【SAP Basis】BTPのRole CollectionをCloud Identity Servicesで一元管理する — 409 Conflictの罠

SAP BTP のサブアカウントが増えると、Role Collection へのユーザー割り当てを
個別に保守するのは運用限界を迎えます。IAS（Identity Authentication）に
グループを集約し、IPS（Identity Provisioning）で BTP へ自動で書き戻す
3ステップの構成を解説します。

ステップ1では `ips.application.id` をソースとターゲットの両方に設定することで、
Role Collection が IAS 上に Authorization Group として正しく取り込まれます。
ステップ2で IAS 側にメンバーシップを集約し、ステップ3で BTP へ書き戻します。

その書き戻しで、BTP に重複が無いにもかかわらず `409 Conflict`（More than one
entity found）が出ることがあります。原因は BTP XS Advanced UAA の SCIM 実装が
`GET /Groups?filter=displayName eq "..."` のフィルターを確実に処理せず、
全グループを返してしまうためです。

ターゲットシステムのプロパティに `scim.group.unique.attribute` = `id` を
設定すると、フィルター検索ではなく `GET /Groups/{id}` の直接参照に切り替わり、
正常に更新できるようになります。

第2回（GRC Access Control でのカスタム連携）と対になる、標準機能による
アプローチです。

出典: https://community.sap.com/t5/technology-blog-posts-by-members/managing-btp-role-collections-centrally-in-sap-cloud-identity-services/ba-p/14469281

本エピソードはAIによって生成された音声です。内容には誤りが含まれる可能性があります。実施前に必ず一次情報でご確認ください。
SAP® は SAP SE の登録商標です。本番組は SAP 社とは無関係の非公式なものです。