Skip to main content
ClickHouse Cloud は、ユーザーとグループのライフサイクルを自動管理するための SCIM 2.0 (System for Cross-domain Identity Management) をサポートしています。IDプロバイダーに接続すると、ClickHouse Cloud アプリケーションに割り当てたすべてのユーザーが、適切なロールで組織内に自動的に作成されます。プロファイルの更新も自動的に反映され、IdP からユーザーを削除すると、そのユーザーのアクセス権も削除されます。手動で招待したり、不要なアカウントが残ったりすることはありません。 このガイドでは、Okta を使用して SCIMプロビジョニングをエンドツーエンドで設定する手順を説明します。ClickHouse Cloud の SCIM エンドポイントは SCIM 2.0 (RFC 7644) に準拠していますが、認証方式としてサポートされているのは Basic Auth のみで、検証済みの IDプロバイダーも Okta のみです。他の SCIM 2.0 IdP でも、Basic Auth で認証できれば動作する可能性はありますが、現時点では正式にはサポートされていません。

​
始める前に

必要なもの:
  • ClickHouse Cloud の組織で Admin ロールを持っていること。
  • IdP と ClickHouse Cloud の間で SAML SSO がすでに設定済みであること。SCIM でユーザーアカウントは作成されますが、それらのアカウントは SAML 経由でサインインするため、まず SSO が正常に動作している必要があります。
  • Okta テナントに対するスーパー管理者権限があり、アプリケーションのインストールと Provisioning の設定を行えること。
  • SCIM 経由で割り当てるロールの一覧 (例: Admins、Developers、Read-only) 。これは事前に決めておいてください。Okta で対応するグループを作成します。

​
SCIM と ClickHouse Cloud の連携の仕組み

  1. Okta の管理者が、ユーザーを直接またはグループ経由で ClickHouse Cloud アプリケーションに割り当てます。
  2. Okta は、生成したトークンを使って認証し、HTTPS 経由で ClickHouse Cloud の SCIM エンドポイントを呼び出します。
  3. ClickHouse Cloud は、組織内にユーザーを作成し、Okta のグループ所属に基づいてロールを割り当てます。
  4. ユーザーは、既存の SAML SSO フローを使用して ClickHouse Cloud にサインインします。
  5. プロファイルやグループの変更、Okta での無効化は、自動的に ClickHouse Cloud に反映されます。

​
ClickHouse Cloud の組織で SCIM を設定する

1

SCIM を有効にする

組織管理者として ClickHouse Cloud Console にサインインし、組織設定 → SAML and SCIM settings → SCIM Configuration を開きます。組織設定で SCIM 設定タブに移動するEnable SCIM をクリックします。SCIM は SAML SSO の接続後に有効になります。オプションがグレーアウトしている場合は、先に SAML の設定を完了してください。Enable SCIM を切り替える次の形式の SCIM エンドポイント URL が生成されます。
これをコピーしてください。後で Okta に貼り付けます。
2

SCIM アクセストークンを生成する

Create an API key セクションで有効期限を選択します。
ローテーションを見越して計画してください有効期限は 12 か月に設定し、カレンダーにリマインダーを追加することをおすすめします。ClickHouse Cloud では同時に最大 2 つの SCIM トークンを有効にできるため、ダウンタイムなしでローテーションできます。新しいトークンを生成し、Okta 側を切り替え、プロビジョニングが引き続き機能することを確認してから、古いトークンを取り消してください。
Generate key をクリックします。トークンは 一度だけ、キー (scim_ プレフィックス付き) とシークレットとして表示されます。両方をすぐにコピーし、安全なシークレットマネージャーに保存してください。後から再取得することはできません。紛失した場合は、そのトークンを取り消して新しいものを生成してください。新しい SCIM API key を生成する
3

