> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SAML ベースのシングルサインオン

> Iru Endpoint の管理者アクセス用に SAML ベースのシングルサインオンを設定します。SAML メタデータ、属性、アサーションを使用して IdP を構成します。

### SAML ベースのシングルサインオンについて

SAML (Security Assertion Markup Language) は、異なるシステム間でユーザーの認証と認可に関する情報をやり取りするための標準です。主にシングルサインオン (SSO) に使用され、一度ログインすれば、資格情報を再入力することなく複数のアプリケーションにアクセスできます。Iru Endpoint では、[Iru Endpoint Web App へのアクセス](/ja/endpoint/getting-started/foundation/admins-and-access)と [Automated Device Enrollment での認証の要求](/ja/endpoint/enrollment/configure-require-authentication-for-enrollment)に SAML を使用できます。

### 仕組み

SAML 構成は 3 つのコンポーネントで構成されます。

* **Identity Provider (IdP)** - ユーザーの身元を確認するシステムです。資格情報を確認し、その情報を利用したいサービスと共有します。
* **Service Provider (SP)** - アクセスしようとしているアプリケーションまたはサービスです。IdP による身元確認を信頼し、その情報に基づいてアクセスを許可します。
* **SAML アサーション** - ユーザーの身元とアクセス権に関する情報を IdP から SP に伝えるメッセージです。次の 3 種類があります。
  * **Authentication Assertion** - ユーザーの身元と認証方法を確認します。
  * **Attribute Assertion** - ユーザーに関する追加の詳細を共有します。
  * **Authorization Decision Assertion** - サービスにアクセスできるかどうかを示します。

SAML 認証プロセスは通常、次のように動作します。

<Steps>
  <Step title="ユーザーがアクセスを要求する">
    ユーザーがサービスプロバイダー (この場合は Iru Endpoint) へのアクセスを試みます。
  </Step>

  <Step title="SAML リクエストの生成">
    Iru Endpoint が SAML 認証リクエストを生成し、ユーザーを IdP にリダイレクトします。
  </Step>

  <Step title="ユーザー認証">
    IdP がユーザーを認証します。通常、まだ認証されていない場合はログインを求めます。
  </Step>

  <Step title="SAML レスポンスの作成と送信">
    ユーザーが認証されると、IdP は SAML アサーションを含む SAML レスポンスを生成します。このアサーションには、ユーザーの身元や属性、ロールなどの情報が含まれます。SAML レスポンスはユーザーのブラウザを経由して Iru Endpoint に返送されます。
  </Step>

  <Step title="アサーションの検証">
    Iru Endpoint は SAML レスポンスを受信し、SAML アサーションを検証します。これには、信頼できる IdP からのものであることを確認するためのデジタル署名のチェックが含まれます。
  </Step>

  <Step title="アクセスの許可">
    アサーションが有効な場合、Iru Endpoint はユーザーに Iru Endpoint Web アプリへのログイン、または Automated Device Enrollment 中の登録を許可します。
  </Step>
</Steps>

SSO は、[Iru Endpoint Web App](/ja/endpoint/getting-started/foundation/admins-and-access) へのサインインと [Automated Device Enrollment での認証の要求](/ja/endpoint/enrollment/configure-require-authentication-for-enrollment)に使用できます。

### SAML 接続の設定

この手順では、汎用の Custom SAML SSO 接続の作成方法を説明します。IdP 固有の Custom SAML 接続の作成については、次のサポート記事を参照してください。

* [Okta によるシングルサインオン (SAML)](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-okta-saml)
* [Google Workspace によるシングルサインオン (SAML)](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-google-workspace-saml)
* [JumpCloud によるシングルサインオン (SAML)](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-jumpcloud-saml)
* [Microsoft Entra ID によるシングルサインオン (SAML)](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-microsoft-entra-id-saml)
* [OneLogin によるシングルサインオン (SAML)](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on-with-onelogin-saml)

<Steps>
  <Step title="アカウントメニューボタンに移動する">
    Iru Endpoint のサイドバーで、[**アカウントメニューボタン**](/ja/iru/platform-overview/account-menu) を選択します。
  </Step>

  <Step title="認証設定にアクセスする">
    メニューで **アクセス** オプションを選択します。

    <Frame>
      <img src="https://mintcdn.com/iru/8BYPjuKZa-zyEEf_/assets/media/images/iru-nav-access.png?fit=max&auto=format&n=8BYPjuKZa-zyEEf_&q=85&s=466fdf5fb47efd6bab8b450a5a1e8302" alt="Access オプションが強調表示されたアカウントメニューのスクリーンショット" width="562" height="1040" data-path="assets/media/images/iru-nav-access.png" />
    </Frame>
  </Step>

  <Step title="管理と認証を選択する">
    **管理と認証** タブ (デフォルトで選択されています) を選択し、**認証方法** までスクロールします。
  </Step>

  <Step title="認証方法を追加する">
    **+ 認証方法** を選択し、SSO 接続の表示名を入力して **SAML** を選択します。
  </Step>

  <Step title="接続を作成する">
    **作成** を選択します。
  </Step>

  <Step title="構成情報">
    **構成情報** セクションがまだ展開されていない場合は選択します。
  </Step>

  <Step title="Service Provider Entity ID をコピーする">
    後で使用するために、**Service provider entity ID** をテキストドキュメントにコピーします。
  </Step>

  <Step title="ACS URL をコピーする">
    後で使用するために、**Assertion consumer service (ACS) URL** をテキストドキュメントにコピーします。
  </Step>

  <Step title="タブを開いたままにする">
    以下の手順を進める間、このブラウザタブを開いたままにしておきます。
  </Step>
</Steps>

