チュートリアル: Amazon Business を構成し、自動ユーザー プロビジョニングに対応させる

このチュートリアルでは、自動ユーザー プロビジョニングを構成するために Amazon Business と Microsoft Entra ID の両方で行う必要がある手順について説明します。 構成すると、Microsoft Entra ID は、Microsoft Entra プロビジョニング サービスを使用して、Amazon Business に対するユーザーとグループのプロビジョニングおよびプロビジョニング解除を自動的に行います。 このサービスが実行する内容、しくみ、よく寄せられる質問の重要な詳細については、「Microsoft Entra ID による SaaS アプリへのユーザー プロビジョニングとプロビジョニング解除の自動化」を参照してください。

サポートされる機能

• Amazon Business でユーザーを作成します。
• アクセスが不要になった場合は Amazon Business のユーザーを削除します。
• Amazon Business 役割をユーザーに割り当てます。
• Microsoft Entra ID と Amazon Business の間でユーザー属性の同期を維持します。
• Amazon Business でグループとグループ メンバーシップをプロビジョニングします。
• Amazon Business へのシングル サインオン (推奨)。

前提条件

このチュートリアルで説明するシナリオでは、次の前提条件目があることを前提としています。

• Microsoft Entra テナント。
• 次のいずれかのロール: アプリケーション管理者、クラウド アプリケーション管理者、アプリケーション所有者。
• Amazon Business アカウント。
• 管理者アクセス許可を持つ Amazon Business のユーザー アカウント (Amazon Business アカウント内のすべての法人グループの管理者)。

手順 1:プロビジョニングのデプロイを計画する

1. プロビジョニング サービスのしくみを確認します。
2. プロビジョニングの対象となるユーザーを決定します。
3. Microsoft Entra ID と Amazon Business の間でマップするデータを決定します。

手順 2: Microsoft Entra ID を使ったプロビジョニングをサポートするように Amazon Business を構成する

プロビジョニング サービスを構成して有効にするには、ユーザーとグループの両方の既定のグループを特定する必要があります。 次のことをお勧めします

• 既定のユーザー グループに対するアクセス許可のみを要求者に付与することで、最小限の特権の原則に従います。
• このドキュメント全体でグループを簡単に参照するために、以下に示すグループの名前付け規則に従います。
  • 既定の SCIM 親グループ
    • これは、Amazon Business の SCIM ディレクトリのルートです。 すべての SCIM グループは、この既定のグループの直下に配置されます。 既存のグループを既定の SCIM 親グループとして選択できます。
  • 既定の SCIM ユーザー グループ
    • Amazon Business アプリに割り当てられているユーザーは、既定で、購買依頼者役割を持つこのグループに配置されます。 このグループは、既定の SCIM 親グループと同じレベルにすることをお勧めします。
    • ユーザーがグループの割り当てなしでプロビジョニングされる場合、既定で購買依頼者役割を持つこのグループに配置されます。
    • 非アクティブにされたユーザーはすべてこのグループに残ります。 そのため、このグループには要求者以外のロールを使わないことをお勧めします。

Note

• 既定の SCIM 親グループは、SSO 構成用に選んだ既定のグループと同じにすることができます。
• 既定の SCIM 親グループは [法人] グループにすることができます。 AB アカウント内のグループごとに異なる請求書テンプレートを設定している場合は、既定のグループとして [法人] を選ぶことをお勧めします。
• 現在、Amazon Business アカウント内の 1 つの法人に対してのみ、SCIM を有効にすることがサポートされています。

既定の SCIM グループが特定されたら、お使いの Amazon Business アカウント > [Business の設定] > [ID 管理 (SCIM)] ページに移動し、詳細を入力して [アクティブにする] をクリックします。 次の手順に進む前に、この手順を完了する必要があります。

手順 3: Microsoft Entra アプリケーション ギャラリーから Amazon Business を追加する

Microsoft Entra アプリケーション ギャラリーから Amazon Business を追加して、Amazon Business へのプロビジョニングの管理を開始します。 SSO のために Amazon Business を前に設定している場合は、同じアプリケーションを使用できます。 ただし、統合を初めてテストするときは、別のアプリを作成することをお勧めします。 ギャラリーからアプリケーションを追加する方法の詳細については、こちらを参照してください。

手順 4:プロビジョニングの対象となるユーザーを定義する

Microsoft Entra プロビジョニング サービスを使うと、アプリケーションへの割り当てや、ユーザーやグループの属性に基づいて、プロビジョニングされるユーザーのスコープを設定できます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合、以下の手順を使用して、ユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合、こちらで説明されているスコープ フィルターを使用できます。

