Microsoft Entra IDとの統合

Microsoft Entra IDと1Passwordを接続すると、ユーザーの追加、属性の更新、退職時の一時停止、グループの同期をEntra ID側の操作だけで完結させられます。ここでは1Passwordがホストする自動プロビジョニングを使う手順を、1Password側の準備からEntra ID側の設定、稼働後の確認まで順に説明します。1Password側とEntra ID側を行き来する作業になるので、両方の画面を開いたまま進めてください。自己ホスト型のSCIM Bridgeを使う場合の手順は別のページで扱います。

設定を始める前に確認すること

作業する人は、1Password側では所有者または管理者グループに属している必要があります。Entra ID側では、1Passwordのアプリケーションを管理する管理者にPremiumのサブスクリプションが必要です。

既存のメンバーがいる場合は、そのメールアドレスのドメインが全て許可ドメインの一覧に入っているか確認してください。許可ドメインはサイドバーの招待から設定します。gmail.comのようなパブリックドメインは対象にできません。

【注意】 自動プロビジョニングを一度設定すると、そのアカウントでは自己ホスト型のSCIM Bridgeに戻せません。方式の内部構造が違うためです。既にSCIM Bridgeを運用していて移行を検討している場合は、切り替え前に判断を確定させてください。

1Password側で自動プロビジョニングを開始する

ここからは1Passwordの管理コンソールでの操作です。

1. 管理コンソールにサインインします。
2. サイドバーの統合を選びます。
3. ユーザープロビジョニングのセクションからEntra IDを選びます。
4. ホスト型プロビジョニングをセットアップする操作を選びます。
5. 画面に表示されたSCIMのURLとベアラートークンを、1Passwordのアイテムとして保存します。後の手順で貼り付けるほか、設定を見直すときにも使います。
6. この画面を開いたまま、Entra IDの管理画面に移ります。

Entra IDにアプリケーションを追加する

ここからは<a href="https://entra.microsoft.com/" target="_blank">Microsoft Entra管理センター</a>での操作です。1Password用のアプリケーションを新しく作ります。

1. サイドバーのEnterprise applicationsを選びます。
2. New applicationを選び、続いてCreate your own applicationを選びます。
3. アプリケーション名を入力します。1Password EPMのように、後から見て用途が分かる名前にしてください。
4. ギャラリー以外のアプリケーションを統合する選択肢を選び、作成します。

ギャラリーに1Passwordのアプリケーションはありません。自分で作る側の選択肢を使ってください。Unlock with SSOも使う場合は、ここで作ったアプリケーションに対してSSOの設定も行います。

【注意】 Entra IDの画面構成はMicrosoft側の都合で変わります。本ページの手順は2026年3月時点のものです。ボタンの位置や名称が違う場合は、<a href="https://learn.microsoft.com/entra/identity/enterprise-apps/add-application-portal" target="_blank">エンタープライズアプリケーションの追加</a>で現在の画面を確認してください。

接続と属性のマッピングを設定する

引き続きMicrosoft Entra管理センターでの操作です。作成したアプリケーションの画面で、1Passwordとの接続を設定します。

接続情報を入力する

1. Users and groupsから、テスト用のユーザーかグループを1つ割り当てます。本番の対象はテストの後に追加します。
2. Provisioningを選び、アプリケーションを接続する操作を選びます。
3. Tenant URLに、1Password側で控えたSCIMのURLを貼り付けます。1Passwordのサインインアドレスではありません。末尾にスラッシュを付けないでください。
4. Secret tokenに、控えたベアラートークンを貼り付けます。
5. Test Connectionで接続を確認してから保存します。

属性のマッピングを変更する

既定のマッピングのままでは正しく動きません。1カ所だけ必ず変更してください。属性の対応付けの考え方は<a href="https://learn.microsoft.com/entra/identity/app-provisioning/customize-application-attributes" target="_blank">属性のマッピングのカスタマイズ</a>にあります。

1. Attribute mappingを開き、Entra IDのユーザーをプロビジョニングする設定を選びます。
2. 1Password側のuserNameに対応する属性を探し、編集します。
3. 参照元の属性をuserPrincipalNameからmailに変更して保存します。

