SAML ベースのシングルサインオンについて
SAML (Security Assertion Markup Language) は、異なるシステム間でユーザーの認証と認可に関する情報をやり取りするための標準です。主にシングルサインオン (SSO) に使用され、一度ログインすれば、資格情報を再入力することなく複数のアプリケーションにアクセスできます。Iru Endpoint では、Iru Endpoint Web App へのアクセスと Automated Device Enrollment での認証の要求に SAML を使用できます。仕組み
SAML 構成は 3 つのコンポーネントで構成されます。- Identity Provider (IdP) - ユーザーの身元を確認するシステムです。資格情報を確認し、その情報を利用したいサービスと共有します。
- Service Provider (SP) - アクセスしようとしているアプリケーションまたはサービスです。IdP による身元確認を信頼し、その情報に基づいてアクセスを許可します。
- SAML アサーション - ユーザーの身元とアクセス権に関する情報を IdP から SP に伝えるメッセージです。次の 3 種類があります。
- Authentication Assertion - ユーザーの身元と認証方法を確認します。
- Attribute Assertion - ユーザーに関する追加の詳細を共有します。
- Authorization Decision Assertion - サービスにアクセスできるかどうかを示します。
1
ユーザーがアクセスを要求する
ユーザーがサービスプロバイダー (この場合は Iru Endpoint) へのアクセスを試みます。
2
SAML リクエストの生成
Iru Endpoint が SAML 認証リクエストを生成し、ユーザーを IdP にリダイレクトします。
3
ユーザー認証
IdP がユーザーを認証します。通常、まだ認証されていない場合はログインを求めます。
4
SAML レスポンスの作成と送信
ユーザーが認証されると、IdP は SAML アサーションを含む SAML レスポンスを生成します。このアサーションには、ユーザーの身元や属性、ロールなどの情報が含まれます。SAML レスポンスはユーザーのブラウザを経由して Iru Endpoint に返送されます。
5
アサーションの検証
Iru Endpoint は SAML レスポンスを受信し、SAML アサーションを検証します。これには、信頼できる IdP からのものであることを確認するためのデジタル署名のチェックが含まれます。
6
アクセスの許可
アサーションが有効な場合、Iru Endpoint はユーザーに Iru Endpoint Web アプリへのログイン、または Automated Device Enrollment 中の登録を許可します。
SAML 接続の設定
この手順では、汎用の Custom SAML SSO 接続の作成方法を説明します。IdP 固有の Custom SAML 接続の作成については、次のサポート記事を参照してください。- Okta によるシングルサインオン (SAML)
- Google Workspace によるシングルサインオン (SAML)
- JumpCloud によるシングルサインオン (SAML)
- Microsoft Entra ID によるシングルサインオン (SAML)
- OneLogin によるシングルサインオン (SAML)
1
アカウントメニューボタンに移動する
Iru Endpoint のサイドバーで、アカウントメニューボタン を選択します。
2
認証設定にアクセスする
メニューで アクセス オプションを選択します。
3
管理と認証を選択する
管理と認証 タブ (デフォルトで選択されています) を選択し、認証方法 までスクロールします。
4
認証方法を追加する
+ 認証方法 を選択し、SSO 接続の表示名を入力して SAML を選択します。
5
接続を作成する
作成 を選択します。
6
構成情報
構成情報 セクションがまだ展開されていない場合は選択します。
7
Service Provider Entity ID をコピーする
後で使用するために、Service provider entity ID をテキストドキュメントにコピーします。
8
ACS URL をコピーする
後で使用するために、Assertion consumer service (ACS) URL をテキストドキュメントにコピーします。
9
タブを開いたままにする
以下の手順を進める間、このブラウザタブを開いたままにしておきます。
SAML 接続の構成
接続を作成すると、モーダルに次の構成オプションが表示されます。構成オプション
Metadata File: サービスプロバイダーの詳細を含むメタデータファイルの URL です。IdP がメタデータファイルをサポートしている場合は、このメタデータファイルを IdP に提供してください。このリンクは、接続ページを保存するまで有効にならないことに注意してください。 Configuration Information: IdP がメタデータファイルをサポートしていない場合は、構成情報 を選択します。この記事の後半で説明する 構成情報 セクションには、メタデータファイル内の情報が含まれています。 名前: 接続の表示名を指定します。これはログインページに表示されます。 Sign-In URL: IdP から提供されるアプリケーションのサインイン URL です。 IdP Entity ID: Iru 側の Entity ID ではなく、IdP (Google、Okta、Microsoft Entra ID など) から提供される Entity ID です。このフィールドは必須であり、IdP で構成された Entity ID と一致する必要があります。 Signing Certificate: IdP の X.509 PEM 形式の署名証明書の内容を貼り付けます。この証明書は、受信した SAML クレームの有効性を評価するために使用されます。BEGIN CERTIFICATE および END CERTIFICATE のヘッダー/フッターを含め、証明書の内容全体を貼り付けてください。 User ID Attribute: 既存の管理者との照合に使用する SAML クレーム内の属性を指定します。IdP が NAME ID の値としてユーザーのメールアドレスを送信するように構成されていれば、通常は NAME ID URI (以下の例) になります。それ以外の場合は、クレーム内で送信する予定の追加のカスタム属性と照合します。必須のクレーム属性
SAML クレームには次の属性が必要です。メールアドレスと照合する別の属性が指定されていれば、Iru Endpoint では NameID は技術的にはオプションです。クレームに姓と名の属性がない場合は、これらの値にメールアドレスが使用されます。
| 属性 URI | ||
NameIDhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier | Iru Endpoint テナントのチームメンバーのメールアドレスと一致するユーザーのメールアドレス。 | Iru Endpoint に認証するユーザーを照合するために必要です。 |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname | ユーザーの姓。 | ユーザーの姓を更新するために必要です。 |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname | ユーザーの名。 | ユーザーの名を更新するために必要です。 |
詳細情報
IdP がメタデータファイルによるサービスプロバイダーアプリケーションの構成をサポートしていない場合は、この情報を手動で入力します。1
Service Provider メタデータファイル
サービスプロバイダーの詳細を含むメタデータファイルの URL です。IdP がメタデータファイルをサポートしている場合は、このメタデータファイルを IdP に提供してください。
2
ACS URL
SAML アサーションの送信先 URL です。
3
Entity ID
サービスプロバイダーの Entity ID です (SLO リクエストに使用される SP Issuer ID でもあります)。
4
Service Provider 署名証明書
この証明書は、Service Provider から Identity Provider へのリクエストに署名するために使用されます。