【Box】SCIMプロビジョニングが特定ユーザーだけ反映されない時の同期状態と端末設定の直し方

BoxのSCIMプロビジョニングを利用していると、ほとんどのユーザーは正常に同期されるのに、特定のユーザーだけがBoxに反映されないケースがあります。この問題は、IdP側の属性マッピングやユーザーアカウントの状態、あるいはユーザーの端末に残った古い設定が原因で発生することが多いです。本記事では、SCIM同期の状態を確認する手順と、端末設定の修正方法を詳しく解説します。原因を切り分けて適切に対処できるよう、具体例や失敗パターンも交えて説明します。

SCIMプロビジョニングが特定ユーザーにだけ反映されない原因

Box SCIMは、IdP(Azure AD、Okta、Google Workspaceなど)からユーザー情報を自動的に同期する仕組みです。特定ユーザーだけ反映されない原因は、主に以下の3つに分類されます。

• IdP側のユーザー属性やメンバーシップの問題: ユーザーがプロビジョニングの対象グループから外れている、または必須属性(メールアドレスなど)が不足している。
• Box側の同期ポリシーや制限: すでに同名のユーザーが存在する、ドメイン制限、ライセンス不足など。
• 端末のBoxクライアント設定の干渉: ユーザーの端末でBox DriveやBox Syncが古い認証情報を保持し、SCIMによる変更を上書きしている。

特に3つ目の端末設定は見落とされがちです。例えば、端末のBox Driveがオフライン状態でSCIM側でユーザーが削除された場合、次回オンラインになったときに競合が発生します。以下、それぞれの確認手順を説明します。

同期状態の確認手順

Box管理コンソールでSCIMログを確認する

まず、Boxの管理コンソールで当該ユーザーの同期状態を確認します。以下の手順で行ってください。

1. Box管理コンソールに管理者アカウントでログインします。
2. 左メニューから「管理コンソール」→「ユーザー」を選択します。
3. 問題のユーザーを検索し、ユーザー名をクリックして詳細を表示します。
4. 「プロビジョニング」タブを開きます。ここに「同期状態」が表示されます。
5. 状態が「アクティブ」「保留中」「エラー」「未同期」のいずれかを確認します。エラーの場合は詳細メッセージが表示されるので記録します。

エラーメッセージには「Email already exists」や「Invalid attribute」などが含まれることが多く、原因特定の手がかりになります。

IdP側のプロビジョニングログを確認する

Boxのログだけでは不十分な場合、IdP側のログも確認します。代表的なIdPの確認方法をまとめます。

IdP側でユーザーがプロビジョニング対象外になっている、または属性の不一致がある場合、Boxに反映されません。例えば、Azure ADでプロビジョニングの範囲が「割り当てられたユーザーのみ」になっているのに、該当ユーザーがアプリケーションに割り当てられていないケースがよくあります。

端末設定の確認と修正手順

SCIMの同期自体は正常でも、ユーザーの端末にインストールされたBox DriveやBox Syncの設定が原因で、反映がブロックされることがあります。特に、オフラインで変更されたファイルや、古い認証トークンが問題を引き起こします。以下の手順で端末設定をリセットしてください。

1. ユーザーにBox DriveまたはBox Syncを完全に終了してもらいます。タスクトレイのアイコンを右クリックし、「終了」を選択します。
2. Windowsの場合「%LOCALAPPDATA%\Box\Box\cache」、Macの場合「~/Library/Caches/com.box.box/」を開き、キャッシュフォルダ内のすべてのファイルを削除します。ただし、Boxアプリケーションが使用中のファイルは削除できないため、事前にアプリを終了してください。
3. キーチェーン(Mac)または資格情報マネージャー(Windows)からBox関連の認証情報を削除します。Windowsでは「コントロールパネル」→「資格情報マネージャー」→「Windows資格情報」で「Box」を含むエントリを削除します。
4. Box Driveを再起動し、再度サインインします。サインイン時に、組織アカウント(SCIMで管理されているアカウント)を使用するように指示します。
5. サインイン後、ファイルの同期状態を確認します。同期に問題がなければ、SCIMで更新された設定(所属グループの変更など)が反映されているはずです。

