SCIM または System for Cross-domain Identity Management 仕様は、複数のサービス間でアカウントを管理する標準プロトコルです。チームメイトの追加、名前などのプロパティの変更、アクセスを取り消すためのアカウントの無効化が可能です。
Intercom を identity provider と統合すると、チームメイトの管理が簡単かつ安全になります。
Google Workspace は Intercom 用の SCIM プロビジョニングをサポートしていません。Intercom は Google のアプリカタログにないためです。Google Workspace では Just-in-Time プロビジョニングのみ利用可能で、SCIM プロビジョニングは Okta、OneLogin、Azure Active Directory でサポートされています。
開始前に
重要： SCIM を設定するにはいくつかの前提条件があります。
SCIM の有効化方法
設定 > ワークスペース > セキュリティ > 認証方法 に移動します。
SAML SSO が有効になっていることを確認してください。
次に プロビジョニング を開き、SCIM プロビジョニングを有効にする を選択します。
セキュリティ設定を保存すると、Base URL と API Token が利用可能になります。
Base URL と API Token をコピーし、Identity Provider（例：Okta、OneLogin、Azure ActiveDirectory）の Intercom アプリの設定に追加します。
プロビジョニング設定の構成
SCIM を有効にした後、新しいチームメイトのプロビジョニング方法と退職したチームメイトのデプロビジョニング方法を設定する必要があります。
デフォルトのチームメイトシートと権限を設定する
Identity Provider によって新しいチームメイトが作成されると、Intercom はデフォルトのシートと権限を付与します。
設定 > ワークスペース > セキュリティ > 認証方法 に移動します。
SAML SSO が有効になっていることを確認してください。
プロビジョニング セクションを開きます。
「デフォルトのチームメイト権限」欄で 編集 をクリックします。
新しいチームメイトに付与するシートと権限をオンに切り替えます。
デプロビジョニング設定の構成
IdP によってチームメイトがデプロビジョニングされると、そのアカウントは Intercom から 削除 されます。この設定は、割り当てられたアイテム（会話、記事など）が誰に再割り当てされるかを制御します。
設定 > ワークスペース > セキュリティ > 認証方法 に移動します。
SAML SSO が有効になっていることを確認してください。
プロビジョニング セクションを開きます。
デプロビジョニング セクションで、各種データの所有権を誰に割り当てるか選択できます。
デフォルト オプションを選択すると、Intercom はワークスペース内の最初のチームメイトにアイテムを割り当てます。これらは後で再割り当て可能です。
特定のチームメイトを デプロビジョニングから除外 することもできます。これは、誤設定や緊急時に IT チームが Intercom ワークスペースへのアクセスを維持するのに役立ちます。
SCIM によるチームメイト管理
設定が完了すると、IdP が Intercom 内のチームメイトを管理します。
チームメイトの作成
これは一般的なユーザープロビジョニングの流れです。
IT チームが会社の Identity Provider ディレクトリに新しいチームメイトを追加します。
IT チームが IdP のプラットフォームで新しいチームメイトに Intercom アプリを割り当てます。
IdP が Intercom に HTTP リクエストを送信し、Intercom ワークスペースに新しいチームメイトを作成します。
新しいチームメイトには、自動的に デフォルトのチームメイト権限 で設定した権限とシートが付与されます。
注意： 同じメールアドレスの管理者アカウントがすでに Intercom に存在する場合、SCIM はその既存アカウントに顧客のワークスペースへのアクセス権を付与します。
チームメイトの更新
IT チームが IdP のディレクトリでチームメイトの名前を変更すると、IdP は Intercom に HTTP リクエストを送信して Intercom 内の名前を更新します。
チームメイトの削除
これは一般的なユーザーの SCIM デプロビジョニング設定 です。
IT チームが IdP でチームメイトから Intercom アプリの割り当てを解除します。
IdP が Intercom に HTTP リクエストを送信して、ワークスペースからチームメイトを削除します。
Intercom は デプロビジョニングチームメイト 設定に従い、そのチームメイトに割り当てられたすべてのオブジェクト（会話、送信メッセージ、連絡先、記事）を自動的に再割り当てします。
重要な無効化警告： 現在 Intercom のチームメイトは「アクティブ」または「削除済み」のいずれかの状態です。Intercom はチームメイトのソフト削除、無効化、アーカイブ状態をサポートしていません。
Identity provider でチームメイトがアクティブでない場合、そのアカウントは Intercom ワークスペースから永久に 削除 されます。チームメイトが他のワークスペースにアクセス権を持っている場合、そのアクセスは保持されます。
SCIM を使ったチームメイト権限の管理
Identity provider のグループを Intercom にプッシュし、それらのグループを特定のチームメイトロールにマッピングできます。詳細はSCIM グループを使ったチームメイトロールの自動割り当ての記事をご覧ください。
制限事項と重要な注意点
既知の制限事項
現在の SCIM 実装では以下をサポートしていません:
チームへのチームメイトの追加や削除
プロビジョニング時のデフォルトロールの付与（これは SCIM グループマッピングで行う必要があります）
重要な注意点
注意：
Intercom のプロビジョニング機能は SCIM プロトコル バージョン 2.0 を使用して構築されています。
Intercom はメールアドレスを大文字小文字を区別しないものとして扱います（例：「Teammate@example.com」は「teammate@example.com」と同じです）。
リクエストに「displayName」パラメータが送信された場合、それが「name」パラメータの代わりに使用されます。