ひとことで言うと
SCIMとは、入社・異動・退職に合わせて、各クラウドサービスのアカウントを自動で作成・更新・削除するための共通ルールです。受付が持つ社員名簿の変更を、同じ書き方のお知らせでどのお店にも届けます。
1アカウント、手で作っていませんか？
新しい人が入るたびに、情シス担当はメール、チャット、営業管理と、サービスごとにアカウントを作ります。退職のときは、その逆です。1つでも消し忘れると、辞めた人のアカウントが残ります。
2受付の名簿の変更を、お店に配る
SCIMの世界にも「受付」と「お店」がいます。受付（IdP）は社員名簿を持っていて、名簿を書きかえると、その変更がお知らせになって、つながっているお店に届きます。このお知らせの書き方と届け方を決めた共通ルールがSCIMです。
SAMLの通行証は、お店に入るときの本人確認に使うものでした。SCIMが受け持つのはその手前で、お店にアカウントを用意したり片づけたりする仕事です。
3入社・異動・退職も自動で届く
-
1受付の名簿を1か所だけ書きかえる
-
2入社：お店にアカウントができる
-
3異動：部署などの情報が書きかわる
-
4退職：アカウントが止まる（無効化・削除）
人が書きかえるのは受付の名簿だけで、つながっているお店にはお知らせが自動で届きます。名簿に合わせてアカウントを作る・変える・止めることを、プロビジョニングと呼びます。
4お知らせの書き方は1つだけ
お知らせには、名前・部署・使えるかどうか、といった項目が決まった形で書かれています。書き方が1つにそろっているので、SCIMに対応したお店なら、どこでも同じお知らせを読めます。
中身は、Webでよく使われるAPI（REST）とJSONという形式です。送る側はOkta、Microsoft Entra ID、LOCKED DAS など、受け取る側はSlack、Salesforce などが対応しています。
5辞めた人の入口が残らない
手作業では、サービスが増えるほど消し忘れも起きやすくなります。SCIMなら、名簿で退職にした時点で、つながっているお店すべてに「止めて」のお知らせが届きます。
残ったアカウントは、辞めた人や、そのパスワードを手に入れた第三者の入口になります。退職した人のアカウントを確実に止めることは、情報漏えい対策の基本です。
6ひとことでまとめると
SCIMとは、受付（IdP）の社員名簿の変更を、同じ書き方のお知らせで各クラウドサービスに届ける共通ルールです。
- 受付 ＝ IdP（ID管理）社員名簿を持ち、変更を送る側
- お店 ＝ クラウドサービスお知らせを受けて、アカウントを直す側
- お知らせ ＝ SCIMのリクエスト名前や部署などを決まった形（JSON）で書いたもの
- 作る・変える・止める ＝ プロビジョニング名簿に合わせてアカウントを整えること
- 書き方の決まり ＝ SCIM 2.02015年にIETFが公開したRFC 7643とRFC 7644
- 通行証 ＝ SAMLアサーションお店に入るときに見せるもの。SCIMとは別の仕事
もっと詳しく知りたい人へ
SCIM規格によるプロビジョニング：標準化されたユーザー管理の実装
IGA導入RFPテンプレート
IGA導入の社内稟議に使えるRFPテンプレート。要件定義、評価基準、ベンダー回答フォーマットをそのまま活用できます。