メインコンテンツへスキップ

Salesforce SSO時のMFA必須化に対するOneLoginの修正対応（7月10日更新）

Iru Passport - OpenID Connect × SAML認証

小川 朔人
  • 作成日
  • 更新日

本記事でご紹介するIruのPassport機能を利用することで、Macへのログイン時に、MFA（多要素認証）を含むOneLogin認証を使用できるようになります。

本記事では、Iru のPassport機能を有効にし、Macへのログイン時にMFA（多要素認証）を含む OneLogin の認証を要求する設定手順をご案内します。

 

目次

 

前提条件

  • OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかであること
  • OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
  • Iruの Account Owner または Admin 権限をお持ちであること
  • Iru - ユーザープロビジョニング の設定が完了していること

 

1. OneLogin側の操作

この章ではOneLoginにて、Passport機能に用いる3つのコネクタの設定を行います。1-3. Webログイン時にMFAを利用するためのコネクタの設定（任意）はMacへのログイン時にMFAを用いる場合にのみ設定が必要となります。

1-1. デバイスとユーザーを紐づけるためのコネクタの設定

本章では、デバイス登録時にデバイスとユーザーを紐づけるためのコネクタの設定を行います。

  1. OneLoginに管理者でログインし、［管理］をクリックします
    OneLoginに管理者でログインし、管理をクリックします

     
  2. Applications メニューから［Applications］を選択します
    ApplicationsメニューからApplicationsを選択します

     
  3. ［Add App］をクリックします
    Add Appボタンをクリックします

     
  4. Iru エンロールメント (SAML) と検索し、該当コネクタを選択します


     
  5. Visible in portal を無効にします
    *本コネクタはOneLoginポータル画面をSSOの起点としないため、ポータル画面でのコネクタ非表示を推奨いたします。


     
  6. ［Save］をクリックします


     
  7. SSO タブに移動し、Issuer URL をクリップボードへコピーします


     
  8. SAML 2.0 Endpoint (HTTP) をクリップボードへコピーします


     
  9. View Details をクリックします


     
  10. ［Download］をクリックします

 

1-2. ログイン時にパスワード認証を行うコネクタの設定

本章ではMacへのログイン時にOneLoginから認証情報を取得するコネクタの設定を行います。

  1. Applications メニューから［Applications］を選択します


     
  2. ［Add App］をクリックします


     
  3. Iru Passport パスワード同期用 (OIDC) と検索し、該当コネクタを選択します


     
  4. Visible in portal のトグルボタンを 無効 にします
    *本コネクタはOneLoginポータル画面をSSOの起点としないため、ポータル画面でのコネクタ非表示を推奨いたします。


     
  5. ［Save］をクリックします


     
  6. SSO タブに移動し、Client ID をクリップボードへコピーします


     
  7. Issuer URL をクリップボードへコピーします


     
  8. Application Type を Native に変更します


     
  9. Token Endpoint 値を None (PKCE) に変更します


     
  10. Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします

 

1-3. Webログイン時にMFAを利用するためのコネクタの設定（任意）

本章ではWebログイン時にOneLoginにMFAの認証情報を送るコネクタの設定を行います。本節はMFAを利用しない場合は不要のため2. Iru側の設定（前半）に進んでください。

  1. Applications メニューから［Applications］を選択します


     
  2. ［Add App］をクリックします


     
  3. Iru Passport MFA用 (OIDC) と検索し、該当コネクタを選択します


     
  4. Visible in portal を 無効 にします
    *本コネクタはOneLoginポータル画面をSSOの起点としないため、ポータル画面でのコネクタ非表示を推奨いたします。


     
  5. ［Save］をクリックします


     
  6. SSO タブに移動し、Client ID をクリップボードへコピーします


     
  7. Show client secret をクリックします


     
  8. Client Secret をクリップボードへコピーします


     
  9. Authentication Method を POST に変更します


     
  10. Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします

 

