Cisco SecureAccessとEntra ID間でSCIM連駅

更新日：2026.9.6

このページの内容

全てのシナリオで必要なもの

	さて、Cisco Secure Accessで色々なシナリオをどのように実現させていくかを見ていきたいけど、その前にすべてのシナリオで必要な設定をしておきたいと思う。
	ん？なんだろ？
	前回、在宅ワーク者がSASEにリモートアクセスする図とかもあったよね？リモートアクセスするには何が必要かな？
	ああ、認証かな？
	そうだね。認証基盤が必要だ。Secure Accessは色々なIdPとSAML連携が可能なんだけど、今回はEntra IDとSAML連携して認証させてみたい。テスト用のuserとgroupを作成で下表のテスト用のユーザとグループを既に作成済なのでそれを使います。

さて、Secure AccessとEntra IDを連携させて認証をするにあたっては、Entra IDの中のユーザとグループ情報を、下図のようにSecure Accessに事前に同期しておく必要があるんだ。

	そうなんですね。これって手動で同期させないといけないんですか？
	いや、自動的に同期できるSCIM（System for Cross-domain Identity Management）というプロトコルがある。発音はスキーム。今回もそれを使います。
	なるほど。というかそもそも、FortigateのSSLVPNでSAML認証する時とかは事前同期なんて必要なかった気がするけど、なんで必要なんですか？
	私はメーカーの人間ではないのでそこまで事情はわからないけど、Secure Accessを含むSASE系のサービスは一般的に有償だ。なのでサービスを利用できるユーザ数やユーザ情報を厳密に管理する必要があるのだと思う。それにあたっては、このようにデータベースを同期してしまうほうが色々都合がよいのだと思う。
	なるほど。
	そうだね。では実際の操作手順を。

①Connect → Users,Groups,and Endpoint Devices → Configuration managementへ。

②integrate directoriesへ。

③上から順に、IdPを選択。IdP directory nameに任意の名前を入力。今回はTEST_Entra_IDにしました。

Choose Identity ProviderはEntra IDを選択。右下のNext。

④Generate Tokenをクリック

⑤Copy tokenとCopy URLをクリックしてメモしておく。そしたら画面右下にあるDoneへ。

⑥Entra IDの画面に戻り、Manageの中のEnterprise applicationsへ。

⑦New applicationへ。

⑧検索欄にcisco userと入力。トップに表示されたCisco User Management for Secure Accessへ。

⑨画面右側に下図が表示されるのでそのままcreate。

⑩作成が完了すると下記画面が表示される。Assign users and groupsへ。

⑪Add user/groupへ。

⑫このアプリをユーザに紐づけるため、None Selectedへ進む。

尚、今回使っているEntra ID free plan（無償版）の場合、グループ単位でアプリに紐づけはできないため、ユーザごとに紐づけが必要です。
その旨が下図の中ほどに注意マークで記載されています。

⑬画面右側に下の画面が表示される。今回はentra_user1～4を選択し左下のselectへ。

⑭Assignへ。

⑲5～10分くらいすると、アプリに紐づけていたユーザ情報がSecure Access側に無事に同期されました。

※今回はEntra ID側でアプリにグループを紐づけていないので、グループ情報は同期されていない。

	ふう、めっちゃ長かったですね。これでSCIMによるユーザ情報の同期が完了ということですね。
	そうだね。次回はSecure AccessとFortigateをIPsecで接続する方法を見ていきます。ここまで見てくれてありがとうございました。