本記事では、OneLoginのSAMLカスタムコネクタを使用し、組織独自の内部アプリケーションなど Applicationsカタログ に掲載されていないアプリへのSAML シングルサインオン（SSO）の設定手順をご案内します。本コネクタは、多様な設定オプションを細かく調整することにより、独自の認証要件を満たすことが可能です。
本記事でご紹介する SAML Custom Connector (Advanced) は汎用的なコネクタではございますが、全てのサービスにおいて確実な動作を保証するものではございません。
また、SAML SSOに対応している一部のサービスでは、SAML認証を有効にするとパスワードによるログインができなくなる場合がございます。設定に不備がある状態でSAML SSOを有効にするとサービスにログインできなくなる可能性があるため、ご注意ください。サービスからロックアウトされた場合の補償はいたしかねます。
ご自身での構築が困難な場合は、ペンティオヘルプセンター リクエストを送信 をご利用ください。
目次
1. OneLoginが主導（IdP-Initiated SSO）の場合
2. SSO先のSPが主導（SP-Initiated SSO）の場合
前提条件
- OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
OneLogin SAMLカスタムコネクタの設定
1. OneLoginが主導（IdP-Initiated SSO）の場合
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
SAML Custom Connector (Advanced) と検索し、該当コネクタを選択します
- 任意の Display Name を入力します
- 任意のアイコンをアップロードし、［Save］をクリックします
-
Configuration タブに移動し、任意の RelayState を入力します
*OneLoginのユーザーポータルから（IdP-Initiated）ではなく、SSO先のSPから（SP-Initiated）開始する一部のワークフローでは、SPがSAMLリクエストにRelayStateパラメータを含める場合があり、その場合はここで入力された値が上書きされることがあります。
- 任意の Audience (EntityID) を入力します
- SPがACS URLと照合するSAMLアサーションの受信先となるエンドポイントURL、Recipient を入力します
- OneLoginがSAMLレスポンスを正しいURLに送信するための正規表現、ACS (Consumer) URL Validator* を入力します
- SPによる処理のためOneLoginがSAMLレスポンスをPOSTすべきURL、ACS (Consumer) URL* を入力します
-
Parameters タブに移動し、NameID value フィールドを選択します
- NameIDにマッピングする任意の Value を選択し、［Save］をクリックします
*カスタムユーザーフィールドを利用するには、OneLoginのライセンスが Unlimited または Advanced, Professional（新料金体系）のいずれかである必要があります。
- add parameter［+］をクリックし、SAMLアサーションに渡す任意の属性を追加します
-
SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
2. SSO先のSPが主導（SP-Initiated SSO）の場合
-
1. OneLoginが主導（IdP-Initiated SSO）の場合 における全ての手順を完了します
-
Configuration タブに移動し、SPの Login URL を入力します
-
SAML initiator を Service Provider に変更し、［Save］をクリックします
OneLogin SAMLカスタムコネクタの設定は以上です。
SAML SSOの動作確認
- プロファイルメニュー > ログアウト を選択します
- OneLoginに設定したコネクタを割り当てたテストユーザーでログインします
- 設定した Display Name または Discription で検索し、該当コネクタを選択します
- 下記のいずれかのフローでSSOされることを確認します
- OneLoginが主導（IdP-Initiated SSO）の場合: SPに遷移し、SAML認証が完了します
-
SSO先のSPが主導（SP-Initiated SSO）の場合:
- 2. SSO先のSPが主導（SP-Initiated SSO）の場合 で設定したSPのログインURLに遷移します
- メールアドレスを入力するとSAML認証が完了します
SAML SSOの動作確認は以上です。