IdP管理の組織でも、Jira・Confluenceのライセンスの棚卸作業を省エネ化する方法

2025年03月07日（2025年10月21日更新）

濵田翔（プロダクト＆サービス開発部）

濵田翔（プロダクト＆サービス開発部） hamada.sho

リックソフトへ2024年に入社した、プロダクト&サービス開発部の濵田です。

わたしたちは、Jira,ConfluenceなどAtlassian（アトラシアン）製品を利用されているお客様の声を受けて、みなさまが抱える課題を解決する・負担を軽減できるプロダクトを日々開発しています。

前回は、Jira・Confluenceのユーザーライセンスの棚卸し作業の際、リックソフト製アプリ「D-Accel」を活用すれば、作業時間を大幅に短縮できるうえ、ライセンスコストを年間で「約3分の1」削減できる事例を紹介しました。（＊Atlassian製品管理画面上において手作業で行う場合と比較）

今回は、セキュリティ向上のためIdP（Identity Provider）を導入済のみなさまに向けて、「D-Accel」を活用いただく方法をご案内いたします。

IdPによるプロビジョニングしてたら、「D-Accel」のユーザー棚卸ができない？
IdPによるプロビジョニング時のD-Accelユーザー棚卸し方法
まとめ：IdPでアカウントのプロビジョニングをしていても、ばっちり棚卸作業の省エネ化ができます。
次回予告（ライセンス管理・最適化の自動化する方法について）

IdPによるプロビジョニングしてたら、「D-Accel」のユーザー棚卸ができない？

前回記事の中で、IdP（Identity Provider）管理されたグループに対しては旧組織・新組織ともに製品アクセスの取り消しができないという制約があるとお伝えしました。あらためて、正確な条件を整理すると、以下のようになります。

Atlassian製品とIdPを連携させて、SAML認証／プロビジョニングを利用している。
Atlassianの製品アクセスに設定されるグループとして、IdPからプロビジョニングされたグループを利用している。

ユーザープロビジョニングについて

ユーザープロビジョニングを構成することで、ご利用の Atlassian 組織に外部のユーザーディレクトリを連携できます。この連携では、アイデンティティプロバイダーで更新を行ったときに、Atlassian 組織のユーザーとグループを自動的に更新できます。たとえば、ユーザープロビジョニングを使用することで、管理対象の Atlassian ユーザーアカウントをアイデンティティプロバイダーから作成、リンク、無効化できます。

IdPからプロビジョニングされたグループが利用されているかは「製品アクセス」の画面にてグループに鍵マークが表示されてるかどうかで確認することができます。

「製品アクセス」の画面へのアクセス方法は、ご利用されているユーザー管理エクスペリエンスによって異なりますので、以下の手順をご確認ください。

前回記事でご紹介した、D-Accel「ユーザー棚卸」における「製品アクセスを取り消す」機能は、Atlassianから提供されているユーザー管理のための「管理API」を用いて、製品アクセスに設定されているグループから対象ユーザーのメンバーシップを削除する...という内部処理を行うことで実現しています。

IdPからプロビジョニングされている場合、製品アクセスに設定しているグループやそのメンバーシップをIdP以外から変更できなくなります。この点を掘り下げると、上記APIを利用して対象のグループ／メンバーシップを一時的に更新しても、プロビジョニングの処理により更新前の状態へロールバックされてしまう、すなわち、IdP側の情報をもとに、Atlassian側の製品アクセス設定が常に同期されるということです。

したがって、Atlassianの製品アクセスに設定されているグループが、IdPからプロビジョニングされたグループである場合は、D-Accelの「製品アクセスを取り消す」機能を利用できないということになります。

IdPによるプロビジョニング時のD-Accelユーザー棚卸し方法

それでは、上記に該当している場合に、ユーザーの棚卸しをどのように行うべきでしょうか？

D-Accel開発チームでは、この制約に対してさまざまな検討を行った結果、「製品アクセスを取り消す」機能に加えて、以下「2」の操作をサポートすることで回避する方法を、お客様へ提供することにしました。

管理対象アカウントの無効化または削除
管理対象のAtlassianアカウント自体に対する操作で、削除する場合はAtlassianに登録されている個人データも含めて対象となります。アカウントの無効化または削除を行うと、組織全体、つまり組織の全サイトのアクセスへ影響し、対象のアカウントは一切利用できなくなります。
ユーザーを削除するか、アクセスを一時停止する
管理対象／対象外を問わず、サイトに紐づくユーザーに対する操作で、削除または一時停止は当該サイトにのみ影響します。対象のユーザーは、サイトに紐づく製品すべてにアクセスできなくなります。

「製品アクセスを取り消す」場合だと、個別の製品に対するアクティビティを見ながら細かくライセンス費用を削減できるものの、フィルタ条件が少し複雑となるため、製品単位で何度か棚卸し操作が必要となります。

一方で、「ユーザーの削除／アクセス権の一時停止」を行う場合では、個別の製品ではなくサイトに対するアクティビティを対象とすることでフィルタ条件を簡略化し、かつ、一度の操作でユーザー単位の棚卸しを行うことができます。

D-Accelにおいて、「ユーザーの削除／アクセス権の一時停止」を行う手順は、以下のとおりです。