メインコンテンツへスキップ

SmartHR SAML2.0 コネクタ サブドメイン再設定のお願い

Salesforce SSO時のMFA必須化に対するOneLoginの修正対応（6月9日更新）

DocuSign Admin API (Demo/Prod) - SAML認証

藤原 昂
  • 作成日
  • 更新日

本記事では、OneLoginからDocusignへのSAML シングルサインオン（SSO）の設定手順をご案内します。

 

目次

はじめに

前提条件

SAML連携の設定手順

1. OneLogin側の操作（前半）

2. Docusign側の操作

3. OneLogin側の操作（後半）

シングルサインオンの動作確認

SAML シングルサインオンの無効化

SAML認証の強制化

1. 全ドメインユーザーに適用されるログインポリシーの設定方法

2. ユーザーごとに適用されるログインポリシーの設定方法

OneLoginのライセンスが Starter, SSO または Enterprise プランのお客様向けのご案内

1. ジャストインタイムプロビジョニングについて

2. ジャストインタイムプロビジョニングによるユーザー作成

3. ジャストインタイムプロビジョニングの無効化

 

はじめに

Docusignには以下の2種類のSAML連携が可能なカタログコネクタがございます。

  • DocuSign Admin API (Prod)：実稼働環境用カタログコネクタ
  • DocuSign Admin API (Demo)：テスト環境用カタログコネクタ

DocuSign Admin API (Prod) および DocuSign Admin API (Demo) のいずれのコネクタにおいても、SAML連携の設定手順は同一です。つきましては、お客様の用途に適したコネクタを選択してください。

 

前提条件

  • OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
  • OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
  • Docusignのライセンスが法人向けプランである Business Pro + SSOオプション契約 または Enterprise Pro のいずれかであること
  • Docusignにおいて 組織 を作成済みであること
  • Docusign Admin の権限（DS Adminとは異なります）を持つアカウントを所有していること

 

SAML連携の設定手順

1. OneLogin側の操作（前半）

  1. OneLoginに管理者でログインし、管理 をクリックします


     
  2. Applications メニューから［Applications］を選択します


     
  3. ［Add App］をクリックします


     
  4. DocuSign Admin API を検索し、用途に適したコネクタを選択します
    *本記事では、DocuSign Admin API (Prod) を例にコネクタの設定を進めます。


     
  5. ［Save］をクリックします


     
  6. Parameters > Required Parameters > NameID を選択します
    Docusign_Macro1.png

     
  7. Email を選択します
    Docusign_Macro2.png

     
  8. ［Save］をクリックします
    Docusign_Macro3.png

     
  9. SSO タブに移動し、 Issuer URL と SAML2.0 Endpoint (HTTP) をクリップボードへコピーします
    CleanShot 0006-06-17 at 12.11.31@2x.png

     
  10. View Details をクリックします
    CleanShot 0006-06-17 at 12.13.53@2x.png

     
  11. ［Download］をクリックします

 

2. Docusign側の操作

ドメインの設定

  1. Docusignに管理者としてログインし、ホーム左上のアイコンを選択します
    CleanShot 0006-06-05 at 16.04.18@2x.png

     
  2. Admin  を選択します
    CleanShot 0006-06-05 at 15.10.49@2x.png

     
  3. アクセス管理タブ > ドメイン を選択します 
    CleanShot 0006-06-05 at 15.02.12@2x.png

     
  4. ［ドメインの追加］をクリックします
    Docusign1.4.png

     
  5. ドメイン名を入力し［申請］をクリックします
    CleanShot 0006-06-05 at 15.12.43@2x.png

     
  6. テキスト値をコピーして、ドメインのDNSレコードにTXTレコードを追加します
    *DNSレコードの設定方法はドメイン登録会社により異なりますので、各社のヘルプをご参照ください。DNSのレコード反映は、最大72時間かかる場合があります。
    Docusign_dns1.png

     
  7. ［ドメインの検証］をクリックします
    Docusign_dns2.png

     
  8. 保留中と表示されたら、アクション > DNS検証 を選択します
    Docusign_domein1.png

     
  9. ステータスが アクティブ になるとドメインの設定は完了です
    Docusign_domein2.png

 

IDプロバイダーの設定

  1. アクセス管理タブ > IDプロバイダー を選択します 
    CleanShot 0006-06-05 at 15.21.21@2x.png

     
  2. ［IDプロバイダーを追加］をクリックします
    Docusign2.2.png

     
  3. カスタム名を入力し、［次へ］をクリックします
    Docusign2.3.png

     

  4. IDプロバイダーを下記のように設定し［次へ］をクリックします
    CleanShot 0006-06-05 at 15.31.38@2x.png

    Docusignの項目 OneLoginの値
    IDプロバイダーの発行者 Issuer URL
    IDプロバイダーのログインURL SAML 2.0 Endpoint (HTTP)

