> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# カスタム SAML

> Iru をサービスプロバイダーとして、任意の SAML 2.0 ID プロバイダーを Iru Identity に接続してフェデレーションサインインを行い、アサーションをユーザー属性にマッピングします。

ID プロバイダーが **SAML** 標準に対応しているものの、既製のテンプレートでカバーされていない場合は、**カスタム SAML** 接続として接続します。この構成では、Iru は**サービスプロバイダー (SP)** として機能します。プロバイダーがユーザーを認証し、Iru が信頼する署名付き SAML レスポンスを送信してセッションを開始します。

<Info>
  Iru Identity を ID プロバイダーとして使用しているほとんどの組織では、ユーザーはパスキーまたは Iru Access アプリで直接サインインします。Iru Identity をプライマリ ID プロバイダーではなく Iru プラットフォームへの認証レイヤーとして使用する場合、または Iru Identity への移行を容易にする場合に SAML プロバイダーを接続します。[フェデレーション認証](/ja/identity/connections/connections-overview)を参照してください。
</Info>

<Note>
  この接続を完了するには、Iru テナントの管理者アクセス権と SAML ID プロバイダーの管理者アクセス権が必要です。SAML の設定では双方向でいくつかの値を交換する必要があります。このページでは両方の側について説明します。
</Note>

## 信頼の確立方法

```mermaid theme={null}
sequenceDiagram
  participant Admin as あなた
  participant Iru as Iru (サービスプロバイダー)
  participant Idp as SAML プロバイダー

  Iru-->>Admin: SP メタデータ、エンティティ ID、ACS URL を提供
  Admin->>Idp: Iru をサービスプロバイダーとして登録
  Idp-->>Admin: エンティティ ID、サインイン URL、署名証明書を提供
  Admin->>Iru: プロバイダーの詳細を入力し証明書をアップロード
  Note over Iru,Idp: 信頼が確立され、サインインをテスト可能
```

Iru とプロバイダーは互いに信頼する必要があります。Iru はプロバイダーが Iru を認識するために必要な詳細を提供し、プロバイダーは Iru がそのレスポンスを検証するために必要な詳細を提供します。

## 始める前に

<Steps>
  <Step title="Iru のサービスプロバイダーの詳細を収集する">
    Iru の接続から、プロバイダーが要求する値を収集します。Iru の **SP メタデータ**、**エンティティ ID**、**ACS URL** (プロバイダーが SAML レスポンスを送信するアドレス) です。多くのプロバイダーはメタデータから 1 ステップでインポートできます。
  </Step>

  <Step title="プロバイダーの詳細を収集する">
    SAML プロバイダーから、**エンティティ ID**、**シングルサインオン URL**、**署名証明書** (Iru がプロバイダーの署名付きレスポンスを検証するために使用する証明書) を収集します。
  </Step>

  <Step title="ユーザーが Iru に存在することを確認する">
    接続を通じたサインインは、既存の Iru ユーザーに解決されます。最初にユーザーを追加またはインポートしてください。[ユーザーのインポート](/ja/identity/directory/importing-users)または [Directory Sync](/ja/identity/directory/directory-sync) を参照してください。
  </Step>
</Steps>

## SAML プロバイダーを接続する

<Steps>
  <Step title="接続を追加する">
    **Access → Authentication** で **authentication method** を追加し、**SAML** を選択します。Iru がこの接続用のサービスプロバイダーの詳細を生成します。
  </Step>

  <Step title="Iru をプロバイダーに登録する">
    SAML プロバイダーで Iru 用の新しいアプリケーション (証明書利用者) を作成し、Iru の**エンティティ ID** と **ACS URL** を指定するか、プロバイダーが対応している場合は Iru の **SP メタデータ**をインポートします。**NameID** と照合に使用する予定の**属性**を提供するようプロバイダーを構成します。具体的な証明書利用者の画面はプロバイダーのコンソールにあるため、最新のドキュメントに従ってください。
  </Step>

  <Step title="Iru にプロバイダーの詳細を入力する">
    Iru に戻り、プロバイダーの**エンティティ ID** と**シングルサインオン URL** を入力してから、プロバイダーの**署名証明書**をアップロードして、Iru が受信した SAML レスポンスを検証できるようにします。
  </Step>

  <Step title="ユーザーマッチングを設定する">
    SAML レスポンスのどの値がユーザーを識別するか (**件名** (NameID) またはプロバイダーが送信する名前付き**属性**) と、それを照合する Iru ユーザーの値 (UPN、ユーザー名、外部 ID、またはカスタム属性) を Iru に指定します。[ユーザーマッチング](/ja/identity/connections/connections-overview#what-you-configure-on-every-identity-provider-connection)を参照してください。
  </Step>

  <Step title="接続の用途を選択する">
    接続の**ユースケース**として、**エンドユーザーのサインイン**、**デバイス登録**、またはその両方を選択します。
  </Step>

  <Step title="ドメインを制限する">
    特定のメールドメインのユーザーのみにこの接続を使用させたい場合は、**ドメイン制限**を有効にしてそれらのドメインを追加します。
  </Step>

  <Step title="保存してテストする">
    接続を保存し、テストユーザーとしてサインインしてラウンドトリップを確認します。Iru がリクエストを送信し、プロバイダーがユーザーを認証し、Iru がそのユーザーを正しいユーザーと照合します。
  </Step>
</Steps>

<Tip>
  Iru は**リクエスト署名証明書**を提示することもでき、プロバイダーはサインインリクエストが本当に Iru から送信されたものであることを検証できます。プロバイダーが署名付きリクエストを要求する場合は、接続から Iru のリクエスト署名証明書を共有し、プロバイダー側で署名付きリクエストを有効にします。
</Tip>

## 接続を正常に保つ

<AccordionGroup>
  <Accordion title="証明書には有効期限がある" icon="certificate">
    プロバイダーからアップロードした署名証明書には有効期限があります。プロバイダーが証明書をローテーションした場合は、サインインが引き続き機能するよう Iru に新しい証明書をアップロードしてください。古い証明書の有効期限が切れる前に交換を計画してください。
  </Accordion>

  <Accordion title="サインインが間違ったユーザーに解決される、または誰にも解決されない" icon="user-xmark">
    これはほぼ常に**ユーザーマッチング**が原因です。プロバイダーが送信する値 (Subject または属性) がすべてのユーザーに存在して一意であること、および選択した Iru ユーザーの値と一致することを確認してください。
  </Accordion>
</AccordionGroup>

## 関連情報

<CardGroup cols={2}>
  <Card title="フェデレーション認証" icon="plug" href="/ja/identity/connections/connections-overview">
    ユースケース、ドメイン制限、ユーザーマッチングを 1 か所で説明します。
  </Card>

  <Card title="カスタム OIDC" icon="key" href="/ja/identity/connections/custom-oidc">
    SAML の代わりに OpenID Connect を使用する ID プロバイダーを接続します。
  </Card>

  <Card title="システムアーキテクチャ" icon="sitemap" href="/ja/identity/getting-started/system-architecture">
    フェデレーションサインインがより広い ID レイヤーにどのように組み込まれるかを確認します。
  </Card>

  <Card title="サインインエクスペリエンス" icon="arrow-right-to-bracket" href="/ja/identity/authentication/sign-in-experience">
    サインイン時にユーザーに表示される内容を設定します。
  </Card>
</CardGroup>