すべてのプロダクト
Search

このプロダクト

    Identity as a Service:SAML を使用した Google Workspace の ID プロバイダー (IdP) としての統合

    ドキュメントセンター

    Identity as a Service:SAML を使用した Google Workspace の ID プロバイダー (IdP) としての統合

    最終更新日:May 30, 2026

    このトピックでは、Google Workspace を SAML 2.0 の ID プロバイダー (IdP) として設定し、企業ユーザーがシングルサインオン (SSO) を通じて IDaaS Enterprise Identity and Access Management (EIAM) のユーザーポータルにアクセスできるようにする方法を説明します。

    説明

    前提条件: Google 管理コンソールで SAML アプリケーションを作成および設定するには、Google Workspace の特権管理者アクセス権が必要です。また、Alibaba Cloud IDaaS EIAM インスタンスが有効化されており、IDaaS 管理コンソールへのアクセス権も必要です。

    手順 1：Google Workspace での SAML アプリケーションの作成

    1. Google 管理コンソールに移動し、[Apps] > [Web and mobile apps] の順に選択します。

    2. [Web and mobile apps] リストの 1 行目で、[Add app] をクリックし、ドロップダウンメニューから [Add custom SAML app] を選択します。

    3. [App name] と、必要に応じて [Description] を入力します。[App icon] をアップロードすることもできます。次に、[Continue] をクリックします。

    4. [Google Identity Provider details] ページで、SAML IdP メタデータを取得します。[Download metadata] をクリックしてメタデータファイルをローカルに保存します。このファイルは、IDaaS で SAML ID プロバイダーを作成する際に必要です。

    5. [Service Provider details] ページで、必須フィールドに入力します。[ACS URL] と [Entity ID] は必須項目です。実際の値は、IDaaS で SAML ID プロバイダーを作成した後にのみ確認できます。現時点ではプレースホルダー値を入力してください。後続の手順で、これらのフィールドを更新する方法を説明します。次に、[Continue] をクリックします。

    6. [Attribute mapping] ページで、Google Directory から SAML 属性へのマッピングを設定します。少なくとも次の属性を設定することを推奨します：

      • 基本情報 > メール: ユーザーを一意に識別するために、email または nameID にマッピングします。

      • 必要に応じて、他の属性マッピング (名、姓など) を追加します。

    設定が完了したら、[Done] をクリックします。

    重要

    デフォルトでは、Google Workspace はアサーションにのみ署名します。[Sign response] オプションを選択した場合は、レスポンスにのみ署名します。

    手順 2：IDaaS での SAML ID プロバイダーの作成

    1. IDaaS EIAM コンソールで、Identity Providers > Inbound > Add Inbound をクリックし、SAML Identity Provider を選択して Add をクリックします。

      image

    2. 表示されるダイアログボックスのBind SAML Identity Providerセクションで、次の設定を構成します。

      • [Display Name]：SAML ID プロバイダーの名前。サインインページに表示されます。

      • [Logon Settings]: IdP のメタデータ URL を入力し、Parse をクリックします。システムが自動的に XML を解析し、IdP SSO URL、IdP Entity ID、Signature Verification Certificate を取得します。

      • [Signature Verification Policy]: Google Workspace 側で設定された署名戦略に一致するモードを選択します。たとえば、アサーション署名を選択します。

    3. Next をクリックして、シナリオ選択ページに進みます。

    4. 要件に合うアカウント連携シナリオを選択し、Create をクリックします。

      シナリオ

      説明

      [Manual Account Binding]

      連携が存在しない場合に、ユーザーに対して SAML アカウントを IDaaS アカウントに手動で紐付けるよう促します。

      [Automatic Account Binding]

      連携が存在せず、IDaaS のフィールド値が SAML レスポンス内の NameID と一致する場合に、アカウントを自動的に連携します。

      [Auto create user]

      未登録の SAML ユーザーに対して、新しい IDaaS アカウントを作成します。アカウント情報はサインインのたびに更新されます。

      [Automatically Update Information]

      フィールドマッピングルールに基づき、サインインのたびに SAML アサーション属性からアカウント情報を更新します。

      Automatically Update Information を有効にすると、Field Mapping 設定ページが表示されます。詳細については、「SAML IdP フィールドマッピング設定ガイド」をご参照ください。

    手順 3：Google Workspace での SSO 情報の設定

    1. IDaaS EIAM コンソールで、Identity Providers > IdPs > Inbound の順に移動します。ステップ 2 で作成した SAML IdPs をクリックし、次に Configuration Information をクリックして、次の値を取得します。

      • [SP Entity ID]: Google Workspace SAML アプリケーションの [エンティティ ID] フィールドに対応します。

      • [SP ACS URL]：Google Workspace SAML アプリケーションの [ACS URL] フィールドに対応します。

    2. Google 管理コンソールに戻り、ステップ 1 で作成した SAML アプリケーションを開き、[サービスプロバイダーの詳細] ページに移動します。[エンティティ ID] を、前のステップで取得したSP Entity ID に置き換えます。[ACS URL] を SP ACS URL に置き換えます。

    3. アプリケーションの詳細ページで、[User access] セクションに移動して [Edit] をクリックします。対象の [Organizational unit] または [Group] を選択し、特定の組織部門またはグループに対して SAML アプリケーションの SSO を有効にします。

    手順 4：ユーザーサインインフローの確認

    前述の手順を完了したら、IDaaS のユーザーサインインフローを確認します。

    1. IDaaS EIAM のユーザーポータルにアクセスします。他のサインイン方法の下に、SAML ID プロバイダーによるログインオプションが表示されます。

    2. SAML ログインオプションをクリックします。ブラウザーは認証のために Google Workspace にリダイレクトされます。

      • Google アカウントにサインインしていない場合は、Google のサインインページが表示されます。サインイン後、ブラウザーは IDaaS にリダイレクトされます。

      • サインイン済みの場合は、ブラウザーは直接 IDaaS にリダイレクトされます。

    3. 認証後、システムは手順 2 で設定したアカウント連携シナリオに基づいてアカウントを照合します。IDaaS ユーザーとの自動照合に失敗した場合は、シナリオ設定に応じて、アカウントを手動で連携するか、自動アカウント作成を許可してサインインを完了します。