シングルサインオン

​

概要

​

Microsoft Entra ID のSSO 設定

​

OpenID Connect 設定

1. Azure ポータルにログインし、Microsoft Entra ID を開きます。
2. CData Sync にログインし、システム設定 > SSO を選択してシングルサインオン（SSO）設定ダイアログを開きます。
3. Entra ID > アプリ登録 > 新規登録に移動し、Sync のアプリケーション登録を作成します。プロンプトに従って処理を完了します。
4. アプリケーション登録で、リダイレクトURL を、以下に示すようにSync のシングルサインオン（SSO）設定ダイアログで指定されているコールバックURL 値に設定します。
5. Sync のシングルサインオン（SSO）設定ダイアログで、次のプロパティを指定します：
   1. クライアントID プロパティを、以下に示す新しいアプリケーション登録にあるアプリケーション（クライアント）Id の値に設定します。
   2. クライアントシークレットプロパティを、Entra ID で生成した新しいクライアントシークレットの値に設定します。
   3. ディスカバリーURL を、アプリケーション登録のエンドポイントページにあるOpenID Connect MetaData document の値に設定します。次に、インポートをクリックして、残りの設定をSync にインポートします。
6. Sync で保存およびテストをクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。
7. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ5 のシングルサインオン（SSO）設定ダイアログから、フェデレーションId をコピーします。
   2. システム設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログを終了します。

​

SAML 2.0 設定

1. Azure ポータルにログインしてMicrosoft Entra ID を開き、エンタープライズ アプリケーションページに移動します。
2. 新しいアプリケーション > 独自のアプリケーションを作成するを選択します。独自のアプリケーションを作成するダイアログで：
   1. アプリケーションの名前を入力します（例：CData Sync）。
   2. アプリケーションでどのような操作を行いたいですか？ の下にあるオプションから、アプリケーションで実行したい操作を指定します。
   3. 作成をクリックします。
3. 新規作成したアプリケーションで、シングルサインオンの設定を選択します。
4. サインオン方式としてSAML を選択します。
5. CData Sync にログインし、システム設定 > SSO を選択します。SSO タブで、シングルサインオン（SSO）設定セクションの設定をクリックします。このアクションにより、シングルサインオン（SSO）設定ダイアログが開きます。
6. SAML 2.0 を選択します。これを選択すると、アサーションコンシューマーサービス（ACS）URL とオーディエンスURI が表示されます。
   このダイアログは、手順の後半で再び必要になるので開いたままにしておきます。
7. Entra ID で、応答URL（アサーションコンシューマーサービスURL） をSync のアサーションコンシューマーサービス（ACS）URL 値に設定します。次に、Entra ID の識別子（エンティティID） を、Sync のオーディエンスURI 値に設定します。
   ID プロバイダーによるサインオンを使用する場合は、サインオンURL テキストボックスを空のままにしておきます。
8. Sync のシングルサインオン（SSO）設定ダイアログで、メタデータURL を、Entra ID にあるApp Federation Metadata URL 値に設定します。次に、インポートをクリックして、残りの設定をSync にインポートします。
9. Sync で保存およびテストをクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。
10. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
    1. ステップ9 のシングルサインオン（SSO）設定ダイアログからフェデレーションId をコピーします。
    2. システム設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
    3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログを終了します。

​

Okta のSSO 設定

​

OpenID Connect 設定

1. Okta 管理コンソールにログインし、アプリケーション > アプリ統合の作成を選択します。
2. 新しいアプリ統合の作成ダイアログで、サインイン方式にOIDC - OpenID Connect を、アプリケーションの種類にWeb アプリケーションを選択します。続いて、次へをクリックします。
3. CData Sync にログインし、システム設定 > SSO を選択してシングルサインオン（SSO）設定ダイアログを開きます。
4. Okta で、リダイレクトURI を、以下に示すようにSync のシングルサインオン（SSO）設定ダイアログで指定されているコールバックURL 値に設定します。 続いて、次へをクリックしてアプリケーションを作成します。
5. 以下の手順で、発行者URL を特定してコピーします。
   1. Okta 管理コンソールで、アプリケーションのサインオンタブをクリックします。
   2. OpenID Connect ID Token セクションまでスクロールします。
   3. 発行者フィールドからURL をコピーします。
   認可サーバー経由でサインインしたい場合は、その特定のサーバーの発行者URL を取得する必要があります。Okta 管理コンソールで、左のナビゲーションペインにあるセキュリティをクリックし、次にAPI を選択して認可サーバーのリストを表示します。該当する認可サーバーを見つけて、発行者フィールドからURL をコピーします。
6. Sync のシングルサインオン（SSO）設定ダイアログで、次のプロパティを指定します：
   1. クライアントID およびクライアントシークレットプロパティを、Okta の全般タブにある対応する値に設定します。
   2. ディスカバリーURL に、先ほどコピーした発行者URL を設定し、OpenID Connect ディスカバリーエンドポイント（.well-known/openid-configuration）を末尾に追加します。 例： https://MyOrganization.okta.com/.well-known/openid-configuration 次に、インポートをクリックして、残りの設定をSync にインポートします。
7. Sync で保存およびテストをクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。
8. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ5 のシングルサインオン（SSO）設定ダイアログから、フェデレーションId をコピーします。
   2. システム設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログを終了します。

