【Works プロジェクト版】 Entra ID ユーザー属性マッピング
SAMLアプリとAlli間の属性マッピングを設定する手順を解説します。 ユーザー個人に付与される「ユーザー属性」と、グループ単位で管理される「グループ属性」では設定方法と適用方法が異なります。それぞれの違いを理解したうえで、目的に応じた設定を進めてください。
ユーザー属性マッピングとグループ属性マッピングの区別
2種類のマッピングを理解する
SAML アプリと Alli 間で属性をマッピングする際は、対象となる属性の種類によって設定方法が異なります。
ユーザー属性マッピング
名前・電話番号・部門など、各ユーザーに独立して付与される情報をAlliで変数として受け取り使用する方法です。
departmentなどの値をAlliのGROUP変数に1:1でマッピングすることで、ユーザー個別属性に基づいてAlliグループを設定できます。グループ属性マッピング
SAMLアプリ内で事前定義されたグループ単位に基づいて、そのグループに属する複数のユーザーをまとめてAlliグループに関連付ける方法です。
たとえば department フィールドをユーザー変数にマッピングすると、各ユーザーの部門値がそのユーザーのAlliグループに設定されます。一方、アプリ内でグループ単位のユーザー情報がGROUPに渡された場合は、そのグループ単位情報がAlliグループ設定に活用されます。
設定目的に応じてユーザー属性とグループ属性を正確に区分してマッピングを進めてください。
属性マッピングの設定 (Attribute Mapping)
基本情報を確認する
設定を開始する前に、Alliでサポートされている変数を確認します。
EMAIL は自動的にマッピングされるため、個別の設定は不要です。
Alli でサポートされているユーザースコープ変数 (User Scope Variables) は以下のとおりです。
FIRST_NAMELAST_NAMEGROUP電話番号などユーザーに紐づくその他の属性情報
以下の変数はサポートされていません。
FILECATEGORYDOCUMENTSSNIPPETS
ユーザー変数をマッピングする
AlliのユーザースコープVariablesをEntra IDのプロパティに対応付けます。
[Single-Sign-On] > [属性とクレームの編集] に移動します。
マッピングしたい要求を選択、または新規追加します。
[名前] に、マッピングしたいAlliの変数名を入力します。
[名前空間] に文字列が入っている場合は削除します。
[ソース属性] で、各変数に対応するEntraのプロパティを選択します。
[保存] ボタンをクリックします。
デフォルトでは、EntraのGivennameは FIRST_NAME、Surnameは LAST_NAME に対応します。各ユーザー変数名はAlliダッシュボード > 設定 > 変数タブで確認できます。
ユーザー属性をグループにマッピングする
ユーザー属性（department など）をAlliのGROUPに対応付け、ユーザー個別属性に基づいたグループ設定を行います。
クレーム管理で [新規追加] をクリックします。
[名前] に
GROUPと入力します。GROUPに対応するEntraのソース属性を選択します。[保存] ボタンをクリックします。
AlliのグループとEntraのグループをマッピングするには、あらかじめ部門やグループ情報がAlliにも同様に登録（メンバー > グループ管理）されている必要があります。
グループを作成して権限を割り当てる（ユーザー属性マッピング）
Alliダッシュボードでグループを作成し、各グループに権限を設定します。
Alliダッシュボード > 設定 > メンバー > グループタブに移動します。
必要なグループを作成します。
各グループに必要な権限を割り当てます。
連動したSAMLアプリでログインしたユーザーには、マッピングした各変数が自動的に割り当てられます。割り当て結果はすべてのメンバータブで確認できます。
グループ属性マッピングを設定する
SAMLアプリ内のグループ組織をAlliグループに連携させます。
Alliと連携するSSOアプリ内に、グループ組織（ユーザーをまとめた単位）を追加します。
クレーム管理でグループクレームを追加します。
[クレームで介される必要があるのは、ユーザーに関連付けられているどのグループですか？] の項目で [アプリケーションで割り当てられたグループ] を選択します。
[ソース属性] は [クラウドのみのグループ表示名] を選択します。
[詳細オプション] をクリックし、[グループ要求のカスタマイズ] をクリックします。
[名前（必須）] 欄に
GROUPと入力し、[保存] ボタンをクリックします。
ユーザーが2つ以上のグループに属している場合にも対応しています。
上記のグループ情報がAlliにも同じように登録されている必要があります。
グループを作成して権限を割り当てる（グループ属性マッピング）
Alliダッシュボードでグループを作成し、各グループに権限を設定します。
Alliダッシュボード > 設定 > メンバー > グループタブに移動します。
必要なグループを作成します。
各グループに必要な権限を割り当てます。
SAML方式のSSOアプリを通じてログインするユーザーは、SSOアプリで複数のグループに属していてもその情報が自動的にAlliに反映されます。ユーザーがログインするたびに、SAMLアプリのグループ情報がAlliに自動更新されます。SSOアプリでグループの変更（追加・削除など）が発生した場合、次回ログイン時にAlliにも適用されます。
最上位の管理者権限はAlliシステム内でのみ設定可能な一意の権限です。この権限はIDP（SAMLインターロックシステム）とは無関係にAlliダッシュボードで個別に管理されるため、ログイン時に自動的には反映されません。
よくある質問
EMAILのマッピングは個別に設定が必要ですか？
いいえ、EMAILは自動的にマッピングされるため、個別の設定は不要です。
Alliの変数名はどこで確認できますか？
Alliダッシュボード > 設定 > 変数タブで確認できます。
ユーザーが複数のグループに所属している場合、グループ属性マッピングは正しく動作しますか？
はい、ユーザーが2つ以上のグループに属している場合にも対応しています。ログインのたびにAlliのグループ情報が自動更新されます。
SSOアプリでグループを変更した場合、Alliにはいつ反映されますか？
次回ログイン時に自動的に反映されます。リアルタイムの同期ではなく、ログインイベントをトリガーに更新が行われます。
最上位管理者権限もSAML連携で自動的に付与されますか？
いいえ、最上位の管理者権限はAlliシステム内でのみ設定できる権限です。IDPとは独立して管理されるため、SAMLログイン時には自動反映されません。Alliダッシュボードで個別に設定してください。
関連ページリンク
変数メンバー【Worksプロジェクト版】Entra ID SAML SSO認証最終更新