Secure Access Service Edge (SASE) と Identity as a Service (IDaaS) の間でシングルサインオン (SSO) を構成すると、SASE クライアントにすでにログインしているユーザーは、認証情報を再度入力することなく IDaaS アプリケーションにアクセスできます。
SASE は OpenID Connect (OIDC) プロトコルを使用して SSO を実装し、SASE アカウントシステムが ID プロバイダー (IdP) として機能します。企業の SSO サービスが OIDC をサポートしている場合、SASE をそのサービスと統合して IdP として機能させることができます。
シナリオ
企業は IDaaS を使用してユーザー ID とアプリケーション権限を管理し、オフィスアプリケーションを IDaaS に接続して SSO を実現しています。また、企業は SASE を使用してリモートアクセスを保護しています。OIDC を介して SASE を IDaaS に接続することで、SASE クライアントにログインしたユーザーは、IDaaS アプリケーションポータル内のオフィスアプリケーションに再度ログインすることなくアクセスできます。
前提条件
開始する前に、以下を準備してください。
購入済みの SASE インスタンス。詳細については、「サービス購入」をご参照ください。
SASE クライアントへのログインが完了していること。詳細については、「SASE クライアントのインストールとログイン」をご参照ください。
新しいバージョンの IDaaS Enterprise Identity Access Management (EIAM) インスタンスが作成された、アクティブ化された IDaaS インスタンス。詳細については、「無料インスタンスの作成」をご参照ください。
IDaaS に接続されたオフィスアプリケーション。詳細については、「概要」をご参照ください。
仕組み
構成は 2 つのコンソールにまたがり、4 つのステップで構成されます。
IDaaS コンソールから IDaaS リダイレクト URI をコピーします。
そのリダイレクト URI を使用して、SASE コンソールで SASE SSO ポリシーを作成します。
IDaaS コンソールに戻り、ステップ 2 の認証情報を使用して SASE を OIDC IdP としてバインドします。
ユーザーが SASE SSO を介して IDaaS ポータルにログインできることを確認します。
ステップ 1: IDaaS リダイレクト URI の取得
IDaaS コンソールにログインします。
EIAM ページで、ご利用のインスタンス名をクリックしてインスタンスコンソールを開きます。
左側のナビゲーションウィンドウで、[IdPs] をクリックします。
[IdPs] ページで、[Other IdPs] をクリックします。
[IdP の追加] パネルで、[OIDC IdP] をクリックします。
[OIDC ID プロバイダーのバインド] パネルで、IDaaS リダイレクト URI をコピーします。
[OIDC ID プロバイダーのバインド] パネルを開いたままにしてください。ステップ 3 で再びこのパネルに戻る必要があります。
ステップ 2 に進む前に、以下の値を記録してください。
| 値 | 場所 |
|---|---|
| IDaaS リダイレクト URI | OIDC ID プロバイダーの紐付け パネル |
ステップ 2: SASE SSO ポリシーの構成
SASE コンソールにログインします。
左側のナビゲーションウィンドウで、ID 認証および管理 ＞ シングルサインオン を選択します。
「[シングルサインオン]」ページで、[ポリシーの作成] をクリックします。
「[ポリシーの作成]」パネルで、以下のパラメーターを設定します。
重要client_secretは機密情報として保持してください。漏洩した場合は、直ちに削除し、新しいものを作成してシークレットをローテーションしてください。パラメーター 説明 例 ポリシー名 ポリシーの名前。 SASE_SSO_test ポリシーの状態 ポリシーを有効にするかどうか。 有効 API アクセス権限 API 認証用の client_idとclient_secret。SSO が機能するには、API アクセスを有効にする必要があります。client_id: sase_sso;client_secret: 1kr6ld066******リダイレクト URL ステップ 1 のリダイレクト URI。ポリシー作成後、この URL はホワイトリストに追加され、SASE が認証後にログインリクエストを開始できるようになります。 https://l6v271cn.aliyunidaas.com/login/******** 「[OK]」をクリックします。
ステップ 3 に進む前に、以下の値を記録してください。
| 値 | 該当箇所 |
|---|---|
client_id | API アクセス権限付与 フィールド（このポリシー内） |
client_secret | API アクセス権限付与 フィールド（このポリシー内） |
ステップ 3: IDaaS で SASE を OIDC IdP としてバインドする
IDaaS コンソールの [OIDC ID プロバイダーのバインド] パネルに戻ります。 パネルを閉じた場合は、ステップ 1 の命令に従って戻ります。 詳細については、「IDaaS を OIDC IdP にバインドする」をご参照ください。
以下のパラメーターを構成します。
セクション パラメーター 値 基本情報 ニックネーム SASE ログイン設定 認証モード client_secret_post クライアント ID sase_sso クライアントシークレット 1kr6ld066****** スコープ openid,external_id エンドポイント構成 発行者 [発行者] パラメーターを構成すると、ディスカバリーエンドポイントを解析して、認証エンドポイント、トークンエンドポイント、公開鍵エンドポイント、およびユーザー情報エンドポイントを取得できます。 [次へ] をクリックして、[シナリオの選択] ステップに移動します。デフォルト設定はそのままにします。詳細については、「シナリオの選択」をご参照ください。
[作成済み] をクリックします。
ステップ 4: SASE SSO アクセスの検証
EIAM ページで、自分の IDaaS インスタンスを見つけ、[ユーザーポータル] 列のアドレスをクリックします。
ログインページで、SASE を [その他のログイン方法] セクション内に見つけてください。
[SASE] をクリックします。SSO 構成が正しい場合、認証情報を入力することなく IDaaS ポータルにログオンします。
アプリケーションページで、任意の IDaaS アプリケーションを開きます。アカウントやパスワードを入力することなくアクセスが許可され、SSO が正しく機能していることを確認できます。