本記事では、OneLogin から Sansan へのSAML シングルサインオン（SSO）の設定手順をご案内します。
目次
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- Sansanの管理者権限をお持ちであること
SAML連携の設定
1. Sansan側の操作
- Sansanに管理者でログインします
- 右上のアイコン > 管理者設定 > セキュリティ設定 を選択します
- ［SAML認証］をクリックします
- SAML認証の設定 > IdP設定 > ［新規IdP設定追加］をクリックします
- SAML認証の設定：IdP設定 > 設定名 を入力します
例）OneLogin
-
1. IdP側 > 利用IdP より、 OneLogin を選択します
-
1. IdP側 > IdPに設定する情報 より、［設定を保存して表示］をクリックします
- 以下のようなポップアップが表示されるので、応答URL（Assertion Consumer Service URL） の下記部分の文字列をコピーします
例）応答URLがhttps://ap.sansan.com/v/saml2/lean_0PStfAGKH0/acsの場合、lean_0PStfAGKH0をコピーします。
2. OneLogin側の設定
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
Sansan と検索し、SAML2.0 のコネクタを選択します
- [Save] をクリックします
-
Configuration タブに移動し、Account ID に Sansan側の設定 手順8 でコピーした値を貼り付けます
-
SSO タブに移動し、SAML Signature Algorithm を SHA-256 に変更します
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
-
SSO タブに移動し、Issuer URL とSAML2.0 Endpoint (HTTP) をクリップボードへコピーします
-
View Details をクリックします
- ［Download］をクリックし、保存された
onelogin.pemの拡張子をonelogin.cerに変更します
3. Sansan側の設定
-
2. OneLogin側の設定 で取得した内容を以下の通りに設定します
項目 入力値 IdPの識別名 Issuer URL ログインURL SAML2.0 Endpoint (HTTP) ログアウトURL ユーザーポータルのURL https://<subdomain>.onelogin.com/portalファイルを選択 onelogin.cer
- 値が入力できたら、 3. 設定の検証 より [実行] をクリックします
- 動作テストが完了すると以下のような黄色いポップアップが現れることを確認します
- 左下の [保存] をクリックして設定を保存します
- 以下のようなポップアップが表示されるので、 [OK] をクリックします
- 全社共通の設定 > SAML認証を利用する にチェックを入れ、手順9で設定したIdPを選択します
例）OneLogin
- ［保存］をクリックします
-
契約数が1つのお客様はこちらの手順はお飛ばしください
Sansanでは契約ごとにID・パスワード認証なのか、SAML認証なのかを選択することができますSAML認証に関してはどのIdPをご利用いただくかまで選択することができます
設定方法は、契約別の設定 > あなたが管理しているアカウント範囲に限定した設定ができます。 の 有効化する にチェックを入れていただき、全社共通の設定と同様の手順で設定します
※全社共通の設定と契約別の設定を同時に行った場合は 契約別の設定 が優先されます
- Sansanでは、ユーザーごとにSAML認証を要求するか、ID・パスワードでの認証を要求するか設定できます。設定する場合は、ユーザー別の設定 > ［追加］をクリックします
- 認証の設定を行うユーザーが所属する部署、ユーザー、認証方式を選択し、［保存］をクリックすることで設定が可能です
SAML連携の設定は以上です。
SAML SSOの動作確認
1. OneLoginのユーザーポータルからのSAML SSO
- 実際にシングルサインオン (SSO) ができるかどうかを確認する為に、OneLogin のポータル画面に移動して、 Sansan をクリックします
- Sansan のページが開き、ログインができることが確認できます
2. Sansan スマートフォンアプリからのSAML SSO
- スマートフォンのホーム画面のアプリケーションの中から Sansan のアプリをタップします
- ［SSOでログイン］をクリックします
-
メールアドレスを入力し、［続行］をクリックします
- OneLogin にリダイレクトされますので、ユーザー名、パスワードを入力し、［続行する］をクリックします
- MFAを登録している場合はMFA認証を行います
- 以下の画面が表示されると、認証が完了になります
3. PKI証明書によるデバイストラストをご利用の場合
上記の設定では、スマートフォンアプリからのシングルサインオン時にSansanの内部ブラウザを使用します。そのため、スマートフォンにインストールしているクライアント証明書を利用することができません。下記手順で設定を追加していただくことで、証明書による認証を行うことができます。
- Sansanに管理者としてログインし、管理者設定 から下にスクロールし セキュリティ設定 をクリックします
- ［SAML認証］をクリックします
- 利用しているIdP設定の［編集］をクリックします
- Sansan側 > MDM の 利用する にチェックを入れます
※ iOS端末のデフォルトブラウザ > Safari以外を利用する は無効にするようお願いいたします。Google Chromeのスマートフォンアプリケーションでは、クライアント証明書の利用ができずシングルサインオンに失敗いたします。
- ［保存］をクリックします
- 動作確認のため、スマートフォンからSansanアプリを開きます
- ［SSOでログイン］をクリックします
-
メールアドレスを入力し、［続行］をクリックします
- 外部ブラウザに遷移し、OneLoginのログイン画面が表示されるためユーザー名を入力して［続行する］をクリックします
- パスワードを入力して、［続行する］をクリックします
- クライアント証明書の提示が求められるため、正しい証明書が選択されていることを確認し、［続ける］をクリックします
- Sansanのスマートフォンアプリケーションにもどり、ログインに成功することを確認します
SAML SSOの動作確認は以上です。
SAML SSOの無効化
- OneLogin に管理者でログインし、 Sansan をクリックします
- 右上のアイコンより、 管理者設定 から下にスクロールし セキュリティ設定 をクリックします
-
SAML認証 をクリックします
- Sansanでは認証方法をSAML認証からID・パスワード認証への変更がSAML連携を解除方法です
したがって、SAML認証の設定 > 全社共通の設定 > ID・パスワード認証を利用する にチェックを入れ、［保存］します
- 以下のようなポップアップが表示されるので、 [OK] をクリックします
- 動作テストが完了すると以下のような黄色いポップアップが現れます
この際、下図のように ID・パスワード認証を利用する にチェックが入っていれば完了です
- OneLoginのポータル画面に戻り、Sansanをクリックします
- 以下のようなエラーが発生し、ログインできないことを確認します
- メールアドレスとパスワードを用いて、ID・パスワード認証を試みます
- 無事にログインができれば、SAML連携の解除は完了です
SAML SSOの無効化は以上です。
トラブルシュート
-
SAML認証ができず、ロックアウトした場合: https://ap.sansan.com/v/SSLogin.aspx?saml=off からID・パスワードでのログインが可能です