メインコンテンツへスキップ

Salesforce SSO時のMFA必須化に対するOneLoginの修正対応（6月25日更新）

Google Workspace マルチIdP - SAML認証

西 晃平
  • 作成日
  • 更新日

本記事は、企業部門や子会社など、組織ごとに異なるサードパーティIDプロバイダを利用しているユーザーを対象としています。

本記事では、OneLoginからGoogle Workspace（旧G Suite）へのSAML シングルサインオン（SSO）の設定手順をご案内します。

 

目次

前提条件

SAML連携の設定

1. OneLogin側の操作

2. Google Workspace側の設定

3. OneLogin側の設定

SAML SSOの動作確認

SAML SSOの無効化

SSOプロファイル割り当てに関する注意事項

 

前提条件

  • OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
  • OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
  • Google Workspace または G Suite をご契約であること（すべてのプランが対象です）
  • Google Workspace における 特権管理者権限 をお持ちであること

 

SAML連携の設定

1. OneLogin側の操作

  1. OneLoginに管理者でログインし、［管理］をクリックします
    OneLoginに管理者でログインし、管理をクリックします

     
  2. Applications メニューから［Applications］を選択します
    ApplicationsメニューからApplicationsを選択します

     
  3. ［Add App］をクリックします
    Add Appボタンをクリックします

     
  4. GoogleWorkspace (Multi IdP) -JP と検索し、該当コネクタを選択します
    GW-Multi_1-4.1.png

     
  5. ［Save］をクリックします
    GW-Multi_1-5.1.png

     
  6. SSO タブに移動し、Issuer URL, SAML 2.0 Endpoint (HTTP), SLO Endpoint (HTTP) をクリップボードへコピーします
    GW(Multi-IdP)_1-10.png

     
  7. View Details をクリックします
    GW(Multi-IdP)_1-7.png

     
  8. ［Download］をクリックします

 

2. Google Workspace側の設定

  1. Google Workspaceへ管理者アカウントでログインし、管理を開きます
    GW(Multi-IdP)_1-12.png

     
  2. セキュリティ > 認証 > サードパーティのIdPによるSSO に移動します
    GW(Multi-IdP)_1-13.png

     
  3. サードパーティのSSO プロファイル > SAML プロファイルを追加 をクリックします
    GW(Multi-IdP)_1-14.png

     
  4. 任意の SSOプロファイル名 を入力します
    GW-Multi_2-4.png

     

  5. IdP の詳細 に、1. OneLogin側の操作 で取得した値を以下の通りに入力します

    Google Workspace OneLogin
    IdP エンティティ ID Issuer URL
    ログインページの URL SAML2.0 Endpoint (HTTP)
    ログアウト ページの URL

    https://{サブドメイン}.onelogin.com/portal
    パスワード変更用 URL https://{サブドメイン}.onelogin.com/password/lost_password

    ログアウトURLに SLO Endpoint (HTTP) を設定しますとログアウトした際にOneLoginもログアウトするため、ログアウト ページの URL へ http://{サブドメイン}.onelogin.com/portal と設定しますとOneLoginのポータル画面へリダイレクトされます
    GW-Multi_2-5.png

     

  6. ［証明書をアップロード］をクリックし、1. OneLogin側の操作 で保存した onelogin.pem を選択します
    GW(Multi-IdP)_1-17.png

     
  7. ［保存］をクリックします
    GW(Multi-IdP)_1-18.png

     
  8. SP の詳細 の エンティティID の末尾の文字列をクリップボードへコピーします
    例）https://accounts.google.com/samlrp/03m3nb3t4bfztog の場合、03m3nb3t4bfztog をコピー
    CleanShot 0006-04-01 at 16.54.46@2x.png


  9. ← 戻る をクリックします
    CleanShot 0006-04-01 at 17.01.44@2x.png

     
  10. SSO プロファイルの割り当ての管理 > 使ってみる をクリックします
    GW(Multi-IdP)_1-21.png

     
  11. SAML認証を行う組織部門を選択します
    *本記事では組織部門を利用して割り当てを行いますが、グループを利用した割当も可能です。ただし、グループを利用する際はグループがユーザーに対して複数適用可能であるためグループごとに優先順位設定が必要です。
    GW(Multi-IdP)_1-22.png

     
  12. 別の SSO プロファイル を選択し、作成したSSO プロファイルを選択後、オーバーライド をクリックします
    GW(Multi-IdP)_1-23.png

 

3. OneLogin側の設定

  1. Configuration タブに移動し、IDP ID に 2. Google Workspace側の設定 手順8でコピーした値を貼り付けます
    CleanShot 0006-04-01 at 16.56.54@2x.png

     
  2. SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
    GW(Multi-IdP)_1-9.png

     
  3. Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
    GW-Multi_1-11.1.png

 

SAML連携の設定は以上です。

 

SAML SSOの動作確認

  1. OneLoginに対象ユーザーでログインし、設定した Google Workspace (Multi IdP) を選択します
    GW-Multi_1-22.1.png

     
  2. SAML認証が完了し、Google WorkspaceにSSOされることを確認します
    CleanShot 2023-09-11 at 16.38.51@2x.png

 

SAML SSOの動作確認は以上です。

 

SAML SSOの無効化

  1. Google Workspaceへ管理者アカウントでログインし、管理を開きます
    GW(Multi-IdP)_1-12.png

     
  2. セキュリティ > 認証 > サードパーティのIdPによるSSO をクリックします
    GW(Multi-IdP)_1-13.png

     
  3. 削除したいSSOプロファイルをクリックします
    GW-Multi_2-3.1.png

     
  4. ［削除］をクリックします
    GW-Multi_2-4.1.png

 

SAML SSOの無効化は以上です。

 

SSOプロファイル割り当てに関する注意事項

ご紹介したGoogle Workspaceが提供する組織部門、グループ別の個別SSOプロファイル割当機能においてご注意いただくべきポイントがございます。

 

1. 組織部門・グループ別SSOプロファイルで指定したIDプロバイダ以外では認証不可

この機能は、特定の組織部門やグループに所属するユーザーに対して管理者が個別に指定したIdPを利用したGoogle Workspaceへのシングルサインオンを許可、制御する機能です。そのため、1つのユーザーに対して複数のIdPを割り当てることや、複数のIdPからのシングルサインオンを同時に受け入れることはできません。必ず1つのユーザーに対し一つの外部IdPをご利用頂く必要がございます。

 

具体例として下記画面の設定内容であれば、組織部門「IT管理者」に属するユーザーはGoogleのID・パスワードを利用してログインはできますが、たとえ本人の有効なOneLoginあるいはMicrosoft Entra IDアカウントを利用したシングルサインオンはできません。

また、同様に組織部門「パート・インターン」に属するユーザーはOneLoginからシングルサインオンすることはできますが、GoogleのID・パスワードを利用したログインやMicrosoft Entra IDからのシングルサインオンはできません。

組織部門「社員」については、Microsoft Entra IDからシングルサインオンすることはできますが、同様にGoogleのID・パスワードを利用したログインやOneLoginからのシングルサインオンはできません。

CleanShot 2023-09-27 at 19.13.33@2x.png

 

エンドユーザーが上記前提を無視して管理者が設定した組織部門・グループごとのSSOプロファイル（IDプロバイダ）以外でシングルサインオンしようとすると、下記画面のようにエラーが発生してログインできません。

Google_Error.png

関連記事

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません