> ## Documentation Index
> Fetch the complete documentation index at: https://docs.sync.cdata.com/llms.txt
> Use this file to discover all available pages before exploring further.

# シングルサインオン

CData Sync は、SAML 2.0 またはOpenID 認証プロトコルによるシングルサインオン（SSO）をサポートします。この機能により、これらのプロトコルをサポートするMicrosoft Entra ID（旧 Azure Active Directory）やOkta などのID プロバイダーが、Sync のSSO プラットフォームとして機能します。

## 概要

SSO を有効にするには、**システム設定**ページの**SSO** タブで項目を設定する必要があります。SSO を設定する場合、Sync で作成されたユーザーにはフェデレーション識別子（ID）を付与する必要があります。このフェデレーションID は、Sync のユーザー名とID プロバイダーエンティティを関連付けます。Sync ユーザーがアプリケーションにログインしようとすると、SSO プラットフォームにリダイレクトされ、そこで適切なID の資格情報を入力する必要があります。

ジャストインタイム（JIT）ユーザープロビジョニングが有効になっている場合（**SSO** タブからも設定可能）は、ID プロバイダーから受け取った属性（ユーザーの氏名やE メールアドレスなど）に基づいて、ログイン時に新しいユーザーアカウントがSync に自動的に作成されます。このアイデンティティとアクセス管理（IAM）プロセスは、手動でのアカウント作成の必要性を排除し、オンボーディングを合理化します。詳しくは、[ジャストインタイム（JIT）ユーザープロビジョニング](#ジャストインタイムjitユーザープロビジョニング)を参照してください。

SSO を設定し、Sync ユーザーにID プロバイダー（IdP）と関連付けるフェデレーションId 値を付与した後は、Sync 側（例えば、JIT プロビジョニングの有効化）またはIdP 側で直接、追加の設定を行うことができます。これについては、後のセクションで説明します。

> [!NOTE]
>
> Sync は、JIT プロビジョニングの[グループからロールへのマッピング機能](#group-to-role-mapping)を通じて、グループベースのアクセスをサポートします。IdP から提供されるグループ識別子をSync のロールにマッピングできます。各ユーザーは個別にログインする必要がありますが、ロールの割り当てはIdP のグループメンバーシップに基づいて自動化できます。

次のセクションでは、OpenID Connect およびSAML 2.0 認証プロトコルを使用して、2つのID プロバイダー（Microsoft Entra ID およびOkta）でSSO 構成を設定する方法について説明します。

## Microsoft Entra ID のSSO 設定

次のセクションでは、OpenID Connect またはSAML 2.0 経由でSSO 用にMicrosoft Entra ID を設定する方法について説明します。

### OpenID Connect 設定

Microsoft Entra ID を使用したシングルサインオン（SSO）により、CData Sync へのアクセスが合理化され、ログイン時にジャストインタイムのプロビジョニングが可能になります。次の手順では、OpenID Connect プロトコルを使用してSSO 用にMicrosoft Entra ID を設定する方法について説明します。

1. Azure ポータルにログインし、Microsoft Entra ID を開きます。

2. CData Sync にログインし、**システム設定 > SSO** を選択して**シングルサインオン（SSO）設定**ダイアログを開きます。

3. **Entra ID > アプリ登録 > 新規登録**に移動し、Sync のアプリケーション登録を作成します。プロンプトに従って処理を完了します。

4. アプリケーション登録で、リダイレクトURL を、以下に示すようにSync の**シングルサインオン（SSO）設定**ダイアログで指定されている**コールバックURL** 値に設定します。

   ![OpenID Connect コールバックURL の設定](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_openID-connect-configuration_1.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=362b0c604b814380ad563ec2da6c9321)

5. Sync の**シングルサインオン（SSO）設定**ダイアログで、次のプロパティを指定します：
   1. **クライアントID** プロパティを、以下に示す新しいアプリケーション登録にある**アプリケーション（クライアント）Id** の値に設定します。

      ![アプリケーションのクライアントID](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_openID-connect-configuration_2.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=59af13b40614cb0f72a488cf1c2af0c1)

