Skip to main content
ID プロバイダーが SAML 標準に対応しているものの、既製のテンプレートでカバーされていない場合は、カスタム SAML 接続として接続します。この構成では、Iru はサービスプロバイダー (SP) として機能します。プロバイダーがユーザーを認証し、Iru が信頼する署名付き SAML レスポンスを送信してセッションを開始します。
Iru Identity を ID プロバイダーとして使用しているほとんどの組織では、ユーザーはパスキーまたは Iru Access アプリで直接サインインします。Iru Identity をプライマリ ID プロバイダーではなく Iru プラットフォームへの認証レイヤーとして使用する場合、または Iru Identity への移行を容易にする場合に SAML プロバイダーを接続します。フェデレーション認証を参照してください。
この接続を完了するには、Iru テナントの管理者アクセス権と SAML ID プロバイダーの管理者アクセス権が必要です。SAML の設定では双方向でいくつかの値を交換する必要があります。このページでは両方の側について説明します。

​
信頼の確立方法

Iru とプロバイダーは互いに信頼する必要があります。Iru はプロバイダーが Iru を認識するために必要な詳細を提供し、プロバイダーは Iru がそのレスポンスを検証するために必要な詳細を提供します。

​
始める前に

1

Iru のサービスプロバイダーの詳細を収集する

Iru の接続から、プロバイダーが要求する値を収集します。Iru の SP メタデータ、エンティティ ID、ACS URL (プロバイダーが SAML レスポンスを送信するアドレス) です。多くのプロバイダーはメタデータから 1 ステップでインポートできます。
2

プロバイダーの詳細を収集する

SAML プロバイダーから、エンティティ ID、シングルサインオン URL、署名証明書 (Iru がプロバイダーの署名付きレスポンスを検証するために使用する証明書) を収集します。
3

ユーザーが Iru に存在することを確認する

接続を通じたサインインは、既存の Iru ユーザーに解決されます。最初にユーザーを追加またはインポートしてください。ユーザーのインポートまたは Directory Sync を参照してください。

​
SAML プロバイダーを接続する

1

接続を追加する

Access → Authentication で authentication method を追加し、SAML を選択します。Iru がこの接続用のサービスプロバイダーの詳細を生成します。
2

Iru をプロバイダーに登録する

SAML プロバイダーで Iru 用の新しいアプリケーション (証明書利用者) を作成し、Iru のエンティティ ID と ACS URL を指定するか、プロバイダーが対応している場合は Iru の SP メタデータをインポートします。NameID と照合に使用する予定の属性を提供するようプロバイダーを構成します。具体的な証明書利用者の画面はプロバイダーのコンソールにあるため、最新のドキュメントに従ってください。
3

Iru にプロバイダーの詳細を入力する

Iru に戻り、プロバイダーのエンティティ ID とシングルサインオン URL を入力してから、プロバイダーの署名証明書をアップロードして、Iru が受信した SAML レスポンスを検証できるようにします。
4

ユーザーマッチングを設定する

SAML レスポンスのどの値がユーザーを識別するか (件名 (NameID) またはプロバイダーが送信する名前付き属性) と、それを照合する Iru ユーザーの値 (UPN、ユーザー名、外部 ID、またはカスタム属性) を Iru に指定します。ユーザーマッチングを参照してください。
5

接続の用途を選択する

接続のユースケースとして、エンドユーザーのサインイン、デバイス登録、またはその両方を選択します。
6

ドメインを制限する

特定のメールドメインのユーザーのみにこの接続を使用させたい場合は、ドメイン制限を有効にしてそれらのドメインを追加します。
7

保存してテストする

接続を保存し、テストユーザーとしてサインインしてラウンドトリップを確認します。Iru がリクエストを送信し、プロバイダーがユーザーを認証し、Iru がそのユーザーを正しいユーザーと照合します。
Iru はリクエスト署名証明書を提示することもでき、プロバイダーはサインインリクエストが本当に Iru から送信されたものであることを検証できます。プロバイダーが署名付きリクエストを要求する場合は、接続から Iru のリクエスト署名証明書を共有し、プロバイダー側で署名付きリクエストを有効にします。

​
接続を正常に保つ

プロバイダーからアップロードした署名証明書には有効期限があります。プロバイダーが証明書をローテーションした場合は、サインインが引き続き機能するよう Iru に新しい証明書をアップロードしてください。古い証明書の有効期限が切れる前に交換を計画してください。
これはほぼ常にユーザーマッチングが原因です。プロバイダーが送信する値 (Subject または属性) がすべてのユーザーに存在して一意であること、および選択した Iru ユーザーの値と一致することを確認してください。

​
関連情報

フェデレーション認証

ユースケース、ドメイン制限、ユーザーマッチングを 1 か所で説明します。

カスタム OIDC

SAML の代わりに OpenID Connect を使用する ID プロバイダーを接続します。

システムアーキテクチャ

フェデレーションサインインがより広い ID レイヤーにどのように組み込まれるかを確認します。

サインインエクスペリエンス

サインイン時にユーザーに表示される内容を設定します。