SAML認証の設定
- 印刷する
SAML認証の設定
- 印刷する
記事の要約
この要約は役に立ちましたか?
ご意見ありがとうございます
本トピックはiDoperation Cloudのユーザ認証で、外部アイデンティティプロバイダーとして「SAML認証」を利用するための設定について説明します。
以下の『利用までの作業の流れ』で作業内容を説明します。外部アイデンティティープロバイダー認証の設定を始めるためには、テクニカルサポートへの連絡が必要となります。
利用までの作業の流れ
利用までの流れを説明するために、外部アイデンティティプロバイダーの例としてAWSを用いて説明します。他の外部アイデンティティプロバイダーを利用する場合は、AWSの例を参考に利用する外部アイデンティティプロバイダーのドキュメントを参照して利用方法を確認してください。
表内の順番に従い、作業を実施します。実施者が「お客様」の項目については、お客様で作業を実施してください。
| No | 実施者 | 作業概要 | 説明 |
| 1 | お客様 | SAML認証の利用要望を連絡 | SAML認証を利用したい旨をテクニカルサポートへ連絡してください。 |
| 2 | テクニカルサポート | エンティティID、シングルサインオンURLのご案内 | アプリケーション作成に必要な＜エンティティID＞＜シングルサインオンURL＞をお客様に連絡します。 |
| 3 | お客様 | アプリケーションの作成 | AWSマネジメントコンソールでログインし 『アプリケーションの作成』を参照してお客様にてアプリケーションの作成を実施します。 |
| 4 | お客様 | アプリケーションのユーザー割り当て | AWSマネジメントコンソールでログインし 『アプリケーションのユーザー割り当て』を参照して作成したアプリケーションユーザー割り当てをお願いします。 |
| 5 | お客様 | メタデータドキュメント情報を連絡 | 作成したアプリケーションの『メタデータドキュメント情報』をテクニカルサポートに連絡してください。『アプリケーションの作成』の手順5で取得します。 |
| 6 | テクニカルサポート | プロバイダー情報登録完了のご案内 | 連絡内容を基にSAML認証のプロバイダー情報登録をテクニカルサポートが実施して、iDoperation Cloud側の準備が完了したらお客様に連絡します。 |
設定手順
お客様が実施する設定手順について、説明します。
アプリケーションの作成
お客様にてアプリケーションの作成を実施します。テクニカルサポートより連絡した＜エンティティID＞＜シングルサインオンURL＞が必要です。
ここでは、AWS IAM Identity Centerのアプリケーションを利用する場合の手順で説明します。そのほかの外部アイデンティティプロバイダーで設定する場合は手順を読み替えてください。
手順１ AWS管理コンソールにアクセスし、「IAM Identity Center」-「アプリケーション」の「アプリケーションを追加」をクリックする。
手順２ 「アプリケーションタイプを選択」の「設定プリファレンス」で「セットアップしたいアプリケーションがある」を選択する。
手順３ 「アプリケーションタイプ」で「SAML 2.0」を選択し「次へ」をクリックする。
手順４ 「アプリケーションを設定」で下記を設定する。
| No | 設定項目 | 項目名 | 設定値 |
| 1 | アプリケーションを設定 | 表示名 | iDoperation Cloud （任意の値に変更可能） |
| 説明 | 任意 |
手順５「IAM Identity Centerメタデータ」で「IAM Identity CenterSAMLメタデータファイル」をダウンロードする。
※このファイルは『利用までの作業の流れ』の「メタデータドキュメント情報を連絡」で使用します。
手順６「アプリケーションメタデータ」で「メタデータの値を手動で入力する」を選択し、以下を設定する。
| No | 設定項目 | 項目名 | 設定値 |
| 1 | アプリケーションメタデータ | アプリケーション ACS URL | テクニカルサポートからお客様へ連絡した＜シングルサインオンURL＞の値を設定する。 |
| アプリケーション SAML オーディエンス | テクニカルサポートからお客様へ連絡した＜エンティティID＞の値を設定する。 |
手順７ 「送信」をクリックしてアプリケーション作成を実行する。
手順８ 作成したアプリケーションを選択し、「詳細」にある「アクション」を選択し、プルダウンから「属性マッピングを編集」をクリックする。
手順９ 「属性マッピング」画面で「新しい属性マッピングを追加」をクリックし、下記を設定する。
| No. | 設定項目 | 項目名 | 設定値 |
| 1 | 属性マッピング（email） | アプリケーションのユーザー属性 | http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress |
| 2 | IAM Identity Center内のこの属性にマップします | ${user:email} | |
| 3 | フォーマット | unspecified |
手順10 Dynamic Role Mappingを利用する場合は、手順8～手順9と同じ手順で『Dynamic Role Mappingの設定』を実施する。
アプリケーションのユーザー割り当て
作成したアプリケーションを、iDoperationの利用を許可するユーザーに対して割り当てを実施してください。
ここでは、AWS IAM Identity Centerのアプリケーションを利用する場合の手順で説明します。そのほかの外部アイデンティティプロバイダーで設定する場合は手順を読み替えてください。
手順１ AWS管理コンソールにアクセスし、「IAM Identity Center」-「アプリケーション」の『アプリケーションの作成』で作成したアプリケーションをクリックする。
手順２ 「割り当てられたユーザーとグループ」で「ユーザーとグループの割り当て」をクリックする。
手順３ 「割り当て ユーザーとグループ」でiDoperationの利用を許可するユーザーまたはグループを選択して「完了」をクリックする。
メタデータドキュメント情報
メタデータドキュメント 情報をテクニカルサポートへ連絡してください。
| No | 項目 | 取得・確認方法 |
| 1 | クライアントID | 『アプリケーションの作成』の手順5で取得する。 |
SAML属性によるロールの動的割り当て（Dynamic Role Mapping）
Dynamic Role Mapping機能は、外部アイデンティティプロバイダーを使ってユーザがポータルにサインインすると、SAMLの属性情報（外部ロール名）と同名のユーザグループへ一時的に所属させます。そのユーザは、ユーザグループに割り当てられたロールや操作権限をサインアウトするまで使用できます。
例えば、外部アイデンティティプロバイダーからSAMLの属性情報として外部ロール名「Administrator」が返却されると、ユーザは一時的に「Administrator」グループに追加され、そのグループに設定されているロールや操作権限でポータルを利用することができます。
すでにSAML認証を利用している場合は、『アプリケーションの作成』手順8～手順9を参考に、外部ロール名を示す属性を指定してください。
Dynamic Role Mappingの設定
Dynamic Role Mappingを利用するには、以下の条件があります。
| No | 条件 |
| 1 | 外部ロール名を設定するSAML属性名を「roles」にすること。 ※「roles」には複数の外部ロール名を設定できます。 |
| 2 | 外部ロール名はiDoperationのユーザグループ名に大文字小文字も含めて完全一致すること。 |
AWS IAM Identity Centerの属性マッピングの設定例は以下です。
| No. | 設定項目 | 項目名 | 設定値 |
| 1 | 属性マッピング（roles） | アプリケーションのユーザー属性 | roles |
| 2 | IAM Identity Center内のこの属性にマップします | ${user:givenName} ※user:givenNameは例です。送信したい外部ロール名を示す属性に変更してください。 | |
| 3 | フォーマット | unspecified |
以下のSAML ResponseのAssertionの場合は、「Internal」「Administrator」のユーザグループに一時的に所属させる例です。
<saml:Assertion ...> |