すべてのプロダクト
Search

このプロダクト

    Secure Access Service Edge:SASE を使用した IDaaS (旧バージョン) ユーザーのセキュアなアクセスの確保

    ドキュメントセンター

    Secure Access Service Edge:SASE を使用した IDaaS (旧バージョン) ユーザーのセキュアなアクセスの確保

    最終更新日:Apr 01, 2026

    Secure Access Service Edge (SASE) を Alibaba Cloud Identity as a Service (IDaaS) に接続すると、エンタープライズユーザーは既存の IDaaS アカウントを使用して SASE クライアントにログインできます。これにより、SASE 用に別のアイデンティティ管理システムを用意する必要がなくなり、単一のコンソールからプライベートアクセスとインターネットアクセスの権限を管理できます。

    このトピックでは、Security Assertion Markup Language (SAML) を使用して IDaaS の ID プロバイダー (IdP) を SASE に接続する方法について説明します。

    前提条件

    開始する前に、以下を確認してください。

    • SASE が有効化され、SASE クライアントがインストールされていること。詳細については、「課金概要」をご参照ください。

    • IDaaS が有効化され、Enterprise Identity Access Management (EIAM) インスタンスが作成されていること。詳細については、「無料でインスタンスを作成」をご参照ください。

    仕組み

    image

    この統合は、IDaaS での SAML アプリケーションの作成、そのメタデータのエクスポート、SASE での IdP の登録、テストログインによる接続の検証という 4 つのステージで構成されます。

    ステップ 1： IDaaS で SAML アプリケーションを作成する

    SAML アプリケーションは、IDaaS に SASE との認証データの交換方法を指示する設定オブジェクトです。これを作成すると、後のステップで SASE にアップロードするメタデータファイルが生成されます。

    SAML アプリケーションの設定時に必要な [SP Entity ID] と [SP ACS URL] の値は固定です。これらの値は、以下のパラメーターテーブルにそのまま入力します。

    1. 管理者として IDaaS コンソールにログインします。左側のナビゲーションウィンドウで、[EIAM] をクリックします。

    2. [旧バージョン] タブで、ご利用の EIAM インスタンスを見つけ、[操作] 列の [管理] をクリックします。

      EIAM インスタンスがない場合は、まずインスタンスを作成してください。詳細については、「無料でインスタンスを作成」をご参照ください。

    3. 左側のナビゲーションウィンドウで、[アプリケーション] > [アプリケーションの追加] を選択します。

    4. 既存の SAML アプリケーションテンプレートを検索し、[アプリケーションの追加] を [操作] 列でクリックします。また、検索ボックスで SAML を検索することもできます。

    5. [アプリケーションの追加 (SAML)] パネルで、[署名キーの追加] をクリックします。[署名キーの追加] パネルで、パラメーターを設定して署名キーを作成し、[送信] をクリックします。

    6. [アプリケーションの追加 (SAML)] パネルに戻り、追加した SAML アプリケーションを見つけ、[操作] 列の [選択] をクリックします。次のパラメーターを設定し、[送信] をクリックします。

      パラメーター説明例
      Application NameSAML アプリケーションの名前です。SAML_test123
      IDaaS IdentityId認証に使用する IDaaS IdP の ID です。必須項目です。test
      SP Entity ID固定値です。そのままコピーしてください。https://saml-csas.aliyuncs.com/saml/metadata
      SP ACS URL (SSO Location)固定値です。そのままコピーしてください。https://saml-csas.aliyuncs.com/saml/acs
      NameIdFormatName ID のフォーマットです。ドロップダウンリストから選択します。—
      BindingIDaaS が SAML 応答を Assertion Consumer Service (ACS) URL に送信する際に使用するメソッドです。POST のデフォルト値を維持してください。POST
      Assertion AttributeSAML アサーションに追加される属性です。Username、Email、および Phone number の 3 つすべてを設定します。これらの属性は、SASE コンソール内の IDaaS IdP のデフォルト属性設定と一致している必要があります。Username、Email、Phone number
      Account Linking TypeIDaaS アカウントとアプリケーションアカウントのマッピング方法です。Account mapping では、IDaaS アカウント名または指定されたフィールドをアプリケーションアカウントに自動的にマッピングします。Account association では、管理者による手動での関連付けが必要です。Account mapping

