シングルサインオン

​

概要

​

Microsoft Entra ID のSSO 設定

​

OpenID Connect 設定

1. Azure ポータルにログインし、Microsoft Entra ID を開きます。
2. にログインし、設定 > SSO を選択してシングルサインオン（SSO）設定ダイアログボックスを開きます。
3. Entra ID > アプリ登録 > 新規登録に移動し、 のアプリケーション登録を作成します。プロンプトに従って処理を完了します。
4. アプリケーション登録で、リダイレクトURL を、以下に示すように のシングルサインオン（SSO）設定ダイアログボックスで指定されているコールバックURL 値に設定します。
5. のシングルサインオン（SSO）設定ダイアログボックスで、次のプロパティを指定します：
   1. クライアントID プロパティを、以下に示す新しいアプリケーション登録にあるアプリケーション（クライアント）Id の値に設定します。
   2. クライアントシークレットプロパティを、Entra ID で生成した新しいクライアントシークレットの値に設定します。
   3. ディスカバリーURL を、アプリケーション登録のエンドポイントページにあるOpenID Connect MetaData document の値に設定します。次に、インポートをクリックして、残りの設定を にインポートします。
6. で保存およびテストをクリックして、SSO の設定を確認します。 で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、 はクレームの詳細とともに成功メッセージを表示します。
7. （オプション） ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ5 のシングルサインオン（SSO）設定ダイアログボックスから、フェデレーションId をコピーします。
   2. 設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログボックスを終了します。

​

SAML 2.0 設定

1. Azure ポータルにログインしてMicrosoft Entra ID を開き、エンタープライズ アプリケーションページに移動します。
2. 新しいアプリケーション > 独自のアプリケーションを作成するを選択します。独自のアプリケーションを作成するダイアログボックスで：
   1. アプリケーションの名前を入力します（例：CData Sync）。
   2. **アプリケーションでどのような操作を行いたいですか？**の下にあるオプションから、アプリケーションで実行したい操作を指定します。
   3. 作成をクリックします。
3. 新規作成したアプリケーションで、シングルサインオンの設定を選択します。
4. サインオン方式としてSAML を選択します。
5. にログインし、設定 > SSO を選択します。SSO タブで、シングルサインオン（SSO）設定セクションの設定をクリックします。このアクションにより、シングルサインオン（SSO）設定ダイアログボックスが開きます。
6. SAML 2.0 を選択します。これを選択すると、アサーションコンシューマーサービス（ACS）URL とオーディエンスURI が表示されます。
   このダイアログボックスは、手順の後半で再び必要になるので開いたままにしておきます。
7. Entra ID で、応答URL（アサーションコンシューマーサービスURL） を のアサーションコンシューマーサービス（ACS）URL 値に設定します。次に、Entra ID の識別子（エンティティID） を、 のオーディエンスURI 値に設定します。
   ID プロバイダーによるサインオンを使用する場合は、サインオンURL テキストボックスを空のままにしておきます。
8. のシングルサインオン（SSO）設定ダイアログボックスで、ディスカバリーURL を、Entra ID にあるApp Federation Metadata URL 値に設定します。次に、インポートをクリックして、残りの設定を にインポートします。
9. で保存およびテストをクリックして、SSO の設定を確認します。 で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、 はクレームの詳細とともに成功メッセージを表示します。
10. （オプション） ユーザーアカウントをフェデレーションId で更新します。
    1. ステップ9 のシングルサインオン（SSO）設定ダイアログボックスからフェデレーションId をコピーします。
    2. 設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
    3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログボックスを終了します。

​

Okta のSSO 設定

​

OpenID Connect 設定

1. Okta 管理コンソールにログインし、アプリケーション > アプリ統合の作成を選択します。
2. 新しいアプリ統合の作成ダイアログボックスで、サインイン方式にOIDC - OpenID Connect を、アプリケーションの種類にWeb アプリケーションを選択します。続いて、次へをクリックします。
3. にログインし、設定 > SSO を選択してシングルサインオン（SSO）設定ダイアログボックスを開きます。
4. Okta で、リダイレクトURI を、以下に示すように のシングルサインオン（SSO）設定ダイアログボックスで指定されているコールバックURL 値に設定します。 続いて、次へをクリックしてアプリケーションを作成します。
5. Locate and copy the Issuer URL, as follows.
   1. Click the Sign-On tab for your application in the Okta Admin Console.
   2. Scroll to the OpenID Connect ID Token section.
   3. Copy the URL from the Issuer field.
   If you want to sign in through an authorization server, you must obtain the Issuer URL for that particular server. In the Okta Admin Console, click Security in the left navigation pane, and then select API to display the Authorization Servers list. Locate your authorization server and copy the URL from the Issuer field.
6. のシングルサインオン（SSO）設定ダイアログボックスで、次のプロパティを指定します：
   1. クライアントID およびクライアントシークレットプロパティを、Okta の全般タブにある対応する値に設定します。
   2. Set Discovery URL to Issuer URL that you copied previously, and append the OpenID Connect Discovery endpoint (.well-known/openid-configuration). 例： https://MyOrganization.okta.com/.well-known/openid-configuration 次に、インポートをクリックして、残りの設定を にインポートします。
7. で保存およびテストをクリックして、SSO の設定を確認します。 で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、 はクレームの詳細とともに成功メッセージを表示します。
8. （オプション） ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ5 のシングルサインオン（SSO）設定ダイアログボックスから、フェデレーションId をコピーします。
   2. 設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログボックスを終了します。

