本記事では、OneLoginからDuo CentralへのSAML シングルサインオン（SSO）の設定手順をご案内します。
目次
前提条件
- OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- DuoのRoleがOwnerの管理者アカウントをお持ちであること
- DuoのユーザーアカウントのUsernameが、OneLoginのアカウントに登録しているEmailアドレスであること
注意事項
-
Duo CentralへSSOを行う場合、OneLoginのアプリポリシーとは関係なく、パスワード以外の認証要素を使用した二要素認証が求められます。そのため、エンドユーザーがDuo Centralへ初回ログインする際は新たな認証要素の登録をお願いいたします。
SAML連携の設定手順
1. Duo側の設定（前半）
- 管理者アカウントでDuoの管理画面にログインし、［Single Sign-On］をクリックします
- Duoの規約を確認したのち、チェックボックスをクリックしてチェックマークを入れ、［Active and Start Setup］をクリックします
- ［Duo Central］をクリックします
- ［Get Started］をクリックします
- ［Activate Now］をクリックします
- トグルボタンをクリックして Duo Central の Status を Online にします
- 赤枠で囲ったURLをクリップボードへコピーします
- ［Single Sign-On］をクリックします
- ［Add SAML Identity Provider］をクリックします
-
Successfully added SAML identity provider と表示されることを確認します
-
Entity ID と Assertion Consumer Service URL をクリップボードへコピーします
2. OneLogin側の設定
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
SAML Custom Connector (Advanced) を検索し、選択します
- 任意の Display Name を入力し、［Save］をクリックします
例）Duo Central
-
Configuration タブに移動し、1. Duo側の設定（前半）手順11 でコピーした各値を貼り付けます
例）
Entity ID:https://sso-xxxxxxxx.sso.duosecurity.com/saml2/idp/XXXXXXXXXXXXXXXXXXXX/metadata, Assertion Consumer Service URL:https://sso-xxxxxxxx.sso.duosecurity.com/saml2/idp/XXXXXXXXXXXXXXXXXXXX/acsの場合
-
Login URL に 1. Duo側の設定（前半）手順7 でコピーした値を貼り付け、SAML initiator を Service Provider に変更します
-
SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
-
SSO タブに移動し、Issuer URL、SAML 2.0 Endpoint (HTTP)、SLO Endpoint (HTTP) をクリップボードへコピーします
-
View Details をクリックします
- ［Download］をクリックします
3. Duo側の設定（後半）
- Duo に管理者としてログインし、Single Sign-On をクリックします
- ［SAML Identity Provider］をクリックします
-
下記表を参考に設定を行い、［Save］をクリックします
項目 内容 Display Name OneLogin Entity ID 2. OneLogin側の設定 手順10 でコピーしたIssuer URL
Single Sign-On URL 2. OneLogin側の設定 手順10 でコピーしたSAML 2.0 Endpoint (HTTP) Single Logout URL 2. OneLogin側の設定 手順10 でコピーしたSLO Endpoint (HTTP) Logout Redirect URL OneLoginのポータル画面URL
例）https://{subdomain}.onelogin.com/portalCertificate 2. OneLogin側の設定 手順12 でダウンロードしたPEMファイル Username normalization None
-
Successfully saved. と表示されることを確認します
SAML連携の設定は以上です。
SAML SSOの動作確認
- ブラウザで手順1.7でコピーしたURLにアクセスします。OneLoginのログイン画面が表示されるので、Duo CentralにSSOしたいアカウントでログインします。
- 事前に設定した認証要素で2段階認証を行います
- ［はい、これは私のデバイスです］をクリックします
- Duo Centralにログインできることを確認します
SAML SSOの無効化
- Duoに管理者アカウントでログインし、［Single Sign-On］をクリックします
- ［OneLogin］をクリックします
- ［Disable Source］をクリックします
- ［Yes, disable this source］をクリックします
- Status が Disable になっていることを確認します
SAML SSOの無効化は以上です。