SCIMのアカウント無効化と削除、退職者対応では何が違うのか
SCIMでアカウントをすぐ削除せず無効化する理由と、再入社、監査記録、個人情報の保持を考慮した運用基準を解説します。
退職者のアカウントを処理するとき、「ログインだけを止めるのか、データを完全に消すのか」は同じ問いではありません。SCIMでは一般に、ユーザーリソースの active を false にする無効化と、リソース自体を消す削除を区別します。両者を一つの操作として扱うと、アクセス権が残ったり、逆に監査に必要な記録まで早く失われたりします。安全なオフボーディングは、アクセス遮断とデータ削除のタイミングを分けることから始まります。
退職当日は無効化を優先する
すぐにアクセスを止め、記録との関係は残す
無効化の第一の目的は迅速な遮断です。退職が有効になった時点でIdPへのログインを止め、アクティブなセッション、アプリの割り当て、グループ所属も回収します。SCIMの受信側には無効状態を反映しつつ、ユーザー識別子と過去の操作記録との関係は維持します。全体の流れは退職者アカウント回収の自動化で確認できます。
無効化したアカウントは、再入社や契約延長にも対応しやすくなります。同じメールアドレスで別アカウントを作って競合させるのではなく、既存ユーザーを確認して承認後に再有効化できるためです。ただし、以前のグループや管理者権限までそのまま戻してはいけません。現在の職務を基準に権限を再承認します。
削除は別の保持ポリシーで決める
「アクセス不可」と「個人情報なし」を混同しない
アカウントを無効化しても、氏名、メールアドレス、監査記録などは残る場合があります。一方、個人情報の削除依頼があっても、セキュリティ調査や法的義務に必要な記録まですべて即時削除すべきとは限りません。データの種類ごとに保持目的、期間、削除または匿名化の方法を定め、法務・セキュリティ担当者の確認を受けます。
監査ログには、誰がいつ無効化し、どのアプリへのアクセスとセッションを回収したかを残します。ただし、SCIM Bearerトークンや不要な個人情報は記録しません。保持基準の作り方はSSO監査ログの保持ポリシーを参考にしてください。
システムごとの動作差も確認する
SCIM対応製品でも、無効化後のセッション終了、削除リクエストの処理、再有効化の方法は異なることがあります。導入前にテスト用テナントで active=false の反映、ログイン遮断、グループ削除、既存セッション、再有効化、最終削除を順番に検証します。失敗したリクエストの再送だけで終わらせず、基準システムと実際の状態を照合してください。復旧手順はSCIM同期失敗の復旧ガイドで詳しく解説しています。
AxiPassでアクセス遮断と監査をつなぐ
AxiPassはSaaS企業向けのマルチテナントIdPです。顧客企業ごとのSCIMユーザー・グループプロビジョニングと、OIDC・SAML SSO、MFA、グループ単位のアプリ制御、SSO非対応アプリ向けSWA、監査ログを一元的に運用できます。アカウント状態の変更をログインとアプリ制御につなぎ、削除は組織の保持ポリシーに沿った別の手続きとして管理しましょう。