     

  5. シングルサインオン（SSO）設定の編集にて、サードパーティログインを有効にする 設定にチェックを入れます
    *サードパーティログインを有効にする を有効にすると、組織に登録されていないドメインを使用する DocusignユーザーにもSSOが適用されます。組織に登録したドメインのユーザーのみにSSOを適用したい場合は、当該設定にチェックを入れないようお願いいたします。
    CleanShot 0006-06-05 at 15.37.31@2x.png

     
  6. 認証要求の送信: 設定と ログアウト要求の送信: 設定を GET に設定し、［IDプロパイダーの追加］をクリックしますCleanShot 0006-06-05 at 15.38.18@2x.png

     
  7. アクション > 証明書の追加 を選択します
    CleanShot 0006-06-05 at 15.42.53@2x.png

     
  8. ［証明書の追加］をクリックし、証明書がアップロードできたら［保存］をクリックします
    CleanShot 0006-06-05 at 15.46.29@2x.png

     
  9. 証明書ステータスが 有効 になっていることを確認します
    CleanShot 0006-06-05 at 15.51.00@2x.png

 

OneLoginの設定に必要なIDのコピー

  1. IDプロパイダー > アクション >［エンドポイント］を選択します
    CleanShot 0006-06-05 at 16.51.13@2x.png

     
  2. サービスプロパイダーのログインURL の赤枠で囲まれた部分（IDPID）をクリップボードにコピーします。先頭のスラッシュも必要になりますのでご注意ください
    （例: 下図における/42b1acca-882f-40f8-8776-c88fa9e1b839）
    Docusign_idpid.png

     
  3. メニューから 組織アカウント を選択し、設定対象のアカウントを選択します


     
  4. アカウントメニューから［アカウントプロフィール］を選択し、組織IDをクリップボードにコピーします


     
  5. インテグレーションメニューから［アプリとキー］を選択します


     
  6. APIアカウントID をクリップボードにコピーします

 

3. OneLoginでの操作（後半）

  1. Configuration タブに移動し、Docusignからコピーした値を貼り付けます
    CleanShot 0006-08-14 at 17.11.30@2x.png

    OneLoginの項目 Docusignの値
    Organization ID 組織ID
    Account ID APIアカウントID
    IDPID

    OneLoginの設定に必要なIDのコピーの手順2でコピーした値

    例：/42b1acca-882f-40f8-8776-c88fa9e1b839
    ※先頭に /（スラッシュ）が必要です


     

  2. 次に、［Save］をクリックします
    CleanShot 0006-08-14 at 17.12.03@2x.png

     
  3. API Connection > ［Authenticate］をクリックします
    CleanShot 0006-06-05 at 17.13.43@2x.png

     
  4. DocuSign Admin API (Prod)をクリックし、APIに接続します
    CleanShot 0006-06-05 at 17.37.09@2x.png

     
  5. API 接続が完了したら、AuthenticateからClear Tokenへと変化していることを確認します
    CleanShot 0006-06-12 at 15.58.32@2x.png

     
  6. SSO タブに移動し、SAML Signature Algorithm を SHA-256 へ変更します
    organization3_4.png

     
  7. Access タブに移動し、割り当てたいユーザーが属するロールを選択します
    Docusign_organization4.png

     
  8. ［Save］をクリックします
    Docusign_Ora1.png

 

以上で、SAML連携の設定は完了です。

 

シングルサインオンの動作確認

  1. SAML設定を行っていたOneLoginの管理者アカウントからログアウトします


     
  2. DocuSign Admin API(Prod)コネクタを割り当てたユーザーにログインします
    docu_log_confirm1.png


     
  3. コネクタをクリックし、正常にSSOできるかを検証します
    *DocusignではProvisioning連携をしていない場合でもJIT Provisioning機能が働き、Docusign側でアカウントがないユーザーでもログイン出来てしまいますので、ロールの割り当てにはご注意ください。
    docu_log_confirm1.png

     
  4. ログインに成功すれば、SAML連携の設定は完了です
    CleanShot 0006-08-14 at 18.13.31@2x.png

 

SAML シングルサインオンの無効化

  1. Docusignに管理者としてログインし、ホーム左上から［Admin］をクリックします
    CleanShot 0006-08-14 at 16.53.54@2x.png

     
  2. アクセス管理 >［IDプロパイダー］をクリックします
    CleanShot 0006-06-17 at 11.33.43@2x.png

     
  3. アクションのプルダウンから［削除］をクリックします
    CleanShot 0006-06-17 at 12.27.33@2x.png

     
  4. 確認画面が表示されるので、ポップアップ中の［IDプロパイダーの削除］をクリックします
    CleanShot 0006-06-17 at 12.29.20@2x.png

 

