Alibaba Cloud DevOps:SAML 連携

ステップ 1：SAML 接続の構成

サービスプロバイダ (SP) である Alibaba Cloud DevOps と企業の ID プロバイダー (IdP) 間に信頼関係を確立するには、以下の情報を入力します。

• SAML メタデータ URL：企業の IdP から取得したメタデータ URL。

情報を入力したら、次へ をクリックします。

ステップ 2：アカウント連携と属性マッピングの構成

1. アカウントの一意な識別子を構成します：ユーザーを一意に識別する SAML アサーション内の属性を入力します。この設定は構成後に変更できません。

2. アカウント連携方法を設定します：アカウントの識別および連携には、以下の 3 つの方法があります。

   • メールアドレスが同一のアカウントを自動的に連携：Alibaba Cloud DevOps と SAML IdP の両方でメールアドレスが一致するアカウントを連携します。

   • アカウント ID が同一のアカウントを自動的に連携：Alibaba Cloud DevOps と SAML IdP の両方でアカウント ID が一致するアカウントを連携します。

   • 社員 ID が同一のアカウントを自動的に連携：Alibaba Cloud DevOps と SAML IdP の両方で社員 ID が一致するアカウントを連携します。

選択した連携方法に関わらず、対応する属性が一意かつ存在することを保証する必要があります。Alibaba Cloud DevOps は、選択された方法に基づき、各アカウントに対して厳密な 1 対 1 のマッチングを実行します。以下の図は、メールアドレスが同一のアカウントを自動的に連携 を選択した場合の処理フローを示しています。

3. アカウント同期タイプを設定します：この設定により、新規アカウント作成を許可するかどうかに応じて、マッピングに必要なユーザー属性が決まります。マッピングされた属性はサードパーティ ソースから自動的に同期され、Alibaba Cloud DevOps 内では編集できません。

   • 新規アカウントの作成および既存アカウントの連携を許可：ユーザー属性マッピングのステップでは、名前、アカウント ID、およびアカウント連携に使用する属性がすべて必須フィールドであることを保証する必要があります。

   • 既存アカウントのみを連携：新規アカウントの作成を防止します。ユーザー属性マッピングのステップでは、アカウント連携に使用する属性のみを必須フィールドとして設定すれば十分です。

4. ユーザー属性マッピングのフィールドを構成します。マッピングされた属性はサードパーティ ソースから自動的に同期され、Alibaba Cloud DevOps 内では編集できなくなります。

構成が完了したら、次へ をクリックします。

ステップ 3：シングルサインオンの有効化

シングルサインオン (SSO) 機能はデフォルトで無効になっています。有効化すると、以下の SSO 設定項目を構成できます。

• SAML 表示名を変更します。Alibaba Cloud DevOps は、SAML 情報の表示時にこの名前を使用します。

• シングルサインアウト (SLO) を有効化します。これを行うには、SAML IdP に Alibaba Cloud DevOps の SLO URL を設定してセットアップを完了する必要があります。これにより、Alibaba Cloud DevOps と SAML IdP 間でログアウト状態が同期されます。

SSO を有効化しない場合でも、構成を保存できます。後から SAML 連携詳細ページで SSO を有効化できます。

すべての設定が完了したら、保存 をクリックして SAML 連携を完了します。

ステップ 4：SP メタデータの構成

信頼関係を確立するには、企業の IdP で Alibaba Cloud DevOps を信頼済みサービスプロバイダ (SP) として構成し、SAML アサーション属性を設定する必要があります。IdP で SAML アプリケーションを作成し、以下のいずれかの方法で Alibaba Cloud DevOps を SP として構成します。

• Alibaba Cloud DevOps での SAML 構成が完了すると、サービスプロバイダ メタデータ URL が表示されます。この URL をコピーし、SAML サービスの構成に貼り付けます。

• IdP が URL による構成をサポートしていない場合は、サービスプロバイダ メタデータ ファイルをダウンロードして IdP にアップロードします。

• IdP がメタデータファイルのアップロードをサポートしていない場合は、以下のパラメーターを手動で構成する必要があります。

  • エンティティ ID：ダウンロードしたサービスプロバイダ メタデータファイル内の md:EntityDescriptor 要素の entityID 属性の値。

  • ACS URL：ダウンロードしたサービスプロバイダ メタデータファイル内の md:AssertionConsumerService 要素の Location 属性の値。

  • SLO URL：ダウンロードしたサービスプロバイダ メタデータファイル内の SingleLogoutService 要素の Location 属性の値。