SCIM を使用して Datadog ユーザーを Microsoft Entra ID と同期する手順については、以下を参照してください。

この機能の特徴と制限については、「SCIM」を参照してください。

前提条件

Datadog の SCIM は、Infrastructure Pro、Infrastructure Enterprise、および Startup プランで利用可能な高度な機能です。

このドキュメントは、組織がアイデンティティプロバイダーを使用してユーザーアイデンティティを管理していることを前提としています。

Datadog では、SCIM の構成時にサービスアカウントのアプリケーションキーを使用してアクセスの中断を回避することを強く推奨します。詳細については、「SCIM でサービスアカウントを使用する」を参照してください。

SAML と SCIM を併用する場合、Datadog ではアクセスの不一致を避けるために SAML のジャストインタイム (JIT) プロビジョニングを無効にすることを強く推奨します。SCIM のみでユーザープロビジョニングを管理します。

Microsoft Entra ID アプリケーションギャラリーに Datadog を追加する

1. Microsoft Entra 管理センター に、クラウドアプリケーション管理者 以上の権限でサインインします。
2. Identity -> Applications -> Enterprise Applications に移動します。
3. [New Application] をクリックします。
4. 検索ボックスに「Datadog」と入力します。
5. ギャラリーから Datadog アプリケーションを選択します。
6. 必要に応じて、Name テキストボックスに名前を入力します。
7. [Create] をクリックします。

注: すでに Microsoft Entra ID を使用して Datadog に SSO を構成している場合は、Enterprise Applications に移動し、既存の Datadog アプリケーションを選択してください。

自動ユーザープロビジョニングを構成する

1. アプリケーション管理画面で、左のパネルから [Provisioning] を選択します。
2. [Provisioning Mode] メニューで、[Automatic] を選択します。
3. [Admin Credentials] を開きます。
4. [Admin Credentials] セクションを次のように完了します。
   • Tenant URL: /api/v2/scim?aadOptscim062020
     • Note: Use the API host for your site, not the app host. For the SCIM endpoints for each site, see the SCIM API reference.
     • Note: The Tenant URL の ?aadOptscim062020 の部分は、Entra ID 専用のものです。これは、この「Microsoft Entra ドキュメント」に記載されているように、Entra に SCIM の動作を適切に修正するように指示するフラグです。Entra ID を使用していない場合は、このサフィックスを URL に含めないでください。
   • Secret Token: 有効な Datadog アプリケーションキーを使用します。アプリケーションキーは 組織の設定ページ で作成できます。データへの継続的なアクセスを維持するには、サービスアカウント のアプリケーションキーを使用します。

5. Test Connection をクリックして、資格情報が認可され、プロビジョニングが有効になることを確認するメッセージを待ってください。
6. [Save] をクリックします。マッピングセクションが表示されます。マッピングの構成については、次のセクションを参照してください。

属性マッピング

ユーザー属性

1. Mappings セクションを展開します。

2. [Provision Azure Active Directory Users] をクリックします。属性マッピングページが表示されます。

3. [Enabled] を [Yes] に設定します。

4. Save アイコンをクリックします。

5. [Target Object actions] で、[Create]、[Update]、[Delete] のアクションが選択されていることを確認します。

6. 属性マッピングセクションで、Microsoft Entra ID から Datadog に同期されるユーザー属性を確認します。以下のマッピングを設定します。

   Microsoft Entra ID 属性	Datadog 属性
   userPrincipalName	userName
   Not([IsSoftDeleted])	active
   jobTitle	title
   mail	emails[type eq "work"].value
   displayName	name.formatted
   AppRoleAssignmentsComplex([appRoleAssignments])	roles

7. マッピングを設定したら、[Save] をクリックします。

ユーザーの Datadog ロール (組み込みまたはカスタム) をプロビジョニングするには、まず Microsoft Entra アプリ登録でアプリロールを定義します。プロビジョニングする Datadog ロールごとに、アプリロールを 1 つ作成します。該当するユーザーまたはグループをそれらのアプリロールに割り当てます。各アプリロールの [Display name] には Datadog ロール名を、Value には対応する Datadog ロール UUID を設定します。アプリロールの [Value] には、Datadog ロール名や SAML ロールクレーム値を使用しないでください。ロール UUID は、Organization Settings ページのロールの URL で確認できます。設定手順については、「Microsoft のアプリロールに関するドキュメント」を参照してください。アプリロールを定義した後、上記のように roles 属性をマッピングします。Microsoft Entra ID 属性には AppRoleAssignmentsComplex([appRoleAssignments]) 式を使用します。ターゲット属性のドロップダウンに roles がない場合は、複数値文字列属性として追加してください。設定手順については、「Microsoft の属性マッピングに関するドキュメント」を参照してください。

ロールは、RFC 7643 で定義されている SCIM 複数値属性の規則に従います。SCIM リクエストが複数のロールを送信する場合、Datadog は組織内のロールと一致するロールのみをプロビジョニングします。一致するロールがなく、組織にデフォルトロールが設定されている場合、ユーザーはそのロールにフォールバックします。組織にデフォルトロールがない場合、Datadog はロールの更新をスキップし、ユーザーの既存のロールを保持します。一致しなかったロールは、Audit Trail に記録されます。詳細については、SCIM を参照してください。

グループ属性

グループマッピングはサポートされていません。