シングルサインオン (SSO) プロセスでは、Identity as a Service (IDaaS) とアプリケーションが連携するため、双方での設定が必要です。
本文書では、SAML 2.0 プロトコルを使用して設定プロセスを説明します。
IDaaS がサポートする SSO プロトコルについては、「標準プロトコル」をご参照ください。
IDaaS の設定
ショートカット：アプリケーションファイルのアップロード
一部のアプリケーションでは、SSO 設定ページからメタデータファイルをダウンロードし、IDaaS にアップロードできます。また、IDaaS が設定メタデータを取得できる公開エンドポイントを提供するアプリケーションもあります。
IDaaS のアプリケーション SSO 設定ページで、メタデータファイルをアップロードするか、アプリケーションの公開メタデータ URL を入力します。IDaaS は必要な SSO 情報を自動的に取得し、フォームに事前入力します。事前入力された値を確認し、保存して設定を完了します。
IDaaS の設定パラメーター
パラメーター | 説明 | 例 | |
基本設定 (必須) | ACS URL | アプリケーションのアサーションコンシューマーサービス (ACS) URL です。このエンドポイントは、IDaaS からの SAML アサーションを受信して処理します。 | https://signin.example.com/1021*****4813/saml/SSO |
SP エンティティ ID | アプリケーションの一意の識別子であり、サービスプロバイダー (SP) エンティティ ID です。この値は通常、アプリケーションによって提供されます。通常は URI です。アプリケーションが特定の値を必要としない場合は、ACS URL を再利用できます。 | https://signin.example.com/1021*****4813/saml/SSO | |
NameID | SAML プロトコルにおいて、NameID はアプリケーション内のユーザーアカウントを表します。詳細については、「SAML アプリケーションのアカウント設定」をご参照ください。 | 選択： [IDaaS のユーザー名を使用] | |
認可範囲 | 詳細については、「シングルサインオンの概要」をご参照ください。 | 選択： [すべてのユーザー] | |
詳細設定 (任意) | デフォルトの RelayState | IdP 起点の SSO が成功した後、アプリケーションがユーザーをリダイレクトする URL です。このアドレスは、SAML レスポンスの | |
NameID 形式 | SAML レスポンスの | 選択： [1.1 Unspecified] | |
バインディング |
| 選択： | |
アサーションへの署名 | IDaaS はすべての SAML アサーションに署名します。この設定は変更できません。 | - | |
署名アルゴリズム | アサーションの署名に使用される非対称アルゴリズムです。現在、RSA-SHA256 のみがサポートされているため、通常はデフォルト設定のままにできます。 | 選択： [RSA-SHA256] | |
属性ステートメント | SAML レスポンスでは、アプリケーションが解析できるよう、メールアドレスや表示名などの追加のユーザー属性を返すことができます。詳細については、「SAML 属性ステートメントの値の仕様」をご参照ください。 | - | |
SSO 開始元 | SSO をアプリケーションのみが開始できる (SP 開始の SSO) か、IDaaS ポータルからも開始できる (IdP 起点の SSO) かを指定します。 | [アプリケーションのみ] | |
ログイン開始 URL | 「SSO 開始元」が IdP 起点の SSO を許可するように設定されている場合、この URL を指定できます。ユーザーがポータルから SSO フローを開始すると、IDaaS はユーザーをこの URL にリダイレクトします。この URL にあるアプリケーションは、IDaaS への SAML リクエストを自動的にトリガーする必要があります。 | - |
アプリケーションの設定
ショートカット：IDaaS ファイルのアップロード
アプリケーションの設定を簡素化するために、IDaaS はワンクリックでダウンロードできる設定メタデータを提供します。
[アプリケーション設定情報] ページで、[IdP メタデータ] の横にある [ダウンロード] リンクをクリックして、IDaaS から SAML メタデータ設定ファイルをダウンロードします。
一部のアプリケーションは、SSO 設定のためのメタデータインポートをサポートしています。IDaaS 設定ファイルをアップロードするか、アプリケーションにメタデータ URL を入力することで、統合を自動的に完了できます。
アプリケーションの設定パラメーター
統合を完了するには、IDaaS からの情報をアプリケーションに設定する必要があります。
次の表に、アプリケーションの設定に必要な IDaaS パラメーターを示します。
パラメーター | 説明 | 例 |
IdP エンティティ ID | アプリケーション内での IDaaS の識別子です。IDaaS を ID プロバイダー (IdP) として識別するために、この値をアプリケーションの SSO 設定に入力する必要がある場合があります。 | https://xxxxx.aliyunidaas.com |
IdP サインイン URL | SP 開始の SSO の場合、アプリケーションはこの URL を使用して、認証のためにユーザーを IDaaS にリダイレクトします。 | https://xxxxx.aliyunidaas.com/saml/idp/saml1 |
SLO URL | シングルログアウト (SLO) のエンドポイントです。この機能は現在 IDaaS ではサポートされていません。 | - |
公開鍵証明書 | IDaaS は、アプリケーションに送信する SAML アサーションにデジタル署名します。アプリケーションは、この公開鍵証明書を使用して署名を検証し、アサーションが本物であり、IDaaS から発行されたものであることを保証します。 | -----BEGIN CERTIFICATE----- MIIDEjCCAfqgAwIBAgIHAYnNmX60izANBgkqhkiG9w0BAQsFADApMRowGAYDVQQD..... |