   2. **クライアントシークレット**プロパティを、Entra ID で生成した新しいクライアントシークレットの値に設定します。

   3. **ディスカバリーURL** を、アプリケーション登録の**エンドポイント**ページにある**OpenID Connect MetaData document** の値に設定します。次に、**インポート**をクリックして、残りの設定をSync にインポートします。

6. Sync で**保存およびテスト**をクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。

7. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ5 の**シングルサインオン（SSO）設定**ダイアログから、フェデレーションId をコピーします。
   2. **システム設定 > ユーザー**に移動します。次に、ユーザーアカウントを見つけて**編集**をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、**保存**をクリックして変更を保存し、ダイアログを終了します。

この時点で、OpenID Connect SSO の基本設定が完了し、ユーザーはMicrosoft Entra ID 経由でSync にログインできるようになりました。

### SAML 2.0 設定

SAML ベースのシングルサインオン（SSO）により、ユーザーは組織のID プロバイダーを通じてシームレスに認証できるため、ログイン時にジャストインタイムプロビジョニングが可能になります。次の手順では、SAML 2.0 プロトコルを使用してSSO 用にMicrosoft Entra ID を設定する方法について説明します。

1. Azure ポータルにログインしてMicrosoft Entra ID を開き、**エンタープライズ アプリケーション**ページに移動します。

2. **新しいアプリケーション > 独自のアプリケーションを作成する**を選択します。**独自のアプリケーションを作成する**ダイアログで：
   1. アプリケーションの名前を入力します（例：**CData Sync**）。
   2. **アプリケーションでどのような操作を行いたいですか？** の下にあるオプションから、アプリケーションで実行したい操作を指定します。
   3. **作成**をクリックします。

3. 新規作成したアプリケーションで、**シングルサインオンの設定**を選択します。

4. サインオン方式として**SAML** を選択します。

5. CData Sync にログインし、**システム設定 > SSO** を選択します。**SSO** タブで、**シングルサインオン（SSO）設定**セクションの**設定**をクリックします。このアクションにより、**シングルサインオン（SSO）設定**ダイアログが開きます。

6. **SAML 2.0** を選択します。これを選択すると、アサーションコンシューマーサービス（ACS）URL とオーディエンスURI が表示されます。

   ![SAML 2.0 の設定](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_SAML_1.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=89f9f47b74b40bdf411d8ef6a1be4ac2)

   > [!NOTE]
   >
   > このダイアログは、手順の後半で再び必要になるので開いたままにしておきます。

7. Entra ID で、**応答URL（アサーションコンシューマーサービスURL）** をSync の**アサーションコンシューマーサービス（ACS）URL** 値に設定します。次に、Entra ID の**識別子（エンティティID）** を、Sync の**オーディエンスURI** 値に設定します。

   > [!NOTE]
   >
   > ID プロバイダーによるサインオンを使用する場合は、**サインオンURL** テキストボックスを空のままにしておきます。

8. Sync の**シングルサインオン（SSO）設定**ダイアログで、**メタデータURL** を、Entra ID にある**App Federation Metadata URL** 値に設定します。次に、**インポート**をクリックして、残りの設定をSync にインポートします。

9. Sync で**保存およびテスト**をクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。

10. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
    1. ステップ9 の**シングルサインオン（SSO）設定**ダイアログからフェデレーションId をコピーします。
    2. **システム設定 > ユーザー**に移動します。次に、ユーザーアカウントを見つけて**編集**をクリックします。
    3. ユーザーアカウントにフェデレーションId を追加します。次に、**保存**をクリックして変更を保存し、ダイアログを終了します。

この時点で、SAML SSO の基本設定が完了し、ユーザーはMicrosoft Entra ID 経由でSync にログインできるようになりました。

## Okta のSSO 設定

次のセクションでは、OpenID Connect またはSAML 2.0 経由でSSO 用にOkta を設定する方法について説明します。

### OpenID Connect 設定

Okta を使用したシングルサインオン（SSO）により、CData Sync へのアクセスが合理化され、ログイン時にジャストインタイムのプロビジョニングが可能になります。次の手順では、OpenID Connect プロトコルを使用してSSO 用にOkta を設定する方法について説明します。

