本記事は、企業部門や子会社など、組織ごとに異なるサードパーティIDプロバイダを利用しているユーザーを対象としています。
本記事では、OneLoginからGoogle Workspace(旧G Suite)へのSAML シングルサインオン(SSO)の設定手順をご案内します。
目次
前提条件
- OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional(新料金体系)のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Google Workspace または G Suite をご契約であること(すべてのプランが対象です)
- Google Workspace における 特権管理者権限 をお持ちであること
SAML連携の設定
1. OneLogin側の操作
- OneLoginに管理者でログインし、[管理]をクリックします
-
Applications メニューから[Applications]を選択します
- [Add App]をクリックします
-
GoogleWorkspace (Multi IdP) -JP と検索し、該当コネクタを選択します
- [Save]をクリックします
-
SSO タブに移動し、Issuer URL, SAML 2.0 Endpoint (HTTP), SLO Endpoint (HTTP) をクリップボードへコピーします
-
View Details をクリックします
- [Download]をクリックします
2. Google Workspace側の設定
- Google Workspaceへ管理者アカウントでログインし、管理を開きます
- セキュリティ > 認証 > サードパーティのIdPによるSSO に移動します
- サードパーティのSSO プロファイル > SAML プロファイルを追加 をクリックします
- 任意の SSOプロファイル名 を入力します
-
IdP の詳細 に、1. OneLogin側の操作 で取得した値を以下の通りに入力します
Google Workspace OneLogin IdP エンティティ ID Issuer URL ログインページの URL SAML2.0 Endpoint (HTTP) ログアウト ページの URL
https://{サブドメイン}.onelogin.com/portalパスワード変更用 URL https://{サブドメイン}.onelogin.com/password/lost_password ログアウトURLに SLO Endpoint (HTTP) を設定しますとログアウトした際にOneLoginもログアウトするため、ログアウト ページの URL へ http://{サブドメイン}.onelogin.com/portal と設定しますとOneLoginのポータル画面へリダイレクトされます
- [証明書をアップロード]をクリックし、1. OneLogin側の操作 で保存した
onelogin.pemを選択します
- [保存]をクリックします
-
SP の詳細 の エンティティID の末尾の文字列をクリップボードへコピーします
例)https://accounts.google.com/samlrp/03m3nb3t4bfztogの場合、03m3nb3t4bfztogをコピー
-
← 戻る をクリックします
- SSO プロファイルの割り当ての管理 > 使ってみる をクリックします
- SAML認証を行う組織部門を選択します
*本記事では組織部門を利用して割り当てを行いますが、グループを利用した割当も可能です。ただし、グループを利用する際はグループがユーザーに対して複数適用可能であるためグループごとに優先順位設定が必要です。
-
別の SSO プロファイル を選択し、作成したSSO プロファイルを選択後、オーバーライド をクリックします
3. OneLogin側の設定
-
Configuration タブに移動し、IDP ID に 2. Google Workspace側の設定 手順8でコピーした値を貼り付けます
-
SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、[Save]をクリックします
SAML連携の設定は以上です。
SAML SSOの動作確認
- OneLoginに対象ユーザーでログインし、設定した Google Workspace (Multi IdP) を選択します
- SAML認証が完了し、Google WorkspaceにSSOされることを確認します
SAML SSOの動作確認は以上です。
SAML SSOの無効化
- Google Workspaceへ管理者アカウントでログインし、管理を開きます
-
セキュリティ > 認証 > サードパーティのIdPによるSSO をクリックします
- 削除したいSSOプロファイルをクリックします
- [削除]をクリックします
SAML SSOの無効化は以上です。
SSOプロファイル割り当てに関する注意事項
ご紹介したGoogle Workspaceが提供する組織部門、グループ別の個別SSOプロファイル割当機能においてご注意いただくべきポイントがございます。
1. 組織部門・グループ別SSOプロファイルで指定したIDプロバイダ以外では認証不可
この機能は、特定の組織部門やグループに所属するユーザーに対して管理者が個別に指定したIdPを利用したGoogle Workspaceへのシングルサインオンを許可、制御する機能です。そのため、1つのユーザーに対して複数のIdPを割り当てることや、複数のIdPからのシングルサインオンを同時に受け入れることはできません。必ず1つのユーザーに対し一つの外部IdPをご利用頂く必要がございます。
具体例として下記画面の設定内容であれば、組織部門「IT管理者」に属するユーザーはGoogleのID・パスワードを利用してログインはできますが、たとえ本人の有効なOneLoginあるいはMicrosoft Entra IDアカウントを利用したシングルサインオンはできません。
また、同様に組織部門「パート・インターン」に属するユーザーはOneLoginからシングルサインオンすることはできますが、GoogleのID・パスワードを利用したログインやMicrosoft Entra IDからのシングルサインオンはできません。
組織部門「社員」については、Microsoft Entra IDからシングルサインオンすることはできますが、同様にGoogleのID・パスワードを利用したログインやOneLoginからのシングルサインオンはできません。
エンドユーザーが上記前提を無視して管理者が設定した組織部門・グループごとのSSOプロファイル(IDプロバイダ)以外でシングルサインオンしようとすると、下記画面のようにエラーが発生してログインできません。