2. Iru側の設定

2-1. SAML連携の設定

この章ではIruにて、デバイスにユーザーを割り当てるSAML認証を設定します。

  1. Iruのログイン画面でテナント名を入力し、管理者でログインします


     
  2. 左下のユーザーをクリックします


     
  3. ［アクセス］をクリックします


     
  4. ［+ Authentication method］をクリックします


     
  5. 任意の Display name を入力します


     
  6. ［SAML］を選択します


     
  7. ［Create］をクリックします


     
  8. Service provider entity ID をクリップボードへコピーします


     
  9. Assertion consumer service (ACS) URL をクリップボードへコピーします


     
  10. IdP Entity ID に 1-1. デバイスとユーザーを紐づけるコネクタの設定 手順10 で取得した Issuer URL を貼り付けます


     
  11. IdP Single Sign-on URL に 1-1. デバイスとユーザーを紐づけるコネクタの設定 手順11 で取得した SAML 2.0 Endpoint (HTTP) を貼り付けます


     
  12. IdP Signature Certificate に 1-1. デバイスとユーザーを紐づけるためのコネクタの設定 手順14 で取得した証明書をアップロードします


     
  13. Sign SAML Authentication Request を無効にします


     
  14. Response Signature Verification を Response に変更します


     
  15. ［Save］をクリックします

 

2-2. Libraryの設定

本章ではLibrary内のPassport機能を設定します。

  1. ［Library］をクリックします


     
  2. ［登録構成］を選択します


     
  3. Passport >［もっと見る］をクリックします


     
  4. ［追加と構成］をクリックします


     
  5. 上部の入力欄にLibraryにつける任意の名前を入力します
    例）Mac認証


     
  6. アイデンティティプロバイダ で［OneLogin］を選択します


     
  7. アイデンティティプロバイダ URL に1-2. ログイン時にパスワード認証を行うコネクタの設定 手順8でコピーした Issuer URL と".well-known/openid-configuration"を結合し入力します
    例）Issuer URL がhttps://jp.onelogin.com/oidc/2の場合はhttps://jp.onelogin.com/oidc/2/.well-known/openid-configurationと入力します


     
  8. クライアントID（パスワード同期）に1-2. ログイン時にパスワード認証を行うコネクタの設定 手順7でコピーした Client ID を貼り付けます



    Macへのログイン時に MFAを用いない場合 は本節の手順10を、MFAを用いる場合 は本節の手順11から手順14を参考に設定を行います
     
  9. Macへのログイン時にMFAを用いない場合は 認証モード をMacログインに変更します。本節の手順11から手順14はMFAを用いる際の設定のため、本節の手順15に移動します。


     
  10. Macへのログイン時にMFAを用いる場合は 認証モード を Webログイン に変更します


     
  11. Client ID (Web Authentication) に1-3. Webログイン時にMFAを利用するためのコネクタの設定 手順7でコピーした Client ID を貼り付けます


     
  12. リダイレクトURI に https://localhost.redirect と入力します


     
  13. クライアントシークレット に1-3. Webログイン時にMFAを利用するためのコネクタの設定 手順9でコピーした Client Secret を貼り付けます


     
  14. ユーザアカウントの種類 のプルダウンで 標準ユーザ を選択します


     
  15. 既存のローカルユーザーへのリンクを必須にする のチェックボックスにチェックを入れます


     
  16. ［保存］をクリックします

 

2-3. Blueprintへの割り当て

本章では、Libraryをデバイスに割り当てるBlueprintの設定を行います。

  1. ［Blueprints］をクリックします


     
  2. ［Blueprintを追加］を選択します


     
  3. ［最初から作成］を選択します


     
  4. Blueprint名 に任意の名前を入力します
    例）Mac割り当て用


     
  5. ［Blueprintを作成］をクリックします


     
  6. 条件付きロジックを追加 の上の［＋］をクリックします


     
  7. 4-1. Libraryの設定 手順6で設定したLibraryをこのBlueprint上のすべてのデバイスにドラッグ&ドロップします
    *本ドキュメントではBlueprint上の全てのデバイスに適用していますが、ユーザーの属性などを条件としたBlueprintの適用も可能です。詳しくはUsing Conditional Logic in Assignment Mapsをご覧ください