1. Okta 管理コンソールにログインし、**アプリケーション > アプリ統合の作成**を選択します。

   ![Okta アプリ統合の作成](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_openID-configure-okta_1.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=17d0f95168245bede07a06c4192f930f)

2. **新しいアプリ統合の作成**ダイアログで、**サインイン方式**に**OIDC - OpenID Connect** を、**アプリケーションの種類**に**Web アプリケーション**を選択します。続いて、**次へ**をクリックします。

   ![Okta OIDC アプリケーションの種類の選択](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_openID-configure-okta_2.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=2ef29bf88f1675f8465360677f1b6de8)

3. CData Sync にログインし、**システム設定 > SSO** を選択して**シングルサインオン（SSO）設定**ダイアログを開きます。

4. Okta で、リダイレクトURI を、以下に示すようにSync の**シングルサインオン（SSO）設定**ダイアログで指定されている**コールバックURL** 値に設定します。

   ![Okta リダイレクトURI の設定](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_openID-configure-okta_3.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=a0313e33e1474672ed11e5566fa8a5ca)

   続いて、**次へ**をクリックしてアプリケーションを作成します。

5. 以下の手順で、発行者URL を特定してコピーします。

   1. Okta 管理コンソールで、アプリケーションの**サインオン**タブをクリックします。
   2. **OpenID Connect ID Token** セクションまでスクロールします。
   3. **発行者**フィールドからURL をコピーします。

   > [!NOTE]
   >
   > 認可サーバー経由でサインインしたい場合は、その特定のサーバーの発行者URL を取得する必要があります。Okta 管理コンソールで、左のナビゲーションペインにある**セキュリティ**をクリックし、次に**API** を選択して**認可サーバー**のリストを表示します。該当する認可サーバーを見つけて、**発行者**フィールドからURL をコピーします。

6. Sync の**シングルサインオン（SSO）設定**ダイアログで、次のプロパティを指定します：
   1. **クライアントID** および**クライアントシークレット**プロパティを、Okta の**全般**タブにある対応する値に設定します。
   2. **ディスカバリーURL** に、先ほどコピーした発行者URL を設定し、OpenID Connect ディスカバリーエンドポイント（.well-known/openid-configuration）を末尾に追加します。

      **例：** https\://*MyOrganization*.okta.com/.well-known/openid-configuration

      次に、**インポート**をクリックして、残りの設定をSync にインポートします。

7. Sync で**保存およびテスト**をクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。

8. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ5 の**シングルサインオン（SSO）設定**ダイアログから、フェデレーションId をコピーします。
   2. **システム設定 > ユーザー**に移動します。次に、ユーザーアカウントを見つけて**編集**をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、**保存**をクリックして変更を保存し、ダイアログを終了します。

この時点で、OpenID Connect SSO の基本設定が完了し、ユーザーはOkta 経由でSync にログインできるようになりました。

### SAML 2.0 設定

SAML ベースのシングルサインオン（SSO）により、ユーザーは組織のID プロバイダーを通じてシームレスに認証できるため、ログイン時にジャストインタイムプロビジョニングが可能になります。次の手順では、SAML 2.0 プロトコルを使用してSSO 用にOkta を設定する方法について説明します。

1. Okta 管理コンソールにログインし、**アプリケーション > アプリ統合の作成**を選択します。この手順により、**新しいアプリ統合の作成**ダイアログが開きます。

2. サインイン方式として**SAML 2.0** を選択します。続いて、**次へ**をクリックすると**SAML 統合の作成**ダイアログが開きます。

3. **アプリ名**テキストボックスに、アプリケーションのわかりやすい名前（例えば、**CData Sync**）を入力します。必要に応じて、アプリケーションのロゴを追加することもできます。続いて、**次へ**をクリックします。

4. Sync アプリケーションで、**システム設定**ページの**SSO**タブをクリックします。そのタブ上で、**シングルサインオン（SSO）設定**セクションの**設定**をクリックします。このアクションにより、**シングルサインオン（SSO）設定**ダイアログが開きます。

5. **SAML 2.0** を選択します。これを選択すると、アサーションコンシューマーサービス（ACS）URL とオーディエンスURI が表示されます。

   ![SAML 2.0 の設定](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_SAML_1.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=89f9f47b74b40bdf411d8ef6a1be4ac2)

