Security Assertion Markup Language (SAML) をシングルサインオン (SSO) に使用する場合、IDaaS は SAMLResponse の NameID フィールドまたは他のアサーションフィールドを通じて、アプリケーションにユーザーの認証情報を渡します。アプリケーションユーザーを構成するとは、IDaaS がどの値をその認証情報として使用するかを選択することです。
最も一般的な選択肢は、IDaaS アカウント名 と IDaaS メールアドレス です。
ID マッピングオプションの選択
IDaaS では以下の 4 つのオプションを提供しています。IDaaS とアプリケーション間でユーザー名がどのように同期されているか、およびユーザーごとの制御が必要かどうかに応じて、適切なオプションを選択してください。
| オプション | 仕組み | サブオプション | 使用タイミング |
|---|---|---|---|
| IDaaS アカウント | IDaaS アカウントのユーザー名またはメールアドレスを認証情報として使用します。ユーザーごとのマッピングは不要です。 | IDaaS アカウント名 (Username)；IDaaS メールアドレス (Email) | IDaaS とアプリケーションでユーザー名またはメールアドレスが同一の場合。ユーザー数が多い環境で、ユーザーごとのマッピングが現実的でない場合に推奨されます。 |
| アプリケーションユーザー | 管理者が各 IDaaS アカウントを特定のアプリケーションアカウントにマッピングします。マッピングされていないアカウントは SSO に失敗します。 | アプリケーションアカウント | アプリケーションが IDaaS とは異なる識別子を使用しており、ユーザー数が少なく個別管理が可能な場合。 |
| プライマリアプリケーションアカウント | マッピングされたアプリケーションアカウントが存在する場合はそれを使用し、マッピングが設定されていない場合は IDaaS の認証情報にフォールバックします。 | セカンダリ IDaaS アカウント名 (Username)；セカンダリ IDaaS メールアドレス (Email) | ほとんどのユーザーが IDaaS とアプリケーションで識別子を共有しているが、一部のユーザーにカスタムマッピングが必要な場合。 |
| 式 | カスタムルールに基づいて認証情報の値を導出します（例：ユーザーのメールアドレスのプレフィックスをユーザー名として使用）。式の構成については IDaaS チームにお問い合わせください。 | なし | 上記のいずれのオプションでも生成できない派生または変換済みの識別子をアプリケーションが要求する場合。 |
ID マッピングの構成
IDaaS アカウント
IDaaS とアプリケーションでユーザー名またはメールアドレスが同一の場合にこのオプションを選択します。IDaaS はアカウントの認証情報を直接送信するため、ユーザーごとの構成は不要です。
両システム間でユーザー名が異なる場合、SSO が失敗したり、アカウントの不一致が発生したりする可能性があります。
以下の 2 つのサブオプションを利用できます。
IDaaS アカウント名 (Username)
IDaaS メールアドレス (Email)
アプリケーションユーザー
各 IDaaS アカウントをアプリケーション内の別のアカウントにマッピングする必要がある場合にこのオプションを選択します。ユーザーが SSO を完了できるようにするには、管理者が事前にすべてのユーザーに対してマッピングを構成する必要があります。たとえば、IDaaS に test_user アカウントが存在し、アプリケーションに administrator としてログインしたい場合は、アプリケーションユーザーを構成できます。
ユーザーにマッピングが設定されていない場合、そのユーザーは SSO を完了できません。
以下のサブオプションを利用できます。
アプリケーションアカウント
アプリケーションユーザーを追加する方法については、「アプリケーションユーザーの追加」をご参照ください。
プライマリアプリケーションアカウント
ほとんどのユーザーが IDaaS とアプリケーションで識別子を共有しているが、一部のユーザーにカスタムマッピングが必要な場合にこのオプションを選択します。IDaaS は、マッピングされたアプリケーションアカウントが存在する場合はそれを使用し、マッピングが設定されていない場合は IDaaS の認証情報にフォールバックします。
以下の 2 つのサブオプションを利用できます。
セカンダリ IDaaS アカウント名 (Username)
セカンダリ IDaaS メールアドレス (Email)
アプリケーションユーザーを追加する方法については、「アプリケーションユーザーの追加」をご参照ください。
式
アプリケーションが派生識別子を必要とする場合（例：ユーザーのメールアドレスのプレフィックスをユーザー名として使用）にこのオプションを選択します。式にはサブオプションはありません。
式ルールの構成については、IDaaS チームにお問い合わせください。
アプリケーションユーザーの追加
このセクションは、SSO タブの アプリケーションユーザー ドロップダウンリストから アプリケーションユーザー または プライマリアプリケーションユーザー を選択した場合に適用されます。
アプリケーションアカウント タブをクリックし、次に アプリケーションアカウントの追加 をクリックします。
ユーザー名（例：admin、root、田中一郎）やモバイル番号などのキーワードを入力して IDaaS アカウントを検索し、検索結果から該当アカウントをクリックします。
その IDaaS アカウントに関連付けるアプリケーションアカウントを入力します。
保存 をクリックします。
1 つの IDaaS アカウントに複数のアプリケーションアカウントを関連付けられます。ユーザーが SSO リクエストを開始すると、使用するアプリケーションアカウントを選択できます。