Microsoft Entra ID、Okta、ADFS、Google Workspace、またはその他の SAML 2.0 アイデンティティプロバイダーを IDaaS EIAM に接続します。このトピックでは、IDaaS で IdP を設定し、IdP アプリケーション設定を更新し、SSO を検証する方法について説明します。
基本概念
SAML アイデンティティプロバイダーを連携すると、ユーザーは既存のエンタープライズ ID アカウントを使用して IDaaS EIAM にサインインできます。
|
概念 |
説明 |
|
SAML |
Security Assertion Markup Language は、アイデンティティプロバイダー (IdP) とサービスプロバイダー (SP) の間で認証および認可データを交換するための、XML ベースのオープンスタンダードです。IDaaS EIAM は SAML 2.0 を使用します。 |
|
IdP |
ユーザーを認証し、SAML アサーションを返す、Microsoft Entra ID、Okta、ADFS などの外部アイデンティティシステムです。 |
|
SP |
IDaaS EIAM は SP として機能し、IdP から返された SAML アサーションを受信して解析し、ユーザーのサインインを完了させます。 |
|
フェデレーション認証 |
SP は IdP からの認証結果を信頼して使用します。IDaaS EIAM は、Microsoft Entra ID、Okta、ADFS、Google Workspace などのアイデンティティプロバイダーからの認証結果を信頼して、シングルサインオン (SSO) を有効にします。 |
IDaaS での SAML アイデンティティプロバイダーの作成
-
IDaaS EIAM コンソールで、Identity Providers > Inbound > Add Inbound をクリックし、SAML Identity Provider を選択して Add をクリックします。
-
表示されたダイアログボックスで、Bind SAML Identity Provider セクションで、次の設定を構成します。
-
Display Name：SAML アイデンティティプロバイダーの名前。この名前はサインインページに表示されます。
-
Logon Settings：IdP のメタデータ URL を入力し、Parse をクリックします。システムは自動的に XML を解析し、IdP SSO URL、IdP Entity ID、Signature Verification Certificate を取得します。
-
-
Next をクリックして、シナリオ選択ページに進みます。
-
要件に合ったアカウント連携シナリオを選択し、Create をクリックします。
シナリオ
説明
Manual Account Binding
連携が存在しない場合、ユーザーに SAML アカウントと IDaaS アカウントを手動でリンクするように求めます。
Automatic Account Binding
IDaaS のフィールド値が SAML レスポンスの NameID と一致し、かつ連携が存在しない場合に、アカウントを自動的に連携します。
Auto create user
未登録の SAML ユーザーに対して新しい IDaaS アカウントを作成します。アカウント情報はサインインごとに更新されます。
Automatically Update Information
フィールドマッピングのルールに基づき、サインインごとに SAML アサーションの属性を使用してアカウント情報を更新します。
Automatically Update Information を有効にすると、Field Mapping の設定ページが表示されます。設定の詳細については、「SAML IdP フィールドマッピング設定ガイド」をご参照ください。
IdP での SSO 設定の構成
-
IDaaS EIAM コンソールで、Identity Providers > IdPs > Inbound の順にクリックし、作成した SAML ID プロバイダーの Configuration Information をクリックして、SP ACS URL と SP Entity ID の値をコピーします。
-
IdP アプリケーションを開き、SAML 設定セクションを見つけて、コピーした値で SP ACS URL と SP Entity ID の設定を更新します。
SSO の検証
-
IDaaS EIAM ユーザーポータルを開きます。SAML アイデンティティプロバイダーが、他のサインイン方法の下にサインインオプションとして表示されます。
-
サインインオプションをクリックします。ブラウザが認証のために IdP にリダイレクトされます。
-
IdP にサインインしていない場合は、認証情報を入力します。サインイン後、ブラウザは IDaaS にリダイレクトして戻ります。
-
すでにサインインしている場合は、ブラウザは直接 IDaaS にリダイレクトして戻ります。
-
-
認証後、システムは設定した連携シナリオに基づいてアカウントを照合します。自動照合に失敗した場合、設定に応じて、システムは手動での連携を求めるか、アカウントを作成します。