​

SAML 2.0 設定

1. Okta 管理コンソールにログインし、アプリケーション > アプリ統合の作成を選択します。この手順により、新しいアプリ統合の作成ダイアログボックスが開きます。
2. サインイン方式としてSAML 2.0 を選択します。続いて、次へをクリックするとSAML 統合の作成ダイアログボックスが開きます。
3. アプリ名テキストボックスに、アプリケーションのわかりやすい名前（例えば、）を入力します。必要に応じて、アプリケーションのロゴを追加することもできます。続いて、次へをクリックします。
4. アプリケーションで、設定ページのSSOタブをクリックします。そのタブ上で、シングルサインオン（SSO）設定セクションの設定をクリックします。このアクションにより、シングルサインオン（SSO）設定ダイアログボックスが開きます。
5. SAML 2.0 を選択します。これを選択すると、アサーションコンシューマーサービス（ACS）URL とオーディエンスURI が表示されます。
   このダイアログボックスは、手順の後半で再び必要になるので開いたままにしておきます。
6. Okta で、 のアサーションコンシューマーサービス（ACS）URL 値を、シングルサインオンURL テキストボックスに入力します。次に、 のオーディエンスURI 値をオーディエンスURI（SP エンティティID） テキストボックスに入力します。残りのOkta フィールドは、デフォルト設定のままにしておきます。
7. で、ディスカバリーURL を、登録済みのOkta 組織のドメインに/oauth2/default/.well-known/openid-configuration を付けたURL に設定します。 例： 次に、インポートをクリックして、残りの設定を にインポートします。
8. で保存およびテストをクリックして、SSO の設定を確認します。 で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、 はクレームの詳細とともに成功メッセージを表示します。
9. （オプション） ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ8 のシングルサインオン（SSO）設定ダイアログボックスから、フェデレーションId をコピーします。
   2. 設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログボックスを終了します。

​

ジャストインタイム（JIT）ユーザープロビジョニング

• If a user does not exist, first uses group-to-role mappings to assign a role. If no mapping is found, then checks the default role. If no group-to-role mapping is found and no default role is configured, the user account is created without a role.
• If a user already exists, only uses group-to-role mappings to match the user’s current role. If the mapping and current role do not match, updates the user’s current role. There is no default-role matching during this process.

​

ID プロバイダーにおける要件とマッピング

• デフォルトでは、サブコントロールはユーザーのロールにマッピングされ、クレームはフェデレーションId にマッピングされます。オプションとして、admin ユーザーは、 でKey Claim プロパティを設定することにより、別のフィールド（例えばoid）を使用できます（設定 > SSO > ユーザープロビジョニング）。
• email クレームは、 のEmail Address にマッピングされます。
• preferred_username クレームは、 のname にマッピングされます。

• NameID とEmail クレームは必須です。
• （オプション）Name クレームを追加できます。これは、 のUsername にマッピングされます。
• （オプション）Role クレームを追加できます。これは、ユーザーのロールを制御します。

​

でのJIT 設定

1. 次の手順でJIT プロビジョニングを有効にします：
   1. で設定 > SSO を選択します。
   2. 編集アイコン（）をクリックして、ユーザープロビジョニングダイアログボックスを開きます。
   3. JIT プロビジョニングラベルの下で有効化を選択します。
   4. (Optional) If one is not set already, select a default role from the SYNC ROLES list.
   5. 保存をクリックして選択内容を保存し、ダイアログボックスを終了します。

1. If the group-to-role mapping finds a match, applies the mapped role or roles.
2. クレームにロールが含まれている場合、 はそのロールを検索してユーザーアカウントを更新します。
3. If the group claim does not exist or there is no mapped role, the application uses the default role.
4. デフォルトロールが設定されていない場合、ユーザーアカウントにはロールがないため、Admin ユーザーが手動でユーザーのロールを更新する必要があります。

​

グループからロールへのマッピング

1. 設定 > SSO を選択し、編集（）をクリックして、ユーザープロビジョニングダイアログボックスを開きます。
2. Scroll to the GroupMapping section and click Add mappings to open new mapping fields.
3. Enter the value that is returned by your IdP, according to the checks made by :
   • OpenID Connect: checks only the value of the groups claim in the IdP response.
     With Okta, the claim can contain group names; with Microsoft Entra ID, the claim contains group identifiers (GUIDs). Configure your mapping to match whatever your IdP issues.
   • SAML 2.0: checks only the value from the role claim.
   Then, select one or more roles to which you want to map the group.
4. When you finish adding mappings, click Save to exit the dialog box. When a user logs in with JIT provisioning, assigns roles according to the rules described earlier in Requirements and Mappings in Your Identity Provider.

To delete a mapping, click the Delete icon ().