   > [!NOTE]
   >
   > このダイアログは、手順の後半で再び必要になるので開いたままにしておきます。

6. Okta で、Sync の**アサーションコンシューマーサービス（ACS）URL** 値を、**シングルサインオンURL** テキストボックスに入力します。次に、Sync の**オーディエンスURI** 値を**オーディエンスURI（SP エンティティID）** テキストボックスに入力します。残りのOkta フィールドは、デフォルト設定のままにしておきます。

7. Sync で、**メタデータURL** を、登録済みのOkta 組織のドメインに/oauth2/default/.well-known/openid-configuration を付けたURL に設定します。

   **例：** https\://trial-1234567.okta.com/oauth2/default/.well-known/openid-configuration

   次に、**インポート**をクリックして、残りの設定をSync にインポートします。

8. Sync で**保存およびテスト**をクリックして、SSO の設定を確認します。Sync で新しいタブが開き、Microsoft アカウントでのサインインを求められます。テストに成功すると、Sync はクレームの詳細とともに成功メッセージを表示します。

9. （オプション）Sync ユーザーアカウントをフェデレーションId で更新します。
   1. ステップ8 の**シングルサインオン（SSO）設定**ダイアログから、フェデレーションId をコピーします。
   2. **システム設定 > ユーザー**に移動します。次に、ユーザーアカウントを見つけて**編集**をクリックします。
   3. ユーザーアカウントにフェデレーションId を追加します。次に、**保存**をクリックして変更を保存し、ダイアログを終了します。

この時点で、SAML SSO の基本設定が完了し、Okta 経由でSync にログインできるようになりました。

## ジャストインタイム（JIT）ユーザープロビジョニング

[前述](#概要)のとおり、*ジャストインタイムユーザープロビジョニング* により、Sync はID プロバイダーから提供された情報を使用して、初回ログイン時にユーザーアカウントを自動的に作成および管理できるようになります。JIT プロビジョニングは、ユーザーが初めてID プロバイダーを通じてSync にアクセスし、アプリケーションがユーザーのID を確認する安全なメッセージを受信する場合に特に便利です。作成されたアカウントには、SSO 設定で指定されたデフォルトのロールが割り当てられます。この機能により、ユーザーのオンボーディングが合理化され、アカウントの詳細がアイデンティティクレームと一致することが保証されます。

ユーザーがSAML またはOpenID Connect を使用してSync にログインすると、Sync はフェデレーションId を介してそのユーザーを検索します。

* ユーザーが存在しない場合、Sync はまずグループからロールへのマッピングを使用してロールを割り当てます。マッピングが見つからない場合、Sync は次にデフォルトロールを確認します。グループからロールへのマッピングもデフォルトロールも設定されていない場合、アクセスは拒否され、アカウントは作成されません。
* ユーザーがすでに存在する場合、Sync はグループからロールへのマッピングを使用して、ユーザーの現在のロールと照合します。一致するマッピングがない場合、Sync はデフォルトロールにフォールバックします。一致するグループマッピングがなく、デフォルトロールも設定されていない場合、アクセスは拒否され、ユーザーの既存のロールは削除されます。

### ID プロバイダーにおける要件とマッピング

ID プロバイダーの要件は、SAML 2.0 またはOpenID Connect のどちらを使用するかによって異なります。このセクションでは、各認証方式のクレーム要件について説明します。

**OpenID Connect**

* デフォルトでは、サブコントロールはユーザーのロールにマッピングされ、クレームはフェデレーションId にマッピングされます。オプションとして、**admin** ユーザーは、Sync で**Key Claim** プロパティを設定することにより、別のフィールド（例えば**oid**）を使用できます（**システム設定 > SSO > ユーザープロビジョニング**）。
* **email** クレームは、Sync の**Email Address** にマッピングされます。
* **preferred\_username** クレームは、Sync の**name** にマッピングされます。

**SAML 2.0**

* **NameID** と**Email** クレームは必須です。
* （オプション）**Name** クレームを追加できます。これは、Sync の**Username** にマッピングされます。
* （オプション）**Role** クレームを追加できます。これは、ユーザーのロールを制御します。