ロールマッピングを定義する

SCIM Configuration パネルで Map roles in “Users and roles” をクリックします (または Users and roles → Roles から直接移動します)。SCIM グループは名前に基づいて ClickHouse Cloud のロールに紐付けられます。あわせて次のルールに注意してください。
  • SCIM グループを定義済みのシステムロールにマップすることはできません。 SCIM マッピングが適用されるのはカスタムロールのみです。SCIM 経由でシステムレベルの権限を公開する必要がある場合は、必要な権限をまとめたカスタムロールを作成してください。
  • 名前が一致すると自動的にリンクされます。 カスタムロールが受信した SCIM グループと同じ名前であれば、ClickHouse Cloud が自動的に紐付けます。手動マッピングは不要です。
  • グループ名とは異なるロール名を使うには、まず使用したいロール名でカスタムロールを作成し、その後、そのロールが紐付けられる SCIM グループ名を SCIM group フィールドに設定してください。
  • 未マップのグループは新しいロールを作成します。 Okta が、既存のロール名と一致せず、どのロールの SCIM group フィールドからも参照されていないグループをプッシュすると、ClickHouse Cloud はそのグループ名で新しいカスタムロールを作成します。その後、そのロールに必要な権限を付与できます。

​
Okta で ClickHouse Cloud アプリケーションを設定する

1

Okta で ClickHouse Cloud アプリケーションを開く

Okta Admin Console で Applications → Applications に移動し、ClickHouse Cloud の SAML SSO 設定時に作成したアプリケーションを検索して開きます。まだ SAML アプリケーションを作成していない場合は、先に SAML SSO setup guide に従ってください。SCIM プロビジョニングは同じアプリケーションで設定します。General タブで App Settings セクションを見つけて Edit をクリックします。Provisioning で SCIM を選択し、Save をクリックします。Okta アプリケーション設定でプロビジョニングモードを SCIM に設定するこれで、アプリケーションに Provisioning タブが表示されます。アプリケーションに Provisioning タブが表示された状態
2

Okta を SCIM エンドポイントに接続する

アプリケーションの Provisioning タブを開き、Edit をクリックします。フォームに必要事項を入力します。
  • SCIM connector base URL — 先ほどの SCIM エンドポイント URL。
  • Unique identifier field for users — userName。
  • Supported provisioning actions — 次の項目をすべて選択します。
    • Import New Users and Profile Updates
    • Push New Users
    • Push Profile Updates
    • Push Groups
    • Import Groups
  • Authentication Mode — Basic Auth。
    • Username — SCIM トークンのキー (scim_ で始まります) 。
    • Password — SCIM トークンのシークレット。 SCIM コネクタ URL を入力し、一意識別子を userName に設定する SCIM 認証用の API 認証情報を入力する
Test Connector Configuration をクリックします。緑色の確認メッセージが表示されるはずです。失敗した場合は、Troubleshooting に進んでください。SCIM 接続をテストするSave をクリックします。
3

Provisioning の動作を設定する

引き続き Provisioning タブで、左側のサイドバーにある To App をクリックします。Edit をクリックし、以下を有効にします。ユーザー向けの SCIM Provisioning アクションを有効にするSave をクリックし、アプリケーションの Sign On / Provisioning タブに戻って、設定が反映されていることを確認します。Provisioning の設定を保存して Sign On タブに戻る
4

ユーザー属性をマッピングする

Okta と ClickHouse Cloud で、どのユーザーフィールドを対応付けるか一致している必要があります。Provisioning タブで To App をクリックし、アプリケーションの Attribute Mappings を確認してください。通常は Okta SAML アプリケーションのデフォルト設定で問題ありませんが、以下の表を確認してください。department、manager、location などの任意の属性を追加できます。ClickHouse Cloud はこれらをユーザープロファイルに保存しますが、現時点では権限には使用しません。SCIM 標準セットに含まれない属性は、ClickHouse Cloud 側で無視されます。
メールアドレスの大文字・小文字は重要ですOkta の userName と email で大文字・小文字が一致していることを確認してください。ClickHouse Cloud はメールアドレスを小文字に正規化するため、2 つのフィールドに不一致があるとテストに失敗することがあります。
5