​

SAML 2.0 設定

1. Okta 管理コンソールにログインし、アプリケーション > アプリ統合の作成を選択します。この手順により、新しいアプリ統合の作成ダイアログが開きます。
2. サインイン方式としてSAML 2.0 を選択します。続いて、次へをクリックするとSAML 統合の作成ダイアログが開きます。
3. アプリ名テキストボックスに、アプリケーションのわかりやすい名前（例えば、CData Sync）を入力します。必要に応じて、アプリケーションのロゴを追加することもできます。続いて、次へをクリックします。
4. Sync アプリケーションで、システム設定ページのSSOタブをクリックします。そのタブ上で、シングルサインオン（SSO）設定セクションの設定をクリックします。このアクションにより、シングルサインオン（SSO）設定ダイアログが開きます。
5. SAML 2.0 を選択します。これを選択すると、アサーションコンシューマーサービス（ACS）URL とオーディエンスURI が表示されます。
   このダイアログは、手順の後半で再び必要になるので開いたままにしておきます。
6. Okta で、Sync のアサーションコンシューマーサービス（ACS）URL 値を、シングルサインオンURL テキストボックスに入力します。次に、Sync のオーディエンスURI 値をオーディエンスURI（SP エンティティID） テキストボックスに入力します。残りのOkta フィールドは、デフォルト設定のままにしておきます。
7. Sync で、メタデータURL を、登録済みのOkta 組織のドメインに/oauth2/default/.well-known/openid-configuration を付けたURL に設定します。 例： 次に、インポートをクリックして、残りの設定をSync にインポートします。
8. Sync で保存およびテストをクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。
9. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ8 のシングルサインオン（SSO）設定ダイアログから、フェデレーションId をコピーします。
   2. システム設定 > ユーザーに移動します。次に、ユーザーアカウントを見つけて編集をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、保存をクリックして変更を保存し、ダイアログを終了します。

​

ジャストインタイム（JIT）ユーザープロビジョニング

• ユーザーが存在しない場合、Sync はまずグループからロールへのマッピングを使用してロールを割り当てます。マッピングが見つからない場合、Sync は次にデフォルトロールを確認します。グループからロールへのマッピングもデフォルトロールも設定されていない場合、アクセスは拒否され、アカウントは作成されません。
• ユーザーがすでに存在する場合、Sync はグループからロールへのマッピングを使用して、ユーザーの現在のロールと照合します。一致するマッピングがない場合、Sync はデフォルトロールにフォールバックします。一致するグループマッピングがなく、デフォルトロールも設定されていない場合、アクセスは拒否され、ユーザーの既存のロールは削除されます。

​

ID プロバイダーにおける要件とマッピング

• デフォルトでは、サブコントロールはユーザーのロールにマッピングされ、クレームはフェデレーションId にマッピングされます。オプションとして、admin ユーザーは、Sync でKey Claim プロパティを設定することにより、別のフィールド（例えばoid）を使用できます（システム設定 > SSO > ユーザープロビジョニング）。
• email クレームは、Sync のEmail Address にマッピングされます。
• preferred_username クレームは、Sync のname にマッピングされます。

• NameID とEmail クレームは必須です。
• （オプション）Name クレームを追加できます。これは、Sync のUsername にマッピングされます。
• （オプション）Role クレームを追加できます。これは、ユーザーのロールを制御します。

​

Sync でのJIT 設定

1. 次の手順でJIT プロビジョニングを有効にします：
   1. Sync でシステム設定 > SSO を選択します。
   2. 編集アイコン（）をクリックして、ユーザープロビジョニングダイアログを開きます。
   3. JIT プロビジョニングラベルの下で有効化を選択します。
   4. （オプション）まだ設定されていない場合は、ロールを同期リストからデフォルトロールを選択します。
   5. 保存をクリックして選択内容を保存し、ダイアログを終了します。

1. グループからロールへのマッピングで一致するものが見つかった場合、Sync はマッピングされたロール（複数可）を適用します。
2. クレームにロールが含まれている場合、Sync はそのロールを検索してユーザーアカウントを更新します。
3. group クレームが存在しない場合、またはマッピングされたSync ロールがない場合、アプリケーションはデフォルトロールを使用します。デフォルトロールは、グループマッピングが設定されているかどうかに関係なく適用されます。
4. 一致するグループマッピングがなく、デフォルトロールも設定されていない場合、アクセスは拒否されます。既存のロールは削除され、監査ログにエントリが書き込まれ、ユーザーには管理者に連絡するよう案内が表示されます。

​

グループからロールへのマッピング

1. システム設定 > SSO を選択し、編集（）をクリックして、ユーザープロビジョニングダイアログを開きます。
2. グループマッピングセクションまでスクロールし、マッピングを追加をクリックして新しいマッピングフィールドを開きます。
3. Sync が行うチェックの内容に応じて、お使いのIdP が返す値を入力します：
   • OpenID Connect： Sync は、IdP レスポンス内のgroups クレームの値のみをチェックします。
     Okta の場合、クレームにはグループ名が含まれることがあります。Microsoft Entra ID の場合、クレームにはグループ識別子（GUID）が含まれます。お使いのIdP が発行する内容に合わせてマッピングを設定してください。
   • SAML 2.0： Sync は、role クレームの値のみをチェックします。
   続いて、グループをマッピングしたいSync のロールを1つ以上選択します。
4. マッピングの追加が完了したら、保存をクリックしてダイアログボックスを終了します。 JIT プロビジョニングでユーザーがログインすると、Sync は前述のID プロバイダーにおける要件とマッピングで説明したルールに従ってロールを割り当てます。

マッピングを削除するには、削除アイコン（）をクリックします。