OneLoginでは、kintone、サイボウズ Office、ガルーン、メールワイズなど、サイボウズの各クラウドサービスをシングルサインオン（SSO）先に指定することが可能です。
本記事では、OneLogin から cybozu.com へのSAML シングルサインオン（SSO）の設定手順をご案内します。
目次
はじめに
必ずご一読ください
cybozu.comのSAML連携をする方法は以下の2通りございます。SAML2.0シングルサインオンのみをご利用のお客様はどちらをご利用頂いても違いはございませんが、Unlimited または Professional Pack をご契約中のお客様で、今後OneLoginとCybozuをユーザープロビジョニング連携する可能性があるお客様は、ユーザープロビジョニング機能を内包した (1) Cybozu SCIM Provisionerコネクタ のご利用を推奨しております。
(1) cybozu.com - SAML認証（Cybozu SCIM Provisioner コネクタ利用）（本記事）
(2) cybozu.com - SAML認証（cybozu.com コネクタ利用）
前提条件
- OneLoginのライセンスプラン が SSO, Advanced, Professional または旧ライセンスプラン Starter, Enterprise, Unlimited のいずれかであること
- OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
- cybozu.comの cybozu.com共通管理者権限 を持つアカウントを所有していること
- OneLoginとcybozu.comのSAML連携のキーはメールアドレスを使用します。cybozu.com側のユーザーのログイン名はメールアドレスをご設定ください
※cybozu.com側でのユーザー情報の一括方法に関しては、サイボウズ社のドキュメント（ユーザーを一括で登録、編集する）をご参照ください
SAML連携の設定
1. OneLogin側の設定
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
Cybozu SCIIM Provisioner と検索し、該当コネクタを選択します
- ［Save］をクリックします
-
Configuration タブに移動し、cybozu.comの サブドメイン名 を入力します
例）URLがhttps://kesofdk8d752.cybozu.com/の場合、kesofdk8d752と入力
-
サービス から、SSO先のサービス名を選択します
-
SSO タブへ移動し、 を SHA-256 へ変更します
-
Access タブへ移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
-
SSO タブへ移動し、SAML2.0 Endpoint (HTTP) をクリップボードへコピーします
-
View Details をクリックします
- ［Download］ をクリックします
2. cybozu.com側の設定
- cybozu.comに管理者権限でログインし共通管理画面をクリックします
- システム管理 > ログイン > SAML認証 > SAML認証を有効にする にチェックを入れます
-
SAML認証の使用を必須する にチェックを入れます
-
1. OneLogin側の設定 で取得した内容を以下の通りに設定します
項目 入力値 Identity ProviderのSSOエンドポイントURL（HTTP-Redirect） SAML 2.0 Endpoint (HTTP) cybozu.comからのログアウト後に遷移するURL ユーザーポータルのURL https://<subdomain>.onelogin.com/portal
- ［参照］をクリックし、1. OneLogin側の設定 でダウンロードした
onelogin.pemをアップロードします
- ［保存］をクリックします
SAML連携の設定は以上です。
SAML SSOの確認
- OneLoginに対象ユーザーでログインし、設定した Cybozu を選択します
- SAML認証が完了し、サイボウズにSSOされることを確認します
SAML SSOの動作確認は以上です。
SAML SSOの無効化
- cybozu.comに管理者権限でログインし共通管理画面をクリックします
- システム管理 > ログイン > SAML認証 > SAML認証を有効にする のチェックを外します
- 下にスクロールし、［保存］をクリックします
SAML SSOの無効化は以上です。
SAML連携の設定後にcybozu.comの他サービスへSSOする
本セクションでは、手順1~3のとおりSAML連携が完了していることを前提として、手順1~3で設定したコネクタに加えて、別のcybozu.comページへシングルサインオンするブックマークコネクタを追加する方法をご紹介します。ただし、認証自体は手順1~3で設定したコネクタが行うため、手順1〜3で設定したコネクタがないと正常にSSOできないことにご注意ください。
ここでは例として、手順1~3で設定したコネクタに加えて、OneLoginポータル画面に Garoon のコネクタを追加したいケースをご紹介します。Kintoneなどのcybozu.comの他ページへのシングルサインオンを希望される方も同様の手順となります。
- OneLoginに管理者でログインし、［管理］をクリックします
-
Applications メニューから［Applications］を選択します
- ［Add App］をクリックします
-
cybozu.com と検索し、SAML2.0 または、provisioning 対応のコネクタを選択します
- 任意の Display Name を入力します
例）Garron
- Garronのアイコンをアップロードします
*cybozu.comの製品のロゴは https://cybozu.co.jp/logotypes/ より取得可能です。
- ［Save］をクリックします
-
Configuration タブへ移動し、cybozu.comの サブドメイン名 を入力します
例）URLがhttps://kesofdk8d752.cybozu.com/の場合、kesofdk8d752と入力
-
サービス からSSO先のサービス名を選択します
例）Garoon にSSOしたい場合は、Garoon をご選択ください
-
Access タブに移動し、割り当てたいユーザーが属するロールを選択後、［Save］をクリックします
- OneLoginに対象ユーザーでログインし、設定した Garoon を選択します
- SAML認証が完了し、GaroonにSSOされることを確認します
SAML認証が正しく行われない場合
https://（サブドメイン名）.cybozu.com/login?saml=off にアクセスすると、SAML認証が無効の状態になります。
上記URLはSAML認証を回避することが出来るため、安易に利用してしまいますとOneLoginによるセキュリティポリシーのコントロール、MFAの適用などが形骸化してしまうため、あくまでcybozu.com共通管理者の方だけが限られた用途において利用されるよう十分にご注意ください。
管理者の方が上記URLを利用される主な用途は次の2つとなります。
- SAML認証設定を誤ってしまいOneLoginからシングルサインオンできなくなったとき
- OneLoginのシステム障害やお客様の設定ミスによりエンドユーザーがOneLoginにログインできなくなってしまったとき
cybozu.com 共有アカウントへのシングルサインオンについては、OneLogin側にcybozu.comと対応するログインIDでユーザーを追加することで、シングルサインオンが可能です。エンドユーザーがログインされるcybozu.comの共有アカウントがある場合には、共有アカウントについてもOneLoginへユーザー作成をお願いいたします。
＊共有アカウントで安易に上述のURLを利用許可してしまいますと、cybozu.com の仕様上どうしてもOneLoginからのシングルサインオンに限定することができなくなってしまいます。