グループをプッシュしてユーザーを割り当てる

ここでロールが自動的に適用されます。Okta でグループを作成します。 先ほど設定した各ロールマッピングに対して、表示名が完全に一致する Okta グループを作成するか、既存のグループを特定します。たとえば、マッピングが ClickHouse-Admins → Admin であれば、Okta で ClickHouse-Admins という名前のグループを作成します。Okta で新しいグループを作成する作成したグループを開き、Assign people をクリックしてメンバーを追加します。グループの Assign people をクリックするユーザーをグループに割り当てる次に、ロールのメンバーシップとアプリへのアクセスを同期した状態に保つため、同じグループに SCIM アプリケーションも割り当てます。アプリケーションをグループに割り当てるグループをプッシュします。 アプリケーションの Provisioning タブで Push Groups → Find groups by name をクリックし、グループを検索して Save をクリックします。これを各ロールグループに対して繰り返します。プロビジョニングが完了すると、それぞれの Push Status は Active (Pushed) と表示されるはずです。アプリケーションの Push Groups タブで名前による Group Push を設定するユーザーを割り当てます。 方法は 2 つあります。
  • グループ経由 (推奨) 。 先ほどプッシュした Okta グループにユーザーを追加します。ユーザーは ClickHouse Cloud にプロビジョニングされ、対応するロールが自動的に割り当てられます。
  • 直接。 アプリケーションの Assignments タブで、Assign → Assign to People をクリックし、個別のユーザーを選択します。プッシュ済みのグループにも所属していない場合、ユーザーは Default role でプロビジョニングされます。
継続的な管理では、グループベースの割り当てのほうが簡潔です。誰かのロールが変わっても、更新するのはグループのメンバーシップだけで済みます。

​
インテグレーションをテストする

Provisioning の設定が完了したら、ClickHouse Cloud Console の Settings → Users and roles に戻り、同期されたユーザーが想定どおりのロールで表示されていることを確認します。 Users and roles でユーザー同期を確認 チーム全体を割り当てる前に、1～2 人のテストユーザーでこの簡単なテスト計画を実施してください。各手順は数秒以内に成功するはずです。成功しない場合は、Okta の Tasks キューと Troubleshooting セクションを確認してください。 いずれかの手順が失敗した場合は、先に進む前に根本原因を解消してください。問題はそのままにすると、症状が連鎖的に悪化することがよくあります。
Okta で SCIM エラーを確認する場所SCIM エラーは、対象アプリケーションで絞り込んだ Reports → System Log と、アプリケーションの Provisioning → View Logs 画面に表示されます。ClickHouse Cloud から返されたエラーメッセージはそのまま表示されるため、まずはそこを確認してください。

​
本番環境向けのベストプラクティス

​
トークンは定期的にローテーションしてください

SCIMトークンのローテーションを忘れないよう、カレンダーにリマインダーを設定してください。推奨頻度は12か月ごと、またはそのトークンを把握していた管理者が退職した場合は直ちに実施することです。ClickHouse Cloud では、プロビジョニングを止めずにローテーションできるよう、組織ごとに2つのアクティブなトークンを利用できます。

​
直接割り当てではなく、グループを使ってください

アプリケーションにユーザーを直接割り当てることもできますが、すぐに監査しづらくなります。Okta のグループ経由で割り当てれば、アクセスレビューやロール変更を1か所で管理できます。

​
監査ログを確認してください

ユーザーの作成、無効化、プロファイル更新など、あらゆる SCIM アクションは ClickHouse Cloud の監査ログに記録されます。Audit loggingを参照してください。ログは定期的に確認し、特に大量のプロビジョニングが発生した後は注意して確認してください。

​
適切なデフォルトロールを設定してください。

Okta ユーザーがアプリケーションに割り当てられていても、どのプッシュ済みグループにも含まれていない場合は、Default role で作成されます。設定ミスがあっても安全に失敗するよう、ユーザーが最低限の操作は行える範囲で、最も制限の厳しいロールを選んでください。

