Iru Identity を ID プロバイダーとして使用しているほとんどの組織では、ユーザーはパスキーまたは Iru Access アプリで直接サインインします。Iru Identity をプライマリ ID プロバイダーではなく Iru プラットフォームへの認証レイヤーとして使用する場合、または Iru Identity への移行を容易にする場合に OIDC プロバイダーを接続します。フェデレーション認証を参照してください。
この接続を完了するには、Iru テナントの管理者アクセス権と OIDC ID プロバイダーの管理者アクセス権が必要です。
始める前に
1
Iru をプロバイダーにアプリケーションとして登録する
OIDC プロバイダーで Iru 用のアプリケーション (クライアント) を作成します。通常は認可コードフローを使用する web または confidential クライアントです。Iru に入力するクライアント ID とクライアントシークレットが発行されます。具体的な手順はプロバイダーのコンソールにあるため、最新のドキュメントに従ってください。
2
Iru のリダイレクト URI を追加する
プロバイダーは、サインイン後にユーザーをどこに戻すかを知る必要があります。Iru がこの接続に表示するリダイレクト URI をコピーし、プロバイダーのアプリケーションで許可されたリダイレクト URI のリストに追加します。
3
必要なスコープを確認する
Iru は標準の OpenID Connect スコープ (
openid、profile、email) を要求するため、プロバイダーはユーザーの基本プロファイルとメールアドレスを返します。照合に使用する予定のクレームをプロバイダーが提供するよう構成されていることを確認してください。4
ユーザーが Iru に存在することを確認する
接続を通じたサインインは、既存の Iru ユーザーに解決されます。最初にユーザーを追加またはインポートしてください。ユーザーのインポートまたは Directory Sync を参照してください。
OIDC プロバイダーを接続する
1
接続を追加する
Access → Authentication で authentication method を追加し、OIDC を選択します。
2
クライアントの詳細を入力する
プロバイダーに登録したアプリケーションのクライアント ID とクライアントシークレット、および Iru がプロバイダーのサインインエンドポイントにアクセスするために必要な詳細を入力します。
3
ユーザー識別子クレームを選択する
プロバイダーの応答のどのクレームがユーザーを識別するかを Iru に指定します。たとえば、subject、email、または preferred username クレームです。これは、Iru がサインインしたユーザーを認識するために読み取る値です。
4
ユーザーマッチングを設定する
そのクレームと照合する Iru ユーザーの値 (UPN、ユーザー名、外部 ID、またはカスタム属性) を選択します。すべてのユーザーで一意かつ安定した値を選択してください。ユーザーマッチングを参照してください。
5
接続の用途を選択する
接続のユースケースとして、エンドユーザーのサインイン、デバイス登録、またはその両方を選択します。
6
ドメインを制限する
特定のメールドメインのユーザーのみにこの接続を使用させたい場合は、ドメイン制限を有効にしてそれらのドメインを追加します。
7
保存してテストする
接続を保存し、テストユーザーとしてサインインして引き渡しを確認します。プロバイダーがユーザーを認証して識別クレームを返し、Iru がそのユーザーを正しいユーザーと照合します。
接続後のサインインの仕組み
ユーザーがサインインすると、Iru はサインインを OIDC プロバイダーに引き渡します。プロバイダーがユーザーを認証して ID クレームを返し、Iru がそれを Iru ユーザーと照合して、セッションが続行されます。その後、Iru はアクセスを許可する前にアプリの認証ポリシーを評価します。全体像については、システムアーキテクチャを参照してください。関連情報
フェデレーション認証
ユースケース、ドメイン制限、ユーザーマッチングを 1 か所で説明します。
カスタム SAML
OpenID Connect の代わりに SAML を使用する ID プロバイダーを接続します。
Google Workspace
既製のテンプレートを使用して Google Workspace を接続します。
Microsoft Entra ID
既製のテンプレートを使用して Microsoft Entra ID を接続します。