本記事では、OneLoginからSumo LogicへのSAML シングルサインオン（SSO）およびJITプロビジョニングの設定手順をご案内します。
目次
前提条件
- OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Sumo Logicのライセンスが Cloud Flex: Enterprise / Trial または Credit: Essentials / Enterprise Operations / Enterprise Security / Enterprise Suite / Trial であること
SAML連携の設定
1. OneLogin側の操作
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
Sumo Logic と検索し、SAML2.0 のコネクタを選択します
- ［Save］をクリックします
-
SSO に移動し、Issuer URL と SAML 2.0 Endpoint (HTTP) をクリップボードへコピーします
-
View Details をクリックします
-
X.509 Certificate の内容をクリップボードへコピーします
2. Sumo Logic側の設定
- Sumo Logicの画面左下の Administration ＞ Security をクリックします
- SAMLタブ > Add Configuration をクリックします
- 設定画面が表示されます
-
Configuration Name に、設定するSAML認証の名前を入力します
-
Issuer に 1. OneLogin側の操作 でコピーした IssuerURL を貼り付けます
-
X.509 Certificate へ 1. OneLogin側の操作 でコピーした X.509 Certificate を貼り付けます
-
Attribute Mapping の Use SAML Subject にチェックを入れます
-
SP Initiated Login Configuration をクリックし、Authn Request URL へ 1. OneLogin側の操作 でコピーしたSAML 2.0 Endpoint (HTTP) を貼り付けます
- ［Add］クリックします
上記設定により追加されたConfigurationを選択します
-
Assertion Consumer と Entity ID をクリップボードへコピーします
3. OneLogin側の設定
-
Configuration タブへ移動し、2. Sumo Logic側の設定 でコピーした Assertion Consumer と Entity ID を貼り付けます
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
SAML連携の設定は以上です。
SAML SSOの動作確認
- OneLoginに対象ユーザーでログインし、設定した Sumo Logic を選択します
- SAML認証が完了し、Sumo Logicに遷移することを確認します
SAML SSOの動作確認は以上です。
JITプロビジョニングの設定
OneLoginからのSSOでJIT Provisioningを利用する方法、設定手順について説明します。JIT Provisioningの設定を行うことで、OneLoginからSSOするだけで、ユーザーの作成、Roleの変更が自動でできるようになります。
1. JITプロビジョニングによるユーザーの作成
JIT Provisioningを利用して、OneLoginからのSSOでSumo Logicに新規ユーザーを作成することができます。下記をに設定の手順をご紹介しています。
- Sumo Logicへログインし、Administrationタブ ＞ [Security] をクリックします
-
SAMLタブ を開き、Configuration Listの中から、JIT Provisioningの設定を行いたいOneLogin環境のSAML設定をクリックします
- 右に表示されたエリアから、ペンアイコンをクリックし、編集画面を開きます
- 開かれたSAML編集画面を下スクロールし、Optional Settings の On Demand Provisioning にチェックを入れます
-
On Demand Provisioning の下に以下のような入力欄が表示されます
下記の表のように値を入力します（この時、On Demand Provisioning RolesはSumo Logicに既に登録されているロールを入力してください）First Name firstname Last Name lastname On Demand Provisioning Roles 例）Analyst
(デフォルトで割り当てるロール名)
-
右下の［Save］をクリックして設定を保存します
-
使用例として実際にSumo Logicに登録されていないユーザーでSumo LogicへSSOを行います。
Sumo Logicに新規登録したいOneLoginのユーザーアカウントにログインします。この時、新規登録したいアカウントは、Sumo Logicにメールアドレスが登録されていないものを指します
firstname 光 lastname 中村 Email hikari.nakamra@gmail.com
- Sumo Logicにログインできます
- Sumo Logicのユーザー一覧を確認すると、先程ログインしたユーザーの情報、Roleが振り分けられて追加されています