    7. アプリケーションが追加された後、表示されるダイアログボックスで [権限の付与] をクリックします。

    8. [アプリケーション権限付与] ページの [アプリケーション権限付与の対象] タブで、作成した SAML アプリケーションを選択し、アカウントに権限を付与します。「[保存]」をクリックします。

    ステップ 2： メタデータファイルと API 情報のエクスポート

    1. 管理者として IDaaS コンソールにログインします。左側のナビゲーションウィンドウで、[EIAM] をクリックします。

    2. [旧バージョン] タブで、ご利用の EIAM インスタンスを見つけ、[操作] 列の [管理] をクリックします。

    3. 左側のナビゲーションウィンドウで、[アプリケーション] > [アプリケーションリスト] を選択します。作成した SAML アプリケーションを見つけ、[操作] 列の [詳細] をクリックします。

    4. [アプリケーション情報] セクションで、[詳細の表示] をクリックします。

    5. [アプリケーション詳細 (SAML)] パネルで、[メタデータのエクスポート] をクリックしてファイルを保存します。

    6. [アプリケーションリスト] ページに戻り、[API] セクションに移動します。 API スイッチをオンにし、次に [API キー] と [API シークレット] の値をコンピューターに保存します。

    ステップ 3： IDaaS IdP と SASE の接続

    1. SASE コンソールにログインします。左側のナビゲーションウィンドウで、[ID 認証と管理] > [ID アクセス] を選択します。

    2. [IdP 管理] タブで、[IdP の追加] をクリックします。

    3. [追加] パネルで、[認証タイプ] を [単一 IdP] に、[エンタープライズ IdP] を [IDaaS] に設定します。次のパラメーターを設定し、[OK] をクリックします。

      パラメーター説明例
      IdP 設定ステータス[有効] に設定すると、IdP がすぐに有効になります。一度に有効にできる IdP は 1 つだけです。別の IdP がすでに有効になっている場合、この IdP は [無効] として開始され、他の IdP を無効にした後に有効にできます。有効
      設定名この IdP 設定の名前。2～100 文字で、文字、数字、アンダースコア (_)、ハイフン (-) を使用できます。test123
      説明SASE クライアントにログインタイトルとして表示される説明で、ユーザーが IdP を識別するのに役立ちます。IDaaS
      SAML メタデータファイルステップ 2 でエクスポートしたメタデータファイルをアップロードします。—
      組織構造の読み取り権限の付与組織構造の同期を有効にして、セキュリティポリシーを部門ごとに適用できるようにします。ステップ 2 で取得した [API キー][API シークレット]dingwjlht8b93ara**<b>。API シークレットの例： `1Uji1mEjhmWq_SmE0KNScspYk0bBgDrlZ95vUTR-bn4FbfeVQQKNr1_1giWA**。—

    ステップ 4： 接続の検証

    1. SASE クライアントを開きます。

    2. [SASE クライアントログイン] ページで、エンタープライズ認証識別子を入力し、[確認] をクリックします。

      エンタープライズ認証識別子は、SASE コンソールの [設定] ページで確認できます。

    3. (オプション) ご利用のアカウントで SMS 認証が有効になっている場合は、SMS 認証ページで検証コードを入力します。

    4. IDaaS アカウントとパスワードを入力してログインします。

    ログインに成功した場合、IdP は SASE に接続されています。

    ログインに失敗した場合は、以下を確認してください。

    • SAML アプリケーションの [SP Entity ID] と [SP ACS URL] の値が、固定値と完全に一致していることを確認します。

      • SP Entity ID： https://saml-csas.aliyuncs.com/saml/metadata

      • SP ACS URL： https://saml-csas.aliyuncs.com/saml/acs

    • 3 つすべてのアサーション属性 ([ユーザー名]、[メールアドレス]、[電話番号]) が設定されており、SASE コンソールのデフォルト属性設定と一致していることを確認します。

    • [IdP 管理] タブで有効になっている IdP が 1 つだけであることを確認します。

    • アップロードしたメタデータファイルが、正しい SAML アプリケーションに対応していることを確認します。