Microsoft Entra IDのSAMLロール同期設定 ​

Workatoは、SAML属性マッピングを使用したMicrosoft Entra ID経由のロールとグループの同期をサポートしています:

• Environmentロールは、workato_role、workato_role_test、workato_role_prodなどのSAML属性を通じて渡されます。
• コラボレーターグループは、workato_user_groups属性を通じて渡されます。

ロールとグループメンバーシップは、ユーザーが次回SAML SSOでサインインするときに更新されます。

このページでは、DEV（デフォルト）、PROD、TESTなどの一般的なEnvironmentについて、Workatoロールを同期するようにMicrosoft Entra IDを設定する手順を説明します。

前提条件 ​

• Microsoft Entra ID組織のSAML SSOを設定します。
• Workato UIでジャストインタイムプロビジョニングを有効にします。
• チームまたは組織にSAML SSOの適用を使用します。

ロール同期の設定 ​

ロール同期を設定するには、次の手順を完了します:

Microsoft Entra IDでEnvironment固有のWorkatoロールを設定する ​

Workatoワークスペース内の各Environmentに、追加のロールクレームを追加できます。

Microsoft Entra IDのworkato_roleの属性ステートメント

この例では、複数のクレームを使用して、Workatoの異なるEnvironmentのロールを指定します。 たとえば、汎用のworkato_roleに加えて、プロダクションEnvironment用にworkato_role_prodを、テストEnvironment用にworkato_role_testを定義します。 また、これらのロールの値フィールドには、グループメンバーシップに応じて複数の条件が含まれることにも注意してください。

Microsoft Entra IDでコラボレーターグループを設定する ​

Workatoコラボレーターグループは、グループクレームとしてEntra IDからWorkatoに渡されます。 グループクレームを使用すると、グループIDやグループ表示名など、SAMLアサーションで送信する値を決定できます。

グループ表示名を送信することをお勧めします。 これにより、EntraグループとWorkatoコラボレーターグループの一貫性が維持されます。 これらの名前は、Workatoの既存のコラボレーターグループと完全に一致する必要があります。 例:

WKT | Admin | Reusable Assets
WKT | Admin | Sensitive Projects
WKT | Builder | Finance
WKT | Viewer | Reusable Assets

これらの表示名をworkato_user_groups属性で渡すグループクレームを定義できます。 これらのEntraグループに割り当てられたユーザーは、SAML SSO中に対応するコラボレーターグループ値をWorkatoに自動的に渡します:

次に、作成したEntraグループを割り当て、Workatoアプリケーションに割り当てます。 ユーザーがサインインすると、Workatoはworkato_user_groupsクレームの値と一致するコラボレーターグループにユーザーを割り当てます。 クレームが渡されない場合、ユーザーはコラボレーターグループなしでサインインします。

Workatoアプリへのグループの割り当て ​

クレームを定義したら、Microsoft Entra IDのグループをWorkatoアプリに割り当てます:

Microsoft Entra IDでユーザーロールを更新する ​

ユーザーのロールを更新するには、ユーザーのグループメンバーシップを変更するか、クレーム属性のロール値を変更します。

ロール変更の確認 ​

組織でWorkatoの活動監査ログ機能を使用している場合、ユーザーがSAML SSOを通じてログインしたときに自動ロール同期を確認できます。

SAMLアサーションによってトリガーされたロール変更は、値sam_auto_syncでSource属性の下に表示されます。

Workato UIで行われた手動のロール変更は、ソースuserを使用して表示されます。

New RoleおよびPrevious Roleの値も確認できます。