​
SCIM と手動招待を同時に使わないでください

SCIM を有効にしたら、メンバーシップは Okta 経由で管理し、同じユーザーに手動招待を送らないでください。両方を混在させると、どちらを正とすべきかが不明確になり、重複が発生することがあります。

​
失敗したプロビジョニングタスクを監視してください

Okta は失敗したプロビジョニング呼び出しを再試行しますが、最終的には Tasks キューに保留します。このキューを IT チームが普段監視しているダッシュボードに追加するか、Okta の webhook やメールアラートを使って、継続的な失敗を検知してください。

​
トラブルシューティング

  • ClickHouse Cloud Console で SCIM が有効になっていることを確認します。
  • Okta のbase URL が、Cloud Console に表示されている SCIM エンドポイント URL と完全に一致していることを確認します。組織 ID が正しい必要があります。
  • トークンのキーとシークレットが、前後に空白を含まず貼り付けられていることを確認します。
  • トークンをローテーションした場合は、以前の組み合わせではなく、新しいキーとシークレットを使用していることを確認します。
  • 想定しているロールに対して、Map roles in “Users and roles” に行を追加していることを確認します。
  • Okta のグループ名が、マッピング内の SCIM グループ名と完全に一致していることを確認します。大文字小文字やハイフンも含めて一致している必要があります。
  • 一部のユーザーを意図的にグループなしでプロビジョニングする設計の場合は、Default role が設定されていることを確認します。
通常は、Okta と過去の手動招待との間でメールアドレスの大文字小文字が一致していないことが原因です。Members 一覧から重複したユーザーを削除し、その後 Okta でそのユーザーの割り当てを解除してから再割り当てし、あらためてプロビジョニングしてください。
Okta のグループ名が、ClickHouse Cloud で設定されているマッピングと一致していません。Okta のグループ名を変更するか、SCIM Configuration パネル (または Users and roles → Roles) から Map roles in “Users and roles” にマッピングを追加してください。
Okta で無効化が反映されるまで最大 1 分かかることがあります。数分経ってもユーザーが引き続きメンバーとして表示される場合は、Okta の Provisioning → View Logs で無効化タスクのエラーを確認してください。
Okta で同じ SCIM アプリケーションの認証情報を更新したことを確認してください。更新後、Test Connector Configuration をクリックして確認します。プロビジョニングが正常な状態に戻ったら、ClickHouse Cloud Console で古いトークンを取り消します。
トークンは復元できません。ClickHouse Cloud Console の 組織設定 → SAML and SCIM settings → SCIM Configuration で、紛失したトークンを取り消して新しいものを生成し、その後 Okta の認証情報を更新してください。

​
よくある質問

はい。SCIM はユーザーアカウントを作成しますが、その認証は ClickHouse Cloud が SAML 経由で行います。先に SAML SSO を設定してください。
公式には、いいえ — 現時点でテスト済みかつサポート対象なのは Okta のみです。エンドポイントは SCIM 2.0 (RFC 7644) に準拠していますが、認証は Basic Auth のみに制限されているため、Basic Auth で認証できない IdP では動作しません。その他の Basic Auth 対応 SCIM 2.0 IdP も実際には動作する可能性がありますが、保証はありません。
ほとんどの操作は数秒以内に反映されます。大量の変更 (大規模なグループのプッシュ) は、規模によってはさらに時間がかかることがありますが、一時的なエラーに対しては Okta が自動的に再試行します。
はい — 組織ごとに、それぞれ専用の SCIM エンドポイント URL とトークンを使ってアプリケーションを 1 つずつインストールしてください。必要に応じて、同じ Okta グループを各アプリケーションに push できます。
ClickHouse Cloud Console の Help → Contact support からサポートチケットを作成し、次の情報を含めてください。
  • 組織 ID
  • Okta アプリケーション ID
  • Okta のログにある、失敗したタスクまたはテストのスクリーンショット
最終更新日 2026年7月24日