     
  8. 右側にあるブロックを削除するため ゴミ箱 のボタンをクリックします


     
  9. 確認を求められるため、［はい、削除します。］をクリックします


     
  10. ［保存］をクリックします


     
  11. 続けて［保存］をクリックします

 

3. OneLogin側の設定

この章ではOneLoginにて、デバイスとユーザーを割り当てるコネクタにIruの設定情報を入力します。 

  1. Configuration タブに移動し、Service provider entity ID に 2. Iru側の設定（前半）手順8 で取得した Service provider entity ID を貼り付けます


     
  2. Assertion consumer service (ACS) URL に 2. Iru側の設定（前半）手順9 で取得した Assertion consumer service (ACS) URL を貼り付けます


     
  3. SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します


     
  4. Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします

 

5. Iruへのデバイス登録

5-1. Iru側での登録準備

  1. ［登録］をクリックします


     
  2. ［手動登録］を選択します


     
  3. 4-2. Blueprintへの割り当て 手順4で作成した Blueprint をクリックします


     
  4. ［設定を編集］をクリックします


     
  5. 認証が必要 にチェックを入れます


     
  6. 接続 のプルダウンで2. Iru側の設定（前半）手順5で作成したSAML認証を選択します


     
  7. デバイスレコードにユーザを割り当て にチェックを入れます


     
  8. ［保存］をクリックします


     
  9. 6桁の数字をクリップボードへコピーします

     
     

5-2. 管理対象となるMacでの登録作業

  1. 管理対象となるMacのブラウザで5-1. Iru側での登録準備 手順3でコピーしたリンクを開きます
    例）https://example.iru.com/enroll

     
     
  2. 5. デバイスのIruへの登録 手順10でコピーした6桁の数字を入力します


     
  3. ［続行］をクリックします


     
  4. OneLoginのログインフォームが開くので、デバイスを利用するユーザーの ユーザー名 または メールアドレス を入力します


     
  5. ［続行する］をクリックします


     
  6. 続いて、パスワード を入力します


     
  7. ［続行する］をクリックします


     
  8. ［ダウンロード］をクリックします


     
  9. ダウンロードが完了したら、Macの設定で一般 > デバイス管理 を開きます
    *Macのバージョンの違いにより設定項目の名称や配置が異なる場合がありますのでご注意ください


     
  10. ［＋］をクリックします


     
  11. 開いたFinderでダウンロードしたファイルを選択します


     
  12. ［開く］をクリックします

     
     
  13. ［インストール］をクリックします


     
  14. Macのパスワードを入力します


     
  15. ［登録］をクリックします

     
     
  16. デバイス（管理対象）に新規のアイコンが追加されます。


     
  17. 画面右上部のIruのアイコンをクリックします


     
  18. Iru Self Service をクリックします


     
  19. ［同期］をクリックします。完了したら再起動を行い設定を反映します。

 

以上でデバイスのIruへの登録は完了です。

 

6. Passport機能の初回設定

この章ではPassport機能の初回設定を行います。Macログインを利用する場合とWebログインを利用する場合は手順が異なります。そのため、1-3. Webログイン時にMFAを利用するためのコネクタの設定（任意）の設定を行なっていない場合は6-1. Macログインの場合の初回設定に、設定を行なっている場合は6-2. Webログインの場合の初回設定に進みます。

