ユーザープロビジョニングオプションをオンに切り替えます。
  3. 新しい会社ユーザーを追加するデフォルトのワークスペースを選択します。
  4. その新しい会社ユーザーに割り当てるデフォルトの権限セットを選択します。権限セットの作成方法については、ユーザー権限の設定を参照してください。
  1. 変更を保存を選択します。
  2. SSOプロバイダーの設定で、Brazeへのアクセスが必要なすべてのユーザーをSSOプロバイダーのディレクトリに追加します。
  3. 初回ログイン時にはIdPポータルからBrazeにアクセスするようユーザーに案内します。以降のログインでは、SAMLシングルサインオンボタンが表示されます。

よくある質問

SAML JITPを無効にするにはどうすればよいですか？

JITPを設定した後、無効にするにはサポートに連絡する必要があります。

JITPはユーザーごとに異なる権限を割り当てることができますか？

いいえ。JITPで作成されたすべてのユーザーは、セキュリティ設定で構成されたデフォルトのワークスペースと権限セットを受け取ります。異なるアクセス権を割り当てるには、ユーザーを手動で作成するか、SCIM自動ユーザープロビジョニングを使用してください。

JITPはサービスプロバイダー主導のログインで機能しますか？

いいえ。JITPは、ユーザーがIDプロバイダーポータルからログインを開始するIdP主導のログイン時にのみ実行されます。

トラブルシューティング

初回SSOサインイン時にユーザーがプロビジョニングされない

以下を確認してください。

  • JITPが有効であり、セキュリティ設定に保存されていること。
  • ユーザーがBrazeログインページからだけではなく、IdPポータルからサインインした（IdP起点）こと。
  • ユーザーのメールドメインが自社に既に存在していること。
  • SAMLアサーションに、ユーザーがサインインに使用するアドレスと一致する有効なemail属性が含まれていること。

Microsoft Entra IDでシングルサインオンボタンが表示されない

Microsoft Entraの基本的なSAML構成フォームにあるBraze用のサインオンURLフィールドが原因で、IdP起点のログイン時にSSOボタンではなくパスワードオプションのみが表示される場合があります。この問題を防ぐには、Microsoft Entra管理センターでBrazeを構成する際にサインオンURLフィールドを空白のままにしてください。
New Stuff!