Cloudflare の最初の SCIM 連携では、IdP 上で CF-<accountID>-<Role Name> というパターンで識別される Virtual Groups（仮想グループ）という概念を導入しました。Virtual Groups は、グループベースのアクセス制御の初期実装です。SCIM が自動作成するプレースホルダーとして、IdP のグループをアカウントメンバーシップへ対応づけていました。
お客様は IdP 内でこれらのグループのメンバー追加や削除はできましたが、Virtual Groups には次の制限がありました。
- IdP 側で名前の変更や削除ができませんでした。
- Cloudflare 内では管理できませんでした。
- 実態として、Virtual Group の管理はユーザー同期と、各メンバーのポリシーを個別に編集するのと同じでした。
User Groups の一般提供（GA）に伴い、Virtual Groups は非推奨になりました。ポリシーの割り当てと管理をより柔軟かつスケーラブルに行える User Groups へ移行してください。Cloudflare ダッシュボードとの SCIM 同期を維持するには、SCIM User Groups への移行を強くおすすめします。
IdP から Cloudflare へ、CF-<accountID>-<Role Name> の Virtual Group に紐づくグループを一度も同期していない場合は、対応は不要です。
- Cloudflare でプロビジョニングした Account Owned Token を使い、IdP で 新しい SCIM 連携を作成 します。
- 社内プロセスに沿った命名規則で、IdP の 新しい Application にユーザーとグループを割り当て ます。
- グループを Cloudflare に同期 し、Cloudflare ダッシュボードの User Groups ペインに表示されることを確認します。
- 新しい User Groups に 権限ポリシーを割り当て、グループに入ったメンバーが正しいアクセス権を継承するようにします。
- ユーザーを新しいグループへ段階的に 移行 し、Cloudflare ダッシュボードへのユーザーとグループの同期を確認します。
CF-<accountID>-<Role Name>パターンの SCIM v1 Virtual Groups と IdP マッピングを削除し、レガシーリソースを片付け ます。