2. JITプロビジョニングによるRoleの更新
JIT Provisioningを利用して、OneLoginで割り当てられているロールをSumo Logicのロールとして割り当てることができます。これは、Sumo Logicへのログイン時に、毎回OneLogin側で設定した値がSumo Logicのロールとして割り当てられます。設定はOneLogin側とSumoLogic側で行う必要がありますOneLoginから１ユーザーへ複数のRoleを割り当てることはできません
- Sumo Logicのコネクタ設定画面を開き、Parametersタブ を開きます
-
Sumo Logic Multi Field の[Role]をクリックします
-
No Transform (Single value output) のプルダウンから、Semicolon Delimited Input (Multi-value output) を選択します
- フィールドが選択されていることを確認し、[SAVE]をクリックします
-
Rules >［Add Rule］をクリックします
-
NameへRuleの名前を入力します
例）Sumo-Role(analyst)
-
Conditions の➕アイコンをクリックし、Roles includes [割り当てたいRole] と設定します
ConditionsとはRuleをどのユーザーに割り当てるのかをRoleやEmailを用いて設定する項目です。例えば、Admin というRoleのユーザーに割り当てる場合は、 Roles include Admin と設定します
OneLoginとSumo LogicのRoleを同じ値に設定する必要がございます
例（SumoLogicのRoleにAnalystがある場合）：analyst, Sumo_Role_analyst
-
Actions を設定します
ActionsとはRuleを適用させるユーザーをどのよう処理をするかを設定する項目です
例）SumoLogic上のanalystというRoleをユーザーに割り当てる場合
[Set role in Sumo Logic] ☑️ Map From OneLogin
For each [role] with value that matches「 Sumo_Role_([^,]+) 」 と設定します
- 設定が完了したら [SAVE] をクリックします
-
Accessタブ > Roles からConditionsで設定を行ったRolesにチェックをします
- ［Save］をクリックします
- Sumo Logicへログインし、Administrationタブ > [Security] をクリックします
-
SAMLタブ を開き、Configuration Listの中から、JIT Provisioningの設定を行いたいOneLogin環境のSAML設定をクリックします
- 右に表示されたエリアから、ペンアイコンをクリックし、編集画面を開きます
- SAML設定画面を下スクロールし、Role Attribute にチェックを入れます
-
Roles Attributeの下に入力欄が表示されます
入力欄へ下記の表のように入力します。Roles Attribute role
- 設定が完了したら、[SAVE]をクリックし保存します
-
使用例としてOneLoginとSumo Logicに異なるroleを設定し、OneLoginからSumo LogicへSSOを行います。
firstname 光 lastname 中村 Email hikari.nakamra@gmail.com OneLogin role Sumo_Logic_analyst Sumo logic role Viewer
- roleを変更したいOneLoginのユーザーアカウントにログインし、Sumo Logicのアイコンをクリックします
- Sumo Logicにログインします
- Sumo Logicのユーザー一覧を確認すると、先程ログインしたユーザーのRoleが変更されています
SAML SSOの必須化
Sumo Logicへログインする際、SAML連携を必須条件に設定する手順をご紹介いたします
SAML連携を必須化すると、現在使用されているSumo Logicへログインする際のパスワードが全て削除されます。SAML連携の必須化を解除後、パスワードを再設定する必要があります。そのためSAML連携の必須化を行う際は使用ユーザーに影響がないかご確認ください。
- Sumo Logicへログインし、Administrationタブ ＞ Security をクリックします
-
Require SAML Sign In にチェックを入れます
- ［Require SAML Authentication］をクリックします
SAML SSOの無効化
Sumo LogicとOneLoginのSAML連携の解除手順を下記にご紹介いたします
SAML連携を必須化後、連携解除を行うとパスワードを再設定する必要があります。そのためSAML連携の必須化を行う際は使用ユーザーに影響がないかご確認ください
- Sumo Logicへログインし、Administrationタブ ＞ [Security] をクリックします
-
SAMLタブ を開き、Configuration Listの中から、SAML連携を解除したいOneLogin環境のSAML設定をクリックします
- 右に表示されたエリアから、ゴミ箱アイコンをクリックします
- 確認画面が表示されるので、[Delete]をクリックします
SAML SSOの無効化は以上です。