ロールと組織の管理
このプラットフォームでは、ユーザーロールと、ユーザーが所属する組織を管理できます。各ユーザーに対して、プラットフォーム上で手動でユーザーロールや組織を割り当てる代わりに、Azure AD や Okta など、会社のユーザー管理システムで設定したグループや属性を使用してロールを制御できます。これにより、DoiT へのアクセス管理が簡単になり、他のアプリケーションの管理方法と一貫性を保つことができます。
これを行うには、カスタム属性またはグループマッピングを使用します。プラットフォーム内で複数のロールや組織を使用したい場合は、グループマッピングを使用して、グループをロールにマッピングしてください。
ユーザーは IdP を通じて作成および更新されます。ユーザーの利用終了時には、IdP でユーザーを非アクティブ化すると、そのユーザーはプラットフォームへのアクセス権を失います。プラットフォーム自体がユーザーを非アクティブ化することはありません。
デフォルトロール
カスタム属性またはグループマッピングを使用してロールや組織を設定しない場合、プラットフォームは新しいユーザーに対して組織のデフォルトロールを割り当てます。
コンソールでデフォルトロールを設定 しても、既存ユーザーには影響しません。ただし、カスタム属性またはグループマッピングを使用して明示的にデフォルトロールを設定した場合は影響を受ける可能性があります。詳細については、IdP 固有のドキュメントを参照することをお勧めします。
グループマッピングを使用した設定
グループを使用して、コンソールからユーザーに対して複数のロールと組織を設定できます。各グループを 1 つのロールと 1 つの組織にマッピングできます。
グループは、複数の個別の値として送信されるように IdP で設定する必要があります。
これを行うには、コンソールで Group ID attribute key を、グループ ID を含むクレーム名に設定してください（正確なクレーム名については、Okta や Microsoft Entra ID など、使用している IdP の手順に従ってください）。その後、SSO グループ ID を特定の DoiT のロールと組織に割り当てます。
注意事項:
-
コンソールで設定されたグループマッピングは、Admin ユーザーには適用されません。
-
カスタム属性は、グループマッピングより優先されます。
-
招待された非管理者ユーザーについて、カスタム属性やグループマッピングが設定されていない場合は、招待時に指定されたロールと組織の値が適用されます。
-
各グループは 1 つのロールと 1 つの組織にマッピングできますが、同じロールと組織を複数のグループにマッピングすることは可能です。
-
1 人のユーザーが複数のグループに所属し、複数のグループに一致する場合、一覧で最初に表示されているマッピングルールが適用されます。それ以降のマッピングルールは無視されます。必要に応じて、グループをリスト内で上下に移動できます。
カスタム属性を使用した設定
IdP のカスタム属性を使用して、ユーザーごとに 1 つのロールと 1 つの組織を設定できます。
ロール
ユーザーごとにカスタム属性 doit_platform_role_id を設定することで、IdP 経由でプラットフォームのユーザーロールを設定できます。この属性の値は、希望するプラットフォームユーザーロールの「ロール ID」である必要があります（ロール ID の確認方法については、コンソールのRole IDを参照してください）。
組織
ユーザーごとにカスタム属性 doit_platform_org_id を設定することで、IdP 経由でプラットフォームのユーザー組織を設定できます。この属性の値は、希望するプラットフォームユーザー組織の「organization ID」である必要があります。
IdP が doit_platform_org_id の値を提供しない場合、そのユーザーには組織は割り当てられません。