1Passwordが必要とする属性はuserName、active、displayName、preferredLanguage、externalIdの5つです。userName以外は既定のままで動きます。userPrincipalNameとメールアドレスが一致しない運用は珍しくありません。ここを直さないまま進めると、届かないアドレスに招待が送られます。mail以外の属性を使う場合も、実際に受信できるメールアドレスが入る属性を選んでください。

テストしてから対象を広げる

1. オンデマンドでプロビジョニングを実行する機能を使い、先ほど割り当てたユーザーかグループを指定します。グループを指定するときは、その中のユーザーも選びます。
2. 実行結果を確認し、1Password側にユーザーとグループが作られたことを確かめます。
3. 問題がなければUsers and groupsに本番の対象を追加します。
4. Overviewからプロビジョニングを開始します。

対象に追加したユーザーとグループは、開始の操作を行うとすぐに同期されます。新しいユーザーには招待メールが届きます。

【運用のポイント】 Entra IDの同期サイクルは約40分です。設定を変えてもすぐには反映されません。検証中はオンデマンドの実行を使うと待ち時間をなくせます。本番稼働後に反映されないという問い合わせを受けたときも、まず40分の周期を確認してください。

稼働後に起きることを把握しておく

自動プロビジョニングを開始すると、アカウントの動き方がいくつか変わります。

既存の1Passwordユーザーは、メールアドレスが一致すればEntra ID側のユーザーと紐づきます。一致しない場合は招待が新しく送られるので、対象になるメンバーには開始前にメールアドレスをそろえてもらってください。招待に有効期限はありませんが、2日経っても承諾がない場合はリマインドが届きます。承諾した時点でメンバーは自動的に確認されるため、管理者が後から承認する操作は不要です。

メンバー自身によるメールアドレスの変更はできなくなります。変更はEntra ID側で行い、その後に本人が1Password側で確認操作を行う2段階になります。暗号鍵がメールアドレスと結びついているため、管理者の操作だけでは完了しません。

Entra ID側でユーザーを削除するか、無効化するか、割り当てを外すと、1Password側のアカウントは一時停止されます。削除ではないので、データが必要になったときは復帰させられます。完全に削除するのは一定期間を置いてからにしてください。

Provision Managersという新しいグループが作られます。自動プロビジョニングが使うため削除できませんが、原則として誰も入れないでください。このグループのメンバーは、まだセットアップを終えていないユーザーの従業員保管庫にアクセスできます。

【注意】 アカウントの復旧またはすべてのグループの管理のパーミッションを持つグループは、自動プロビジョニングの管理対象から自動的に外れます。IDプロバイダーが侵害されたときにアカウント全体の暗号鍵へ到達されることを防ぐ仕組みです。復旧を担当するグループのメンバーはEntra ID側では管理できないので、1Password側で手動管理する運用として設計してください。

既存のグループを同期の対象にする

1Passwordの管理コンソールに戻っての操作です。1Passwordに既にあるグループを引き続き使う場合は、管理対象に追加します。サイドバーの統合からホスト型プロビジョニングを開き、管理対象グループのセクションで対象を選びます。

グループを追加する前に、そのグループが使う保管庫を作っておいてください。ディレクトリー側のサービスアカウントなど、1Passwordに取り込みたくないユーザーがグループに含まれている場合は、Entra ID側で除外の条件を設定します。

入れ子になったグループとロールの割り当てには対応していません。Entra ID側で階層を組んでいる場合は、1Passwordに渡す時点で平坦なグループに整理してください。

全メンバーが所属するグループを1つ作り、業務別のグループと併せて同期しておくと運用が安定します。業務別のグループを移動するときに、どのグループにも属さない瞬間が生まれず、アカウントが一時停止されずに済みます。

うまくいかないときに確認すること

ユーザーやグループが作られない場合は、1Password側で同期が有効になっているかを最初に確認します。サイドバーの統合からホスト型プロビジョニングを開き、IDプロバイダーとの同期のスイッチがオンになっているかを見てください。

招待が届かない場合は、許可ドメインの一覧と、userNameのマッピングを確認します。ドメインを追加するときは、1Password側の許可ドメインを先に更新してからEntra ID側のメールアドレスを変更してください。順序を逆にすると、変更後のアドレスで組織のアカウントを使えなくなります。

一時停止中のメンバーのメールアドレスは変更しないでください。IDプロバイダーによっては一時停止中のユーザーの変更が同期されず、後で復帰させたときに1Passwordが別人として扱います。