6-1. Macログインの場合の初回設定

  1. Iruのロゴが表示されているか確認します。表示されていない場合は5-2. 管理対象となるMacでの登録作業 手順17を再度実行してください。


     
  2. ログイン画面で5-2. 管理対象となるMacでの登録作業 手順4で入力した ユーザー名 または メールアドレス と同じものを入力します


     
  3. 5-2. 管理対象となるMacでの登録作業 手順6で入力したパスワードと同じ パスワード を入力し、エンターキーを押します


     
  4. Macのローカルアカウントの ユーザー名 を入力します


     
  5. ローカルアカウントの パスワード を入力します


     
  6. ［続行］をクリックします


     
  7. ［アカウントをリンクする］をクリックします


     

6-2. Webログインの場合の初回設定

  1. OneLoginのログイン画面が表示されるため、5-2. 管理対象となるMacでの登録作業 手順4で入力した ユーザー名 または メールアドレス と同じものを入力します


     
  2. ［続行する］をクリックします


     
  3. 5-2. 管理対象となるMacでの登録作業 手順6で入力したパスワードと同じ パスワード を入力します


     
  4. ［続行する］をクリックします


     
  5. もう一度、5-2. 管理対象となるMacでの登録作業 手順6で入力したパスワードと同じ パスワード を入力します


     
  6. Macのローカルアカウントの ユーザー名 を入力します


     
  7. アカウントの パスワード を入力します


     
  8. ［続行］をクリックします


     
  9. ［アカウントをリンクする］をクリックします

 

以上でWebログインの初回設定は完了です。

 

7. 動作確認

この章ではPassport機能の動作確認を行います。Macログインを利用する場合とWebログインを利用する場合は手順が異なります。そのため、1-3. Webログイン時にMFAを利用するためのコネクタの設定（任意）の設定を行なっていない場合は7-1. Macログインでの動作確認に、設定を行なっている場合は7-2. Webログインでの動作確認に進みます。

7-1. Macログインでの動作確認

  1. ログイン画面で5-2. 管理対象となるMacでの登録作業 手順4で入力した ユーザー名 または メールアドレス と同じものを入力します


     
  2. 5-2. 管理対象となるMacでの登録作業 手順6で入力したパスワードと同じ パスワード を入力し、エンターキーを押します

     
     
  3. Macへのログインが成功すれば設定は完了です


     

7-2. Webログインでの動作確認

  1. Webログイン画面にて、5-2. 管理対象となるMacでの登録作業 手順4で入力した ユーザー名 または メールアドレス と同じものを入力します


     
  2. ［続行する］をクリックします


     
  3. 5-2. 管理対象となるMacでの登録作業 手順6で入力したパスワードと同じ パスワード を入力します


     
  4. ［続行する］をクリックします


     
  5. Macへのログインが成功すれば設定は完了です


     

8. MFAの適用

Webログイン時にMFAを用いるためには、OneLoginにてMacへログインを行うユーザーにユーザーポリシーを適用することで実現できます。
MFAの設定手順やユーザーポリシーの割り当てはペンティオヘルプセンター MFAセクションよりご覧ください。
また、弊社ではPassport機能によるWebログインにおいて以下のMFAの動作を確認しております。

  • OneLogin Protect
  • OneLogin Email
  • YubiKey

パスワード入力後に以下のようにMFAを求められれば設定は完了です。
例）OneLogin ProtectでのMFA


 

9. Passport機能の無効化

  1. Iru のログイン画面でテナント名を入力し、ログイン操作を行います


     
  2. ［Blueprints］をクリックします


     
  3. 4-2. Blueprintへの割り当て 手順4で作成した Blueprint をクリックします


     
  4. ［割り当てを編集］をクリックします


     
  5. 4-1. Libraryの設定 手順6で作成した Library をクリックします


     
  6. ゴミ箱 のボタンをクリックします


     
  7. ［保存］をクリックします


     
  8. ［保存］をクリックします


     
  9. デバイスのロック画面右下にIruのログが表示されないことを確認できれば、Passport機能の無効化は完了です

運営会社: ペンティオ株式会社サービス利用規程

CONFIDENTIAL

当ウェブサイトに掲載されている情報は一般公開されているコンテンツを除き、当社の承諾なくご契約者様以外への開示・転送・転載することはできません