本記事では、OneLoginからZoho CRMへのSAML シングルサインオン（SSO）およびJITプロビジョニングの設定手順をご案内します。
目次
前提条件
- OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Zoho CRMの特権管理者権限をお持ちであること
Zoho Mailの準備
- Zoho CRMと同じアカウントで Zoho Mail コントロールパネル にログインします
- 初めてログインする場合、組織を作成する必要があります。任意の名称 を入力し［作成する］をクリックします
- 管理画面に移動します。左側のタブから 組織 を選択してください
-
プロフィール ページの Organization ID を後ほど設定で使用するためコピーしてください
SAML連携の設定
1. OneLoginの設定
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
Zoho CRM と検索し、SAML2.0 のコネクタを選択します
-
［Save］をクリックします
-
Configuration タブに移動し、Organization Id に Zoho Mailの準備 手順4でコピーした Organizaion ID を貼り付けます
-
SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
-
SSO タブに移動し、SAML 2.0 Endpoint (HTTP) をクリップボードへコピーします
-
View Details をクリックします
-
［Download］をクリックします
2. Zoho CRMの設定
- Zoho Mail コントロールパネルの管理画面にログインします
- 左側のタブから セキュリティとコンプライアンス > セキュリティ > SAML認証 をクリックします
-
次の表のように項目を入力してください
設定が必要な項目の一覧Zoho Mailの項目 設定する値 ポータルURL
任意の値 例）https://mail.zoho.jp/portal/pentio-dev ログインURL* <SAML 2.0 Endpoint(HTTP)> ログアウトURL* 例）https://<サブドメイン>.onelogin.com/portal *1 *2 パスワード変更URL* https://<サブドメイン>.onelogin.com/password 公開鍵* OneLoginの設定の手順11でダウンロードしたX.509 Certificateファイル アルゴリズム RSA *1 ＜サブドメイン＞ は、お客様のOneLoginポータル画面のURLを参照してください
例）jp.onelogin.com の場合、jp
*2 ペンティオでは、Zoho CRMからのログアウト時にOneLoginのポータルへ遷移する設定を推奨しております。必要な追加設定は、3. ログアウト時の挙動設定 にて後述します
- [保存する］をクリックします
- 以下のポップアップが表示されます。［更新する］をクリックしてください
-
更新しました というバナーを確認します
SAML連携の設定は以上です。
3. ログアウト時の挙動設定
Zoho CRMのログアウトと同時に、OneLoginのポータル画面にリダイレクトするよう設定を追加します。
- Zoho Mail コントロールパネル管理画面右上のアイコンをクリックします
- ［自分のアカウント］をクリックしてZoho Accountsの管理画面にアクセスします
- 左側のタブから 組織 を選択します
- SAML認証 >［編集する］をクリックします
- サインアウトURLがhttps://<サブドメイン>.onelogin.com/portalに設定されていることを確認し、HTTPメソッドが［POST］となっている場合は、プルダウンをクリックして［GET］に設定します
- 最後に［送信する］をクリックします
SAML連携の設定は以上です。
SAML SSOの動作確認
動作確認を行う際は、ブラウザのシークレットモードやプライベートブラウジングなどを利用し、Zoho CRM へのログイン済みセッションがないブラウザ環境でご確認ください。
- OneLoginに対象ユーザーでログインし、設定した Zoho CRM を選択します
- Zoho CRMの管理画面にシングルサインオンできることを確認します
SAML SSOの動作確認は以上です。
JITプロビジョニングの設定
JITプロビジョニングを設定すると、OneLoginからのSAML認証時にZoho CRMアカウントがないユーザーは自動的にZoho CRMアカウントが作成され、SAML認証にてログインできるようになります。
前提条件
JIT Provisioningを設定するには、認証済みのドメインが必要です。次の手順でご確認ください
- Zoho Mailコントロールパネル管理画面のドメインタブから現在ご利用のドメインを選択します
- ドメインの所有権が 認証済み となっていることを確認します
認証済みのドメインがない場合は、次のセクションを参考にメールアドレスドメインの認証をお願いいたします。
ドメイン認証手順
- ［追加する］をクリックします
- ドメイン名を入力し、［追加する］をクリックします
例）www.pentio.com
- TXTレコード、CNAMEレコード、HTMLファイル の3つの方式でドメインの所有権を認証することができます。貴社内のドメインの管理者にご依頼ください
- 設定が完了したら、［TXTレコードの認証］をクリックしてください
- 続いて、MXレコードの追加とSPF、DKIMの設定を行います。再度、ドメインの管理者にDNSの設定をご依頼ください。設定を終えましたら［Verify all records］をクリックします
＊設定してから認証まで最大１日程かかることがございます。こちらの認証がお済みでなくても、JIT provisioningの設定が可能です。次の手順にお進みください
上記の設定完了後、前提条件の手順1, 2 と同様にして、ドメインの所有権が 認証済み となっていることをご確認ください。
JITプロビジョニングの設定
- Zoho Accountsの管理画面に移動し、組織 > SAML認証 から［編集する］をクリックします
- 編集画面の下までスクロールし、アカウントの自動生成（ジャストインタイムプロビジョニング）のトグルスイッチをクリックします
- 属性情報の入力欄右側の［＋］ボタンをクリックします
-
下記のように属性情報を入力して、［送信する］をクリックします
Zohoの属性 認証用に使用するサービスの属性 名 First name 姓 Last name - 送信する際に本人認証が必要になります。［こちらをクリック］をクリックします
- パスワードを入力するか、SAMLを利用して認証します
- 再度［送信する］をクリックします
SAML SSOの無効化
- Zoho Mailコントロールパネルの管理画面で セキュリティとコンプライアンス > セキュリティ > SAML認証 の画面に移動します
- ［削除する］をクリックします
- 確認画面が表示されるため、［削除する］をクリックします
- 「削除しました」と表示されたら完了です
SAML SSOの無効化は以上です。