System for Cross-domain Identity Management (SCIM)

このドキュメントは、System for Cross-domain Identity Management (SCIM) 2.0 をビジネスで有効にしたい管理者用となります。SCIM は、ID プロバイダー (IdP) 内のユーザーを管理するためのプロビジョニング システムです。Docker Business サブスクリプションが有効な組織にて、SCIM を有効にすることができます。

SCIM は、ID プロバイダー (IdP) を通じて、Docker の組織に対する自動的なユーザー プロビジョニングおよびデプロビジョニングを提供します。IdP で SCIM を有効にすると、IdP で Docker アプリケーションに割り当てられたユーザーは、自動的に Docker Hub でプロビジョニングされ、組織に追加されます。また、IdP の Docker アプリケーションからユーザーが割り当て解除されると、そのユーザーは Docker Hub で組織から削除されます。SCIM は、IdP 内のユーザーの属性に加えられた変更 (例えば、ユーザーの姓や名など) も同期させます。

現在、以下のプロビジョニング機能をサポートしています: 新規ユーザーの作成、ユーザープロファイルのプッシュ更新、ユーザーの削除、ユーザーの非アクティブ化、ユーザーの再アクティブ化。グループ管理は現在サポートされていません。

1. Okta で、Applications > Create App Integration > SAML 2.0 の順に移動し、Next をクリックします。
2. General タブで、新しいアプリケーションのページで、Edit App Settings を選択して SCIM プロビジョニングを有効にして、Save をクリックします。
3. Provisioning タブで、SCIM Connection を編集し、以下を完了します。
   • SCIM connector base URL: Docker Hub からの SCIM ベース URL
   • Unique identifier field for users: Eメールを入力
   • Supported Provisioning actions: Push New Users、Push Profile Updates を選択
   • Authorization/Bearer: Docker Hub から取得した SCIM API トークン
   
4. Test Connection Configuration をクリックして、設定を完了し、Save をクリックします。
5. 設定したら、同期を有効にする必要があります。Provisioning > To App > Edit に移動し、Create Users、User Attributes、および Deactivates Users を有効にして、Save をクリックします。
6. Docker Hub Attributes Mappings から、サポートされていないフィールドをすべて削除します。

完全同期を生成

すでに Docker Hub アプリにユーザーを割り当てている場合は、SCIM を有効にした後、完全同期を実行する必要があります。これにより、IdP ディレクトリに割り当てられているユーザーが Docker Hub にプロビジョニングされます。

1. Applications > Applications に移動して、Docker Hub アプリを選択します。
2. Assignments タブで、保留中のユーザーがいる場合は Provision User をクリックします。
3. Apply to All > Reapply Mappings を選択し、Confirm をクリックします。

1. Azure AD に移動し、AzureAD admin を選択します。
2. Default Directory で、Add > Enterprise Application > Create your own application を選択します。
   注意: Enterprise Application を作成するときに、SCIM を Security Assertion Markup Language (SAML) で構成することができます。
3. アプリケーション名に Docker と入力し、non-gallery を選択して、Create をクリックします。
4. Docker アプリケーションで、Provisioning に移動し、Get Started をクリックします。
5. プロビジョニング モードに Automatic を選択し、SCIM の認証情報を入力します。
   注意: Docker Hub で SCIM の URL （テナント URL）と API トークン（シークレット トークン）にアクセスし、コピーすることができます。
6. Test Connection をクリックしてプロビジョニングを有効および承認し、Save をクリックします。
7. Mappings の Provision Azure Active Directory Groups をクリックしてグループを無効にし、Save をクリックします。
8. Attribute Mappings の Provision Azure Active Directory Users をクリックし、userName、Active、givenName、familyName を保持します。表示されているその他の属性は削除します。
9. Start Provisioning をクリックすると、完全な同期が開始されます。
   注意: プロビジョニングの開始には、最大で 30 分かかることがあります。また、すでにアプリケーションに割り当てられている 1 人のユーザーを使って、オンデマンド プロビジョニングを行うことも可能です。

1. Onelogin で、Applications > Applications > Add app の順に選択します。
2. 検索フィールドに、SCIM Provisioner with SAML (SCIM v2 Core) と入力し、結果内の項目を選択します。
3. 表示名として Docker Hub と入力し、Save をクリックします。
4. 左側のナビゲーションに移動し、Configuration を選択します。
5. 別タブで、Docker Hub > Settings > Security > SSO > SAML に移動します。
6. 以下のフィールドを Docker Hub から OneLogin にコピーします。
   • Entity ID: SAML Audience URL
   • ACS URL: SAML Consumer URL
   • SCIM Base URL: SCIM Base URL
   • Custom Headers:
   Content-Type: application/scim+json
User-Agent: OneLogin SCIM
   • SCIM Bearer Token: SCIM Bearer Token
   • SCIM JSON Template:

   {
     "schemas": [
         "urn:ietf:params:scim:schemas:core:2.0:User"
     ],
     "userName": "{$parameters.scimusername}",
     "name": {
         "givenName": "{$user.firstname}",
         "familyName": "{$user.lastname}"
     },
     "emails": [
         {
             "value": "{$user.email}",
             "primary": true
         }
     ]
   }

   
7. API Connection > Enable に移動し、Save をクリックします。
8. Parameters タブをクリックし、scimusername をクリックして Email を選択し、Save します。
9. SSO タブに移動し、SAML 2.0 Endpoint (HTTP) url をコピーして、Docker Hub > Settings > Security > SSO > SAML Sign-in URL に貼り付けます。
10. X.509 Certificate フィールドで、View Details をクリックします。
11. PEM certificate をコピーし、Docker Hub > Settings > Security > SSO > Key x509 Certificate に貼り付け、Save をクリックします。
12. Onelogin で、Access タブに移動し、既に作成されている ol_role のアプリを有効にして、Save をクリックします。
13. Provisioning タブに移動し、Enable provisioning を選択し、その他のオプションの選択を解除します。
14. ドロップダウンで、Suspend を選択し、Save をクリックします。

完全同期を生成

1. Onelogin で、Applications に移動し、Docker Hub アプリケーションを選択します。
2. Users で、Apply to All および Reapply Mappings をクリックします。
3. Confirm をクリックして、Docker Hub でユーザーをプロビジョニングします。