• Amazon Business にユーザーとグループを割り当てる際は、既定のアクセス以外のロールを選択する必要があります。 既定のアクセス ロールを持つユーザーは、プロビジョニングから除外され、プロビジョニング ログで実質的に資格がないとマークされます。 アプリケーションで使用できる唯一のロールが既定のアクセス ロールである場合は、アプリケーション マニフェストを更新して他のロールを追加できます。
• 小さいところから始めましょう。 全員にロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当て済みユーザーとグループに設定される場合、これを制御するには、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てます。 スコープがすべてのユーザーとグループに設定されている場合は、属性ベースのスコープ フィルターを指定できます。
• アプリケーション マニフェストを更新して Amazon Business 役割を追加できます。 ユーザーは、次のいずれかの役割を持つことができます。
  • 購買依頼者 (注文を行うか、承認のために注文要求を送信します)。
  • 管理者 (ユーザー、グループ、役割、承認の管理、注文の表示、注文レポートの実行を行います)。
  • 会計担当者 (請求書、クレジット ノート、分析、注文履歴にアクセスします)。
  • システム担当者 (職場で使用されるプログラムとのシステム統合を設定します)。

手順 5: Amazon Business への自動ユーザー プロビジョニングを構成する

このセクションでは、Microsoft Entra ID でのユーザーやグループの割り当てに基づいて、Amazon Business でユーザーとグループが作成、更新、無効化されるように Microsoft Entra プロビジョニング サービスを構成する手順について説明します。

Microsoft Entra ID で Amazon Business の自動ユーザー プロビジョニングを構成するには:

1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します

   

3. アプリケーションの一覧で、 [Amazon Business] を選択します。

   

4. [プロビジョニング] タブを選択します。

   

5. [プロビジョニング モード] を [自動] に設定します。

   

6. [管理者資格情報] セクションで、Amazon Business のテナント URL、承認エンドポイントを入力します。 [接続テスト] をクリックして、Microsoft Entra ID が Amazon Business に接続できることを確認します。 接続できない場合は、Amazon Business アカウントに管理者権限があることを確認してから、もう一度試します。

   

   [テナント URL] と [承認エンドポイント] の値については、次の表を使用してください

   Country	テナントの URL	Authorization endpoint (承認エンドポイント)
   カナダ	https://na.business-api.amazon.com/scim/v2/	https://www.amazon.ca/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   ドイツ	https://eu.business-api.amazon.com/scim/v2/	https://www.amazon.de/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   スペイン	https://eu.business-api.amazon.com/scim/v2/	https://www.amazon.es/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   フランス	https://eu.business-api.amazon.com/scim/v2/	https://www.amazon.fr/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   大英帝国/英国	https://eu.business-api.amazon.com/scim/v2/	https://www.amazon.co.uk/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   インド	https://eu.business-api.amazon.com/scim/v2/	https://www.amazon.in/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   イタリア	https://eu.business-api.amazon.com/scim/v2/	https://www.amazon.it/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   日本	https://jp.business-api.amazon.com/scim/v2/	https://www.amazon.co.jp/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   メキシコ	https://na.business-api.amazon.com/scim/v2/	https://www.amazon.com.mx/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3
   US	https://na.business-api.amazon.com/scim/v2/	https://www.amazon.com/b2b/abws/oauth?state=1&redirect_uri=https://portal.azure.com/TokenAuthorize&applicationId=amzn1.sp.solution.ee27ec8c-1ee9-4c6b-9e68-26bdc37479d3

7. [通知用メール] フィールドに、プロビジョニングのエラー通知を受け取るユーザーまたはグループの電子メール アドレスを入力して、 [エラーが発生したときにメール通知を送信します] チェック ボックスをオンにします。

   

8. [保存] を選択します。

9. [マッピング] セクションで、[Microsoft Entra ユーザーを Amazon Business に同期する] を選びます。

10. [属性マッピング] セクションで、Microsoft Entra ID から Amazon Business に同期されるユーザー属性を確認します。 [照合] プロパティとして選択されている属性は、更新処理で Amazon Business のユーザー アカウントを照合するために使用されます。 照合するターゲット属性を変更することを選択する場合は、Amazon Business API がその属性に基づくユーザーのフィルター処理をサポートしていることを確認する必要があります。 [保存] ボタンをクリックして変更をコミットします。

    属性	Type	フィルター処理のサポート	Amazon Business で必須
    userName	String	✓	✓
    active	Boolean
    emails[type eq "work"].value	String
    name.givenName	String
    name.familyName	String
    externalId	String
    roles	appRoleAssignments の一覧 [appRoleAssignments]

11. [マッピング] セクションで、[Microsoft Entra グループを Amazon Business に同期する] を選びます。

12. [属性マッピング] セクションで、Microsoft Entra ID から Amazon Business に同期されるグループ属性を確認します。 [照合] プロパティとして選択されている属性は、更新処理で Amazon Business のグループを照合するために使用されます。 [保存] ボタンをクリックして変更をコミットします。

    属性	Type	フィルター処理のサポート	Amazon Business で必須
    displayName	String	✓	✓
    members	リファレンス

13. スコープ フィルターを構成するには、スコープ フィルターのチュートリアルの次の手順を参照してください。

14. Amazon Business に対して Microsoft Entra プロビジョニング サービスを有効にするには、[設定] セクションで [プロビジョニングの状態] を [オン] に変更します。

    

15. [設定] セクションの [スコープ] で目的の値を選択して、Amazon Business にプロビジョニングしたいユーザーやグループを定義します。

    

16. プロビジョニングの準備ができたら、 [保存] をクリックします。

    

この操作により、 [設定] セクションの [スコープ] で定義したすべてのユーザーとグループの初期同期サイクルが開始されます。 初期サイクルは後続の同期よりも実行に時間がかかります。後続のサイクルは、Microsoft Entra のプロビジョニング サービスが実行されている限り約 40 分ごとに実行されます。

手順 6:デプロイを監視する

プロビジョニングを構成したら、次のリソースを使用してデプロイを監視します。

• プロビジョニング ログを使用して、正常にプロビジョニングされたユーザーと失敗したユーザーを特定します。
• 進行状況バーを確認して、プロビジョニング サイクルの状態と完了までの時間を確認します
• プロビジョニング構成が異常な状態になったと考えられる場合、アプリケーションは検疫されます。 検疫状態の詳細については、こちらを参照してください。

機能の制限

• Amazon Business アカウントにフラット構造が作成されます。つまり、プッシュされたすべてのグループは、既定の SCIM グループの下の同じレベルに配置されます。 入れ子になった構造/階層はサポートされません。
• グループ名は、Azure と Amazon Business のアカウントで同じになります。
• Amazon Business アカウントで新しいグループが作成されるため、管理者は必要に応じて、新しいグループのビジネス設定 (購入の有効化、共有設定の更新、ガイド付き購入ポリシーの追加など) を再構成する必要があります。
• Amazon Business で古いグループを削除/古いグループからユーザーを削除すると、その古いグループで行われた注文が表示されなくなるため、次のようにお勧めします。
  • 古いグループ/割り当ての削除と、
  • 古いグループの購入の無効化を行わないこと。
• メール アドレス/ユーザー名の更新 - 現時点では、SCIM 経由のメール アドレスやユーザー名の更新はサポートされていません。
• パスワード同期 - パスワード同期はサポートされていません。
• SSO 要件 - Amazon Business アプリでは SSO を使わずに SCIM プロビジョニングをアクティブ化できますが、プロビジョニングされたユーザーが Amazon Business にアクセスするには、SSO 認証が必要です。
• 複数法人 (MLE) アカウント - 現在、Amazon Business アカウントで複数の法人に対して SCIM を有効にすることはサポートされていません。
• Amazon Business に既存のものと同じ名前のグループをプロビジョニングすると、これらのグループは自動的にリンクされます (Amazon Business に新しいグループが作成されます)。

トラブルシューティングのヒント

• Amazon Business 管理者が SSO の使用のみでログインしているか、パスワードがわからない場合は、パスワードを忘れた場合のフローを使用してパスワードをリセットし、Amazon Business にサインインできます。
• 管理者と購買依頼者の役割がグループ内の顧客に既に適用されている場合、会計担当者またはシステム担当者の役割を割り当てても、Amazon Business 側では更新されません。
• アカウントの 1 つを削除した MASE アカウント (同じメール アドレスの複数アカウント) を持つ顧客は、新しいユーザーをプロビジョニングするときにアカウントが存在しないというエラーを短時間 (24 から 48 時間) 表示できます。
• オンデマンド プロビジョニングで顧客をすぐに削除することはできません。 プロビジョニングを有効にする必要があり、削除は、アクションが実行されてから 40 分後に行われます。

その他のリソース

• エンタープライズ アプリのユーザー アカウント プロビジョニングの管理
• Microsoft Entra ID のアプリケーション アクセスとシングル サインオンとは

次のステップ

• プロビジョニング アクティビティのログの確認方法およびレポートの取得方法