Cloudflare Access に SCIM プロビジョニングのログが登場！ユーザー・グループの変更が丸見えになったよ

やっほー、しぃちゃんだよ！ 今日は「地味だけど現場が絶対助かるやつ」を見つけたから紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Zero Trust の Access に SCIM プロビジョニングログ が追加されたって発表があったの。SCIM 対応の IdP（Identity Provider）から送られてくるユーザー・グループの作成・更新・削除イベントを、全部まとめて監査できるようになったんだよ。

ログは IdP、イベント種別、結果（成功/失敗）など、いろんな項目で絞り込めるの。ログの置き場所は Zero Trust ダッシュボードの Logs → SCIM provisioning だよ。

今までどうだったの？

Cloudflare Access はもともと SCIM 2.0 対応の IdP と連携して、ユーザーの追加・削除やグループの同期を自動化できる仕組みを持ってたの。ただ、SCIM 経由でどんな変更がいつ・誰に対して行われたのかをまとめて見る手段はなかったんだ。

「あれ、このユーザーのグループが急に変わったけど、IdP 側とどっちが原因？」みたいな調査をするとき、Cloudflare 側の記録が薄くて突き止めづらかったんだよね。

これで何が変わるの？

SCIM 経由の変更がすべて監査ログとして残るから、ユーザーやグループまわりのトラブルシューティングがぐっと楽になるの。IdP からの同期がちゃんと届いているか、意図しない変更が起きていないかを、ダッシュボードから直接確認できるようになったんだよ。

深く潜ってみよう

ログには、SCIM リクエスト 1 件ごとに次のような情報が記録されるよ。

• IdP 名(どの IdP から来たリクエストか)
• タイムスタンプ
• Action(HTTP メソッド。POST は作成、PUT は全体置き換え、PATCH は部分更新、DELETE は削除)
• 対象のユーザーのメールアドレス
• 対象のグループ名
• リソースタイプ(USER か GROUP か)
• Cloudflare 側のリソース ID
• IdP 側のリソース ID(IdP のレコードと突き合わせるのに使える)
• Outcome(SUCCESS か ERROR か)
• リクエストボディや JSON 形式のログ本体

これだけの項目があれば、「IdP ではこう送ったはずなのに Cloudflare 側では反映されていない」みたいな食い違いも、リクエスト単位で追いかけられそうだね。

ちなみに Cloudflare Access の SCIM 連携は、新規ユーザーが Cloudflare One Client を登録するか Access アプリケーションに認証するまではプロビジョニングが始まらない仕組みになっているから、ログを見ても該当ユーザーがまだ出てこない場合はそこも確認ポイントだよ。

まとめ

• Cloudflare Access に、SCIM 経由のユーザー/グループの作成・更新・削除を追える 監査ログ が追加されたよ
• 場所は Zero Trust ダッシュボードの Logs → SCIM provisioning
• IdP・イベント種別・Outcome など複数の項目で絞り込み検索ができる
• IdP 側リソース ID と Cloudflare 側リソース ID の両方が記録されるので、IdP との突き合わせ調査がしやすい

SCIM 連携で「なんでこの人のグループが変わったの？」に頭を抱えたことがある Zero Trust 管理者さんに、まさに刺さるアップデートだね！