たった 1 リクエストで SCIM グループがまるごと同期できるように！

みんな、しぃちゃんだよ！今日は Cloudflare の Changelog で、地味だけど IdP 連携してる人にはうれしいアップデートを見つけたから紹介するね！

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Dashboard の SCIM 連携が HTTP PUT によるグループ置き換えに対応したことが発表されたよ。これは RFC 7644 セクション 3.5.1 で定義されている仕様に沿ったもので、アイデンティティプロバイダー(IdP)がグループの全状態——表示名・external ID・メンバー構成——を 1 回のリクエストでまるごと同期できるようになったんだって。

今までどうだったの？

SCIM(System for Cross-domain Identity Management)には、大きく分けて「一部だけ変更する PATCH」と「全体を置き換える PUT」という 2 つの更新方式があるの。IdP によっては、差分だけを送る PATCH 方式ではなく、グループの状態をまるごと送りつけて置き換える PUT(リプレース)方式で同期する仕組みを採用しているところもあるんだよね。そういう IdP と組み合わせると、Cloudflare 側のグループ状態がうまく噛み合わずにズレてしまうことがあったみたい。

これで何が変わるの？

PUT によるグループ置き換えに対応したことで、リプレース方式で同期する IdP との互換性が改善されたよ。IdP 側で管理しているグループの表示名・external ID・メンバー一覧をそのまま 1 リクエストで送るだけで、Cloudflare 側のグループもぴったり同じ状態に揃うようになったの。IdP を正としてグループを管理している組織にとっては、同期のズレを気にしなくてよくなる嬉しいアップデートだね。

深く潜ってみよう

今回の対応は RFC 7644 セクション 3.5.1 で定義された仕様に準拠しているので、標準的な SCIM クライアントであれば追加のカスタマイズなしに PUT リクエストを送れるはずだよ。ただし利用にはいくつか条件があるから注意してね。

• Cloudflare Dashboard の SCIM プロビジョニングは Enterprise プランの顧客向け機能
• 初期セットアップを行うには Super Administrator 権限が必要
• 置き換え対象になるのはグループの表示名・external ID・メンバー構成

詳しい設定方法は、Cloudflare 公式の SCIM プロビジョニング解説ドキュメントにまとまっているみたいだよ。

まとめ

• Cloudflare Dashboard の SCIM 連携が HTTP PUT によるグループ置き換えに対応
• RFC 7644 セクション 3.5.1 に準拠し、表示名・external ID・メンバーをまるごと 1 リクエストで同期
• リプレース方式で同期する IdP との互換性が改善
• 利用は Enterprise プラン限定で、初期設定には Super Administrator 権限が必要

IdP 側でグループを一元管理していて、Cloudflare とのズレに悩んでいた Enterprise 管理者さんに刺さるアップデートだよ！