### Sync でのJIT 設定

Sync でJIT プロビジョニングを有効化および設定するには：

1. 次の手順でJIT プロビジョニングを有効にします：
   1. Sync で**システム設定 > SSO** を選択します。

   2. **編集**アイコン（![編集アイコン](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_edit-icon.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=7001296d680298a8f13e0ce82f38868d)）をクリックして、**ユーザープロビジョニング**ダイアログを開きます。

      ![JIT 設定ダイアログ](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_jit-configuration-in-sync_1.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=a2a69db329955c2bb07f9ce36a429945)

   3. **JIT プロビジョニング**ラベルの下で**有効化**を選択します。

   4. （オプション）まだ設定されていない場合は、**ロールを同期**リストからデフォルトロールを選択します。

   5. **保存**をクリックして選択内容を保存し、ダイアログを終了します。

ユーザーがログインすると、Sync は次の順序でロールを調整します：

1. [グループからロールへのマッピング](#グループからロールへのマッピング)で一致するものが見つかった場合、Sync はマッピングされたロール（複数可）を適用します。
2. クレームにロールが含まれている場合、Sync はそのロールを検索してユーザーアカウントを更新します。
3. **group** クレームが存在しない場合、またはマッピングされたSync ロールがない場合、アプリケーションはデフォルトロールを使用します。デフォルトロールは、グループマッピングが設定されているかどうかに関係なく適用されます。
4. 一致するグループマッピングがなく、デフォルトロールも設定されていない場合、アクセスは拒否されます。既存のロールは削除され、監査ログにエントリが書き込まれ、ユーザーには管理者に連絡するよう案内が表示されます。

### グループからロールへのマッピング

ロールクレームやデフォルトロールを通じたロールの割り当てに加えて、Sync はID プロバイダー（IdP）のグループをSync のロールにマッピングすることもサポートしています。この機能は、お使いのIdP（例えばMicrosoft Entra ID）が、認証トークン内にロール名の代わりにグループ識別子を発行する場合に役立ちます。

Sync でグループからロールへのマッピングを設定するには：

1. **システム設定 > SSO** を選択し、**編集**（![編集アイコン](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_edit-icon.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=7001296d680298a8f13e0ce82f38868d)）をクリックして、**ユーザープロビジョニング**ダイアログを開きます。

2. **グループマッピング**セクションまでスクロールし、**マッピングを追加**をクリックして新しいマッピングフィールドを開きます。

   ![グループマッピングフィールド](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_group-to-role-mapping_1.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=e81ec5baf4de661275cc16829be03a47)

3. Sync が行うチェックの内容に応じて、お使いのIdP が返す値を入力します：

   * **OpenID Connect：** Sync は、IdP レスポンス内の**groups** クレームの値のみをチェックします。

     > [!NOTE]
     >
     > Okta の場合、クレームにはグループ名が含まれることがあります。Microsoft Entra ID の場合、クレームにはグループ識別子（GUID）が含まれます。お使いのIdP が発行する内容に合わせてマッピングを設定してください。

   * **SAML 2.0：** Sync は、**role** クレームの値のみをチェックします。

   続いて、グループをマッピングしたいSync のロールを1つ以上選択します。

   ![グループからロールへのマッピング](https://mintcdn.com/cdata-sync/FaXQgwCWYQjGfVUG/26.4/images/Single-Sign-On_group-to-role-mapping_2.png?fit=max\&auto=format\&n=FaXQgwCWYQjGfVUG\&q=85\&s=8c564981014665f66cd323d55a706b5f)

4. マッピングの追加が完了したら、**保存**をクリックしてダイアログボックスを終了します。

   JIT プロビジョニングでユーザーがログインすると、Sync は前述の[ID プロバイダーにおける要件とマッピング](#id-プロバイダーにおける要件とマッピング)で説明したルールに従ってロールを割り当てます。

マッピングを削除するには、**削除**アイコン（![削除アイコン](https://mintcdn.com/cdata-sync/4njnJgdQs2eFHAEE/26.4/images/Delete_TrashCan_icon.png?fit=max\&auto=format\&n=4njnJgdQs2eFHAEE\&q=85\&s=bfe6164160ef650e0fa133922caa498b)）をクリックします。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.