### SAML 接続の構成

接続を作成すると、モーダルに次の構成オプションが表示されます。

#### 構成オプション

**Metadata File**: サービスプロバイダーの詳細を含むメタデータファイルの URL です。IdP がメタデータファイルをサポートしている場合は、このメタデータファイルを IdP に提供してください。このリンクは、接続ページを保存するまで有効にならないことに注意してください。

**Configuration Information**: IdP がメタデータファイルをサポートしていない場合は、**構成情報** を選択します。この記事の後半で説明する 構成情報 セクションには、メタデータファイル内の情報が含まれています。

**名前**: 接続の表示名を指定します。これはログインページに表示されます。

**Sign-In URL**: IdP から提供されるアプリケーションのサインイン URL です。

**IdP Entity ID**: Iru 側の Entity ID ではなく、IdP (Google、Okta、Microsoft Entra ID など) から提供される Entity ID です。このフィールドは必須であり、IdP で構成された Entity ID と一致する必要があります。

**Signing Certificate**: IdP の X.509 PEM 形式の署名証明書の内容を貼り付けます。この証明書は、受信した SAML クレームの有効性を評価するために使用されます。BEGIN CERTIFICATE および END CERTIFICATE のヘッダー/フッターを含め、証明書の内容全体を貼り付けてください。

**User ID Attribute**: 既存の管理者との照合に使用する SAML クレーム内の属性を指定します。IdP が NAME ID の値としてユーザーのメールアドレスを送信するように構成されていれば、通常は NAME ID URI (以下の例) になります。それ以外の場合は、クレーム内で送信する予定の追加のカスタム属性と照合します。

```
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier
```

**Sign Request**: Service Provider (Iru Endpoint) から Identity Provider へのリクエストに署名するかどうかを選択します。

**Sign Request Algorithm**: IdP が要求する署名アルゴリズムを選択します。

**Sign Request Algorithm Digest**: IdP が要求する署名アルゴリズムのダイジェストを選択します。

**Request Binding**: Service Provider (Iru Endpoint) が IdP にリクエストを送る方法です (通常は HTTP-Redirect)。

**保存**: SAML 構成を保存します。

#### 必須のクレーム属性

SAML クレームには次の属性が必要です。メールアドレスと照合する別の属性が指定されていれば、Iru Endpoint では **NameID** は技術的にはオプションです。

<Note>
  クレームに姓と名の属性がない場合は、これらの値にメールアドレスが使用されます。
</Note>

<table>
  <tbody>
    <tr>
      <td>
        **属性 URI**
      </td>

      <td>
        <strong>必要な値</strong>
      </td>

      <td>
        <strong>理由</strong>
      </td>
    </tr>

    <tr>
      <td>
        NameID

        <code>
          [http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier](http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier)
        </code>
      </td>

      <td>
        Iru Endpoint テナントのチームメンバーのメールアドレスと一致するユーザーのメールアドレス。
      </td>

      <td>
        Iru Endpoint に認証するユーザーを照合するために必要です。
      </td>
    </tr>

    <tr>
      <td>
        <code>
          [http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname](http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname)
        </code>
      </td>

      <td>
        ユーザーの姓。
      </td>

      <td>
        ユーザーの姓を更新するために必要です。
      </td>
    </tr>

    <tr>
      <td>
        <code>
          [http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname](http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname)
        </code>
      </td>

      <td>
        ユーザーの名。
      </td>

      <td>
        ユーザーの名を更新するために必要です。
      </td>
    </tr>
  </tbody>
</table>

#### 詳細情報

IdP がメタデータファイルによるサービスプロバイダーアプリケーションの構成をサポートしていない場合は、この情報を手動で入力します。

<Steps>
  <Step title="Service Provider メタデータファイル">
    サービスプロバイダーの詳細を含むメタデータファイルの URL です。IdP がメタデータファイルをサポートしている場合は、このメタデータファイルを IdP に提供してください。
  </Step>

  <Step title="ACS URL">
    SAML アサーションの送信先 URL です。
  </Step>

  <Step title="Entity ID">
    サービスプロバイダーの Entity ID です (SLO リクエストに使用される SP Issuer ID でもあります)。
  </Step>

  <Step title="Service Provider 署名証明書">
    この証明書は、Service Provider から Identity Provider へのリクエストに署名するために使用されます。
  </Step>
</Steps>

### テナント認証を許可する

Iru Endpoint と IdP で SAML 接続を構成したら、テナント認証での使用を許可できます。手順については、[シングルサインオンのサポート記事](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on)の **テナント認証の許可と接続の管理** セクションを参照してください。

### 認証をドメインに制限する

SAML 接続を構成する際に、必要に応じて認証を 1 つ以上のドメインに制限できます。これは、SSO 接続が複数のドメインに対して認証できる場合に便利です。Iru テナントへの認証を、利用可能なドメインの一部に制限できます。

### シングルサインオンの強制

少なくとも 1 つのシングルサインオン接続を構成したら、Passkey、Google Social、Microsoft Social 接続を無効にできます。これらの接続を無効にすると、テナント内の Iru Endpoint 管理者はそれらの方法で認証できなくなります。手順については、[シングルサインオンのサポート記事](/ja/endpoint/integrations/single-sign-on-integrations/single-sign-on)を参照してください。

## 考慮事項

**セキュリティ**: IdP で SAML 認証に適切なセキュリティポリシーが構成されていることを確認してください。

**証明書の管理**: SAML の機能を維持するために、証明書の有効期限を把握し、期限内に更新してください。

**テスト**: 組織全体に展開する前に、必ず少人数のユーザーグループで SAML 連携をテストしてください。

**属性マッピング**: ユーザー認証とプロファイル同期を成功させるには、適切な属性マッピングが不可欠です。