SAML認証の強制化

シングルサインオンが有効な組織内では、アカウントのすべてのユーザーにドメインのポリシー設定が適用されます。本項目では全員に適用されるDefaultのログインポリシーとユーザーごとのログインポリシーの2種類の設定手順をご紹介します（SAMLの強制化が組織単位、個人単位で可能です。）ログインポリシーを設定することでSAML認証の強制化をすることができます。
*ログインポリシーはドメインユーザーにのみ割り当て可能ですので、ご注意ください。

 

1. 全ドメインユーザーに適用されるログインポリシーの設定方法

  1. Docusign に管理者でログインし、左上のメニュー を開きます


     
  2. ［Admin］を選択します


     
  3. アクセス管理 > ドメイン を選択します 
    CleanShot 0006-07-29 at 10.58.32@2x.png

     
  4. ログインポリシーを設定するドメインを選択します
    docu3.4.png

     
  5. アクション > 設定の管理を選択します
    docu3.5.png

     
  6. すべてのユーザーにSSOでのログインを必須として設定するを選択します
    CleanShot 0006-07-29 at 11.09.42@2x.png

     
  7. ［保存］をクリックします
    CleanShot 0006-07-29 at 11.10.16@2x.png

 

以上で、全ドメインユーザーに適用されるログインポリシーの設定は完了です。

 

2. ユーザーごとに適用されるログインポリシーの設定方法

  1. Docusign に管理者でログインし、左上のメニュー を開きます


     
  2. ［Admin］を選択します


     
  3. ユーザー > ドメインユーザー を選択します
    CleanShot 0006-08-14 at 17.18.02@2x.png

     
  4. ポリシーを設定するユーザーの ユーザーの表示 を選択します
    CleanShot 0006-08-14 at 17.19.41@2x.png

     
  5. セキュリティ を選択します
    CleanShot 0006-08-14 at 17.21.28@2x.png

     
  6. ユーザーに適用するログインポリシーを選択します
    CleanShot 0006-08-14 at 17.22.22@2x.png

     
  7. ［保存］をクリックします
    CleanShot 0006-08-14 at 17.26.59@2x.png

 

以上で、ユーザーごとに適用されるログインポリシーの設定は完了です。

 

OneLoginのライセンスが Starter, SSO, Enterprise または Advanced プランのお客様向けのご案内

OneLoginのライセンスが Unlimited または Professional Pack（新料金体系）であるお客様はユーザープロビジョニング機能がご利用いただけますので、DocuSign Admin API (Demo/Prod) - ユーザープロビジョニング をご参照ください。

 

1. ジャストインタイムプロビジョニングについて

Docusignでは、ジャストインタイムプロビジョニング（JITP）がデフォルトで有効になっております。ジャストインタイムプロビジョニングとは、OneLoginとDocusignがSAML連携済みの状態において、OneLoginにのみ存在するユーザーがDocusignに初回ログインした瞬間に、自動的にDocusignsアカウントが作成される機能です。Docusign側でアカウントが存在しないユーザーでもログイン出来てしまいますので、ロールの割り当てにはご注意ください。ジャストインタイムプロビジョニングによるユーザー作成をご希望でない場合は、ジャストインタイムプロビジョニングの無効化 をご参照ください。

*Docusignに登録済みのドメインと同一のドメインを保有するOneLoginユーザーのみが、ジャストインタイムプロビジョニングの対象となります。

 

2. ジャストインタイムプロビジョニングによるユーザー作成

  1. Docusign に管理者でログインし、左上のメニュー を開きます


     
  2. ［Admin］を選択します


     
  3. アクセス管理メニューから［IDプロバイダー］を選択し、［ユーザーのプロビジョニング］タブを選択します


     
  4. ジャストインタイムプロビジョニング の［編集］をクリックします


     
  5. デフォルトの権限プロファイル を設定し、［保存］をクリックします
    CleanShot 0006-07-29 at 12.28.20@2x.png

     
  6. OneLoginにのみ存在するユーザーでログインし、Docusignを開きます
    docu_login.png

     
  7. OneLoginにのみ存在するユーザーで、即座にDocusignにログインできたことを確認します
    Docusign_user_v.png

     
  8. Docusignの管理者でログインし、ユーザーが追加されていることを確認します
    CleanShot 0006-08-14 at 17.35.15@2x.png

 

以上で、JIT プロビジョニングによるユーザーの作成は完了です。

 

3. ジャストインタイムプロビジョニングの無効化

  1. Docusign に管理者でログインし、左上のメニュー を開きます


     
  2. ［Admin］を選択します


     
  3. アクセス管理メニューから［IDプロバイダー］を選択し、［ユーザーのプロビジョニング］タブを選択します


     
  4. ジャストインタイムプロビジョニング のトグルをクリックし、無効にします


     
  5. ジャストインタイムプロビジョニングが無効になると、以下のメッセージが表示されることを確認します

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません