チュートリアル: Zendesk を構成し、自動ユーザー プロビジョニングに対応させる
このチュートリアルでは、自動ユーザー プロビジョニングを構成するために Zendesk と Microsoft Entra ID の両方で行う必要がある手順について説明します。 構成すると、Microsoft Entra ID で、Microsoft Entra プロビジョニング サービスを使用して、Zendesk に対するユーザーとグループのプロビジョニングおよびプロビジョニング解除が自動的に行われます。 このサービスが実行する内容、しくみ、よく寄せられる質問の重要な詳細については、「Microsoft Entra ID による SaaS アプリへのユーザー プロビジョニングとプロビジョニング解除の自動化」を参照してください。
サポートされる機能
- Zendesk でユーザーを作成する。
- アクセスが不要になった場合に Zendesk のユーザーを削除する。
- Microsoft Entra ID と Zendesk の間でユーザー属性の同期を維持する。
- Zendesk でグループとグループ メンバーシップをプロビジョニングする。
- Zendesk にシングル サインオンする (推奨)
前提条件
このチュートリアルで説明するシナリオでは、次の前提条件目があることを前提としています。
- Microsoft Entra テナント。
- アプリケーション管理者ロール、クラウド アプリケーション管理者ロール、またはアプリケーション所有者ロールのいずれか。
- 管理者権限がある Zendesk のユーザー アカウント。
- Professional プラン以上が有効な Zendesk テナント。
手順 1:プロビジョニングのデプロイを計画する
- プロビジョニング サービスのしくみを確認します。
- プロビジョニングの対象となるユーザーを決定します。
- Microsoft Entra ID と Zendesk の間でマップするデータを決定します。
手順 2: Microsoft Entra ID を使用したプロビジョニングをサポートするように Zendesk を構成する
- Zendesk 管理センターにサインインします。
- [アプリと統合]>[API]>[Zendesk API] に移動します。
- [設定] タブをクリックし、トークン アクセスが 有効になっていることを確認します。
- アクティブな API トークン の右側にある [API トークンの追加] ボタンをクリックします。 トークンが生成されて表示されます。
- API トークンの説明を入力します。
- トークンをコピーし、安全な場所に貼り付けます。 このウィンドウを閉じると、完全なトークンは再び表示されなくなります。
- [保存] をクリックして [API] ページに戻ります。 トークンをクリックして再度開くと、切り詰められたバージョンのトークンが表示されます。
手順 3: Microsoft Entra アプリケーション ギャラリーから Zendesk を追加する
Microsoft Entra アプリケーション ギャラリーから Zendesk を追加して、Zendesk へのプロビジョニングの管理を開始します。 SSO のために Zendesk を以前に設定している場合は、その同じアプリケーションを使用できます。 ただし、統合を初めてテストするときは、別のアプリを作成することをお勧めします。 ギャラリーからアプリケーションを追加する方法の詳細については、こちらを参照してください。
手順 4:プロビジョニングの対象となるユーザーを定義する
Microsoft Entra プロビジョニング サービスを使うと、アプリケーションへの割り当てや、ユーザーやグループの属性に基づいて、プロビジョニングされるユーザーのスコープを設定できます。 割り当てに基づいてアプリにプロビジョニングされるユーザーのスコープを設定する場合、以下の手順を使用して、ユーザーとグループをアプリケーションに割り当てることができます。 ユーザーまたはグループの属性のみに基づいてプロビジョニングされるユーザーのスコープを設定する場合、こちらで説明されているスコープ フィルターを使用できます。
小さいところから始めましょう。 全員にロールアウトする前に、少数のユーザーとグループでテストします。 プロビジョニングのスコープが割り当て済みユーザーとグループに設定される場合、これを制御するには、1 つまたは 2 つのユーザーまたはグループをアプリに割り当てます。 スコープがすべてのユーザーとグループに設定されている場合は、属性ベースのスコープ フィルターを指定できます。
追加のロールが必要な場合、アプリケーション マニフェストを更新して新しいロールを追加できます。
手順 5: Zendesk への自動ユーザー プロビジョニングを構成する
このセクションでは、Microsoft Entra ID でのユーザーまたはグループ割り当てに基づいて、Zendesk でユーザーまたはグループが作成、更新、無効化されるように Microsoft Entra プロビジョニング サービスを構成する手順について説明します。
ユーザーを Zendesk に割り当てる際の重要なヒント
現在、Zendesk のロールは、Azure portal UI で自動的かつ動的に設定されます。 Zendesk のロールをユーザーに割り当てる前に、必ず Zendesk との初期同期を完了して、お使いの Zendesk テナントの最新ロールを取得してください。
単一の Microsoft Entra ユーザーを Zendesk に割り当てて、初期の自動ユーザー プロビジョニングの構成をテストすることをお勧めします。 テストが成功した後で、追加のユーザーまたはグループを割り当てることができます。
Zendesk にユーザーを割り当てるとき、有効なアプリケーション固有ロール (使用可能な場合) を割り当てダイアログ ボックスで選択します。 既定のアクセス ロールのユーザーは、プロビジョニングから除外されます。
Microsoft Entra ID で Zendesk の自動ユーザー プロビジョニングを構成する
クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズ アプリケーション] の順に移動します
![[エンタープライズ アプリケーション] ブレードのスクリーンショット。](common/enterprise-applications.png)
アプリケーションの一覧で [Zendesk] を選択します。
[プロビジョニング] タブを選択します。
![[プロビジョニング] タブのスクリーンショット。](common/provisioning.png)
[プロビジョニング モード] を [自動] に設定します。
![[プロビジョニング] タブの [自動] のスクリーンショット。](common/provisioning-automatic.png)
[管理者資格情報] セクションに、Zendesk アカウントの管理ユーザー名、シークレット トークン、ドメインを入力します。 これらの値の例を次に示します。
[管理ユーザー名] ボックスに、Zendesk テナントの管理者アカウントのユーザー名を入力します。 たとえば admin@contoso.com です。
[シークレット トークン] ボックスに、手順 6 で説明されているシークレット トークンを入力します。
[ドメイン] ボックスに、Zendesk テナントのサブドメインを入力します。 たとえば、テナント URL が
https://my-tenant.zendesk.comのアカウントの場合、サブドメインは my-tenant になります。
Zendesk アカウントのシークレット トークンは、上記の ステップ 2 で説明したステップに従って生成できます。
手順 5 に示されているボックスに入力したら、[テスト接続] を選択して、Microsoft Entra ID が Zendesk に接続できることを確認します。 接続できない場合は、使用中の Zendesk アカウントに管理者アクセス許可があることを確認してから、もう一度試します。
[通知用メール] フィールドに、プロビジョニングのエラー通知を受け取るユーザーまたはグループのメール アドレスを入力します。 [エラーが発生したときにメール通知を送信します] チェック ボックスをオンにします。
[保存] を選択します。
[マッピング] セクションで、[Microsoft Entra ユーザーを Zendesk に同期する] を選択します。
[属性マッピング] セクションで、Microsoft Entra ID から Zendesk に同期されるユーザー属性を確認します。 [Matching](照合) プロパティとして選択されている属性は、更新処理で Zendesk のユーザー アカウントとの照合に使用されます。 すべての変更を保存するために、 [保存] を選択します。
[マッピング] セクションで [Microsoft Entra グループ を Zendesk に同期する] を選びます。
[属性マッピング] セクションで、Microsoft Entra ID から Zendesk に同期されるグループ属性を確認します。 [照合] プロパティとして選択されている属性は、更新操作で Zendesk のグループとの照合に使用されます。 すべての変更を保存するために、 [保存] を選択します。
スコープ フィルターを構成するには、スコープ フィルターのチュートリアルの手順を参照してください。
Zendesk に対して Microsoft Entra プロビジョニング サービスを有効にするには、[設定] セクションで [プロビジョニング状態] を [オン] に変更します。
![[プロビジョニング状態] を[オン] に切り替えるスクリーンショット。](common/provisioning-toggle-on.png)
Zendesk にプロビジョニングするユーザーまたはグループを定義します。 [設定] セクションで、[スコープ] として指定する値を選択します。
プロビジョニングの準備ができたら、 [保存] を選択します。
この操作によって、 [設定] セクションの [スコープ] で定義したすべてのユーザーまたはグループの初期同期が開始されます。 初期同期は、以降の同期よりも実行に時間がかかります。 それらは、Microsoft Entra プロビジョニング サービスが実行されている限り、約 40 分ごとに発生します。
[同期の詳細] セクションを使用して進行状況を監視し、リンクをクリックしてプロビジョニング アクティビティ レポートを取得できます。 このレポートには、Microsoft Entra プロビジョニング サービスによって Zendesk に対して実行されたすべてのアクションが記述されます。
Microsoft Entra プロビジョニング ログの読み方の詳細については、「自動ユーザー アカウント プロビジョニングについてのレポート」を参照してください。
コネクタの制限事項
Zendesk は、エージェントの役割のみを持つユーザーのグループの使用をサポートしています。 詳細については、Zendesk のドキュメントを参照してください。
カスタム役割がユーザーやグループに割り当てられると、Microsoft Entra の自動ユーザー プロビジョニング サービスも既定のロールをエージェントに割り当てます。 エージェントのみにカスタム ロールを割り当てることができます。 詳細については、Zendesk API のドキュメントを参照してください。
カスタム ロールの中に組み込みロールの "エージェント" または "エンド ユーザー" と同様の表示名がある場合、すべてのロールのインポートに失敗します。 これを回避するには、インポートするカスタム ロールに上記の表示名が含まれないことを確実にします。