Microsoft Entra IDにSAMLグループアカウントを追加する

手順

1. [管理] → Identity ProvidersでMicrosoft Entra IDが構成されていることを確認し、Microsoft Entra IDとTrend Vision Oneの間でSSO認証を設定してください。
   詳細については、 Microsoft Entra IDの設定 を参照してください。
2. Microsoft Entra IDにWorkflow and Automation → Third-Party Integrationで必要なアクセス権を付与し、アイデンティティプロバイダからグループデータを同期してください。
   詳細については、Microsoft Entra IDの統合を設定するを参照してください。

   組織内で複数のテナントが利用可能な場合、SAMLグループとして追加したいグループに関連付けられたテナントへのアクセス権を付与していることを確認してください。関連付けられたアプリに[ユーザアカウント]を含む権限セットを少なくとも1つ付与する必要があります。
3. [管理] → User Accountsに移動します。
4. [Add User Account]をクリックします。
5. [SAML Group]を選択します。
6. [IDプロバイダ] ドロップダウンリストボックスから [Microsoft Entra ID] を選択します。
7. [テナント]を選択します。
   ターゲットテナントが見つからない場合は、Third-Party Integrationでテナントに適切なアクセス権を付与しているか確認してください。
8. テナント内のグループのオブジェクトIDまたはメールアドレスを入力してください。
   オブジェクトIDはグループを一意に識別できます。セキュリティグループのようにグループのメールアドレスがないグループの場合、オブジェクトIDを指定してSAMLグループとして追加します。

   グループのオブジェクトIDまたはメールアドレスを見つけるには:

   • Microsoft Entra 管理センターにグループ管理者としてサインインします。
   • [Entra ID] → [グループ] → [すべてのグループ] の順に選択します。
   • ターゲットグループを選択します。
   • サイドメニューからプロパティを選択します。
     画面で使用可能なオブジェクトIDは次のとおりです。
     グループのメールアドレスは、グループにメールアドレスがある場合にのみ利用可能です。
9. グループの名前を指定します。
   名前を空のままにすると、Trend Vision One はMicrosoft Entra IDから同期されたグループ名を使用します。元のグループ名を使用することで、Trend Vision OneのSAMLグループとMicrosoft Entra IDの対応するグループとの間で正確なマッピングが確保されます。
10. グループ内のユーザに割り当てるTrend Vision Oneロールを選択してください。
    カスタムユーザーロールを作成するには、[[User Roles] でカスタムの役割を作成する]をクリックしてください。詳細については、User Rolesを参照してください。

    注意 カスタムの役割を作成すると、現在の画面が終了し、画面で行ったすべての変更が破棄されます。

11. SAMLグループの説明を追加します。
12. [Add]
    グループとそのメンバーは[ユーザアカウント]リストに表示されます。

    Trend Vision Oneは、Microsoft Entra IDからグループデータを同期し、SAMLグループを最新の状態に保つためにリアルタイム同期と定期同期を提供します。必要に応じて、アイコンをクリックしてコンソールで手動同期をトリガーすることもできます。

    重要 リアルタイム同期はMicrosoft Graph APIを使用してグループ変更通知を取得しますが、Microsoftはクォータを課しています。詳細については、このMicrosoftドキュメントのリソースタイプ「グループ」のクォータ制限を参照してください。 グループ変更通知のクォータ制限に達した場合、Trend Vision Oneはリアルタイム同期を実行できなくなります。これは主に、テナント内の既存のアプリがクォータを使い果たしたために発生します。この場合、手動同期アイコン () をクリックして、すぐに更新を同期できます。Trend Vision Oneはグループデータを最新の状態に保つために定期的に同期も行います。

13. グループユーザがメールアドレスを確認することを確認してください。
    メールアドレスを確認する必要があるユーザは、[ステータス]列にメール送信アイコン () があります。

    注意 ユーザはTrend Vision Oneにサインインするためにメールアドレスを確認する必要があります。 確認リンクの有効期限は24時間です。確認リンクの有効期限が切れた場合、 [Configure account settings] 権限を持つアカウントであれば、確認メールを再送信できます。 1つ以上のドメインがドメインの確認では、検証済みドメインのすべてのSAMLユーザまたはユーザグループメンバーを、メールアドレスを検証せずに直接追加できます。

14. (オプション) アカウントを編集する際、[ステータス]列のトグルをクリックしてアカウントを有効または無効にします。