この手順により、クライアント側の古い設定がリセットされ、SCIMの変更が正しく適用されます。特に、ユーザーの所属変更やアカウント再有効化後に効果的です。

失敗パターンと注意点

実際の現場で発生しやすい失敗パターンをいくつか紹介します。

• パターン1: Box管理画面ではユーザーが「アクティブ」なのに、端末で変更が反映されない。 これは端末のキャッシュが原因です。上記の端末設定リセットで解決します。
• パターン2: SCIMログに「Duplicate email」エラー。 Box内に同じメールアドレスを持つユーザーが別のプロビジョニングソース(手動作成など)で存在しています。重複ユーザーを統合または削除する必要があります。
• パターン3: SCIMでユーザーを無効化したのにBox上で有効のまま。 端末のBox Driveがオフライン中に無効化が行われた可能性があります。端末をオンラインにして、Box Driveを再起動すると反映されます。
• パターン4: IdP側でユーザーが削除されたのに、Box上で削除されない。 SCIMの削除ポリシーが「完全削除」ではなく「無効化」に設定されている場合があります。Box管理コンソールのSCIM設定を確認してください。

注意点として、端末設定の変更はユーザー自身でも実行できますが、キャッシュ削除や資格情報の削除は慎重に行う必要があります。また、管理者以外がBox管理コンソールの設定を変更することはできません。問題が解決しない場合は、IT管理者にSCIMログの詳細を共有しましょう。

管理者に確認すべき情報

特定ユーザーのみ反映されない場合、管理者に以下の情報を伝えると原因特定がスムーズです。

• 該当ユーザーのメールアドレスとユーザーID(BoxのユーザーID、IdPのオブジェクトID)
• Box管理コンソールのプロビジョニングタブに表示されるエラーメッセージ
• IdPのプロビジョニングログの該当ユーザーの行(スクリーンショット)
• 端末で行った設定リセットの内容とタイミング

これらの情報があれば、管理者は属性マッピングの誤りや同期スコープの問題を迅速に特定できます。また、Boxサポートへの問い合わせが必要な場合も、正確な情報を提供できます。

よくある質問

• Q: SCIMの同期間隔はどれくらいですか?
  A: 通常は数分から数十分です。IdP側の設定にもよりますが、即時反映が必要な場合は手動でプロビジョニングをトリガーすることもできます。
• Q: 端末設定をリセットしても反映されない場合はどうすればよいですか?
  A: その場合は、SCIMの同期自体に問題がある可能性が高いです。管理者にBoxのSCIMログとIdPのログを確認してもらい、エラーの詳細を調べてください。
• Q: ユーザーが自分で端末設定をリセットできますか?
  A: はい、キャッシュ削除や再ログインはユーザー自身でも可能です。ただし、資格情報マネージャーやキーチェーンの操作に不安がある場合はITサポートに依頼してください。
• Q: Box DriveではなくWebブラウザからアクセスすれば問題ありませんか?
  A: Webブラウザは端末のキャッシュの影響を受けにくいため、一時的な回避策としては有効です。ただし、SCIMの変更が完全に反映されるまでには同期のタイミングを待つ必要があります。

まとめ

Box SCIMで特定ユーザーだけ反映されない場合、まずはBox管理コンソールとIdPのプロビジョニングログを確認し、同期状態を把握します。次に、該当ユーザーの端末でBox Driveのキャッシュと認証情報をリセットすることで、多くの問題は解決します。それでも改善しない場合は、管理者にエラー情報を共有し、SCIM設定や属性マッピングの見直しを依頼しましょう。端末設定のリセットはユーザー自身でも実行できるため、まずはこの記事の手順を試すことをおすすめします。