SAML フィールドマッピング、NameID マッピング、SAML アサーション属性、IDaaS アカウント属性同期 - Identity as a Service

基本的な概念

フィールドマッピングは、次の 2 つのレベルで IDaaS アカウントと外部アカウントの整合性を維持します。

アカウントレベル：アカウント連携を通じて、アカウントステータスの整合性を維持します。連携アプリケーションからユーザーが削除されると、対応する IDaaS アカウントも削除されます。
フィールドレベル：アカウント連携に基づき、フィールドマッピングを通じてアカウント情報の整合性を維持します。たとえば、連携アプリケーションユーザーの会社のメールアドレスを IDaaS アカウントの表示名として使用します。メールアドレスが変更されると、IDaaS アカウントの表示名も更新されます。

説明

連携関係は、対応する IDaaS アカウント、組織、またはグループが削除された後にのみ削除してください。組織も連携とフィールドマッピングをサポートしていますが、組織に対してはマッピング識別子はサポートされていません。

フィールドマッピングページへのアクセス

次のいずれかの方法でField Mapping 設定ページにアクセスします：

作成時: IdPs を作成するプロセスの一部として、フィールドマッピングを設定します。
変更時: IdPs-> Inbound ページで、Modify Settings をクリックします。表示されたダイアログボックスで、Field Mapping タブに移動します。

フィールドマッピングの設定

アカウント連携に基づき、フィールドマッピングは ID プロバイダーと IDaaS 間でアカウント情報の整合性を保ちます。たとえば、連携 ID プロバイダーユーザーの会社のメールアドレスを IDaaS アカウントの表示名として使用します。メールアドレスが変更されると、IDaaS アカウントの表示名も更新されます。

説明

マッピング識別子として使用可能なフィールドは、ID プロバイダーによって異なります。ビジネスニーズに基づいて 1 つのフィールドをマッピング識別子として設定するか、未設定のままにしてください。

マッピングルール

IDaaS は次のフィールドマッピング方法をサポートしています。

マッピング方法

説明

フィールドを選択

同期元からフィールドを選択し、その値を対応する対象フィールドの値として使用します。SAML IdP のフィールドレベルでは、username 属性のみがマッピングに使用でき、デフォルトで生成されます。

式

式を使用して、対応する対象フィールドのカスタム値を定義します。式は複数のシナリオに柔軟に対応します。一般的な使用例は次のとおりです。

事前定義されたリスト以外のフィールドを使用する：IDaaS は、統合アプリケーションの SAML 設定から AttributeStatement データを取得し、idpUser.attributes オブジェクトにマッピングします。必要な情報を取得するには、Extended Field ページで Configure Field Mapping を設定します。たとえば、統合アプリケーションで設定された SAML XML からメールを取得するには：
```
<saml2:Attribute Name="email" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
    <saml2:AttributeValue>te**@test.com</saml2:AttributeValue>
</saml2:Attribute>
```
Configure Field Mapping ページで、email (user.email) 行の Mapping Rule を Expression に設定し、Field Value フィールドに idpUser.attributes.email.value を入力します。SAML XML の email に複数の AttributeValue が含まれる場合 (つまり、複数値フィールドの場合)、Field Value フィールドに idpUser.attributes.email.values を入力します。
メールアドレスのプレフィックスをフィールド値として抽出する場合：
- メールアドレスのプレフィックスを使用：SubstringBefore(idpUser.attributes.email.value,"@")
- AD UPN プレフィックスを使用：SubstringBefore(idpUser.attributes.userPrincipalName.value,"@")
固定値を使用する場合：Trim("myString")

説明

IDaaS の式におけるフィールドの形式は、インバウンド方向の場合は「"idp" + "User/OrganizationOU" + "." + "ID プロバイダーのフィールド名"」、アウトバウンド方向の場合は「"idp" + "User/OrganizationOU" + "." + "IDaaS のフィールド名"」です。たとえば、idpUser.attributes.email.value のようになります。式のサンプルと構文の詳細については、「アカウントフィールドの式」をご参照ください。

マッピングしたくないフィールドについては、Remove をクリックします。マッピングルールが「マッピングしない」に変更され、このフィールドのデータは同期中に処理されません。