Kuroco - SAML認証 – ペンティオヘルプセンター

本記事では、OneLogin から Kuroco へのSAML シングルサインオン（SSO）の設定手順をご案内します。

前提条件

OneLoginのライセンスが Starter, Enterprise, Unlimited または SSO, Advanced, Professional（新料金体系）のいずれかであること
OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
OneLoginにおいて署名アルゴリズムがSHA-256またはSHA-512のSAML証明書を作成済みであること
Kurocoにおいて SAML SP 更新権限 を所有していること

注意事項

OneLoginからKurocoへのSAML認証を利用するためには、NameIDというSAML認証の識別子をOneLoginとKurocoのユーザーで一致させる必要がございます。SAML識別子としてKuroco上のメールアドレス、ログインIDのどちらを使用するかによって手順が異なる部分がございますので、事前にご確認ください。OneLogin上の Email と Kuroco上の メールアドレス が等しい場合は、【SAML識別子としてメールアドレスを使用する場合】、メールアドレスを設定していない場合などは【SAML識別子としてログインIDを使用する場合】の手順をそれぞれご確認ください。
KurocoでSAML認証を利用するためには、SAML証明書の署名に使用されるアルゴリズムがSHA-256, SHA-512のいずれかである必要がございます。署名アルゴリズムがSHA-256, SHA-512のSAML証明書がない場合は、下記の手順にてKuroco用のSAML証明書をご準備ください。既存のSAML証明書の署名アルゴリズムが分からない場合は、新しくKuroco用のSAML証明書を作成することを推奨いたします。

1. OneLogin側の操作

OneLoginに管理者でログインし、［管理］をクリックします
Applications メニューから［Applications］を選択します
［Add App］をクリックします
Kuroco と検索し、該当コネクタを選択します
［Save］をクリックします
SSO タブに移動し、Issuer URL と SAML 2.0 Endpoint (HTTP) をクリップボードへコピーします
View Details をクリックします
［Download］をクリックします

2. Kuroco側の設定

Kurocoの管理画面にログインします
外部システム連携 > SAML SP に移動します
IDP用XML設定ファイル の こちら をクリックします

1. OneLogin側の操作で取得した内容を以下の通りに設定します

項目	入力値
ログインSAML SP Name	任意の値を入力　例）Kuroco - SAML SP
ターゲットドメイン	［管理画面］を選択
エンティティID	任意の値を入力　例）pentio*
証明書	`onelogin.pem`
IDP URL	SAML 2.0 Endpoint (HTTP)
IDPエンティティID	Issuer URL
有効期限	任意の日付を選択
IDP起点フローを許可	トグルボタンを有効にする

*エンティティIDの値にハイフン（−）等の記号を含めるとエラーが発生する可能性がございます。
【SAML識別子としてメールアドレスを使用する場合】
Kuroco_14

【SAML識別子としてログインIDを使用する場合】
上記表の設定に加え、ログインIDを使用 を 有効にする に切り替えます
Kuroco_15

［+ 追加する］をクリックします
追加した ログインSAML SP Name を選択します
ログインSAML SP ACS URI をクリップボードへコピーします

3. OneLogin側の設定

Configuration タブに移動します
2. Kuroco側の設定で取得した内容を以下の通りに設定します

項目入力値

エンティティID エンティティID

ログインSAML SP ACS URL ログインSAML SP ACS URL
Parametersの追加設定を行います
- SAML識別子としてメールアドレスを使用する場合: SAML識別子でメールアドレスを使う場合は追加の設定は必要ございませんので、手順15 までお進みください
- SAML識別子としてログインIDを使用する場合: 以降の手順をすべてご実施ください
Parameters タブに移動し、NameID value フィールドを選択します
Value からKuroco上のログインIDと等しいユーザー属性を選択します
ログインIDと等しい属性がない場合 は、カスタムユーザーフィールドを利用して作成することができます。Users > Custom User Field を選択します
［New User Field］をクリックします
Name と Shortname* に任意の値を入力し、［Save］をクリックします
*Shortnameは英数字記号のみが使用可能で、全角文字や空白は使用できません。
Users メニューから［Users］を選択します
Kurocoコネクタを割り当てる任意のユーザーを選択します
Custom Fields の欄内にて、手順8 で作成したカスタムユーザーフィールドにKuroco上のログインIDの値を入力し、［Save User］をクリックします
Kuroco用コネクタの管理画面に戻り、Parameters タブを選択します
NameID value フィールドを選択します
Value のドロップダウンより、手順8 にて作成したカスタムユーザーフィールドを選択し、［Save］をクリックします
SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
Access タブを選択します
アプリケーションを割り当てるRoleを選択し、［Save］をクリックします

SAML連携の設定は以上です。

4. SAML SSOの動作確認

動作確認を行う際は、ブラウザのシークレットモードやプライベートブラウジングなどを利用し、上記設定を行ったKuroco管理者としてのログイン済みセッションが残っていないブラウザ環境でご確認ください。

コネクタを割り当てたユーザーにログインし、Kurocoのコネクタをクリックします
Kurocoの管理画面にシングルサインオンできることを確認します

5. JITプロビジョニングの設定

本セクションでは、JITプロビジョニングによりOneLoginからKurocoへのSSO時に、Kuroco上に新規ユーザーを自動作成するための設定手順をご紹介します。

Kuroco管理画面にログインし、外部システム連携 > SAML SP より、 2. Kuroco側の設定内で作成した ログインSAML SP Name をクリックします
自動ユーザ登録 を 有効にする に切り替え、登録時にセットされるグループ: のドロップダウンから、新規作成されたユーザーに割り当てられるグループを選択します
例）Administratorを設定
［更新する］をクリックします