SHANON MARKETING PLATFORM 管理者シングルサインオン機能ユーザーマニュアル管理者シングルサインオン機能ユーザーマニュアル Ver /06/01 株式会社シャノン Copyright SHANON Co., Ltd. All Rights Reserved.

Size: px

Start display at page:

こうじおおふさ
4 years ago
Views:

1 管理者シングルサインオン機能ユーザーマニュアル Ver /06/01 株式会社シャノン 1

2 目次目次 1. 概要 1-1. このマニュアルについて 1-2. 本機能の概要 1-3. 用語と略称について 2. 基本仕様 2-1. 技術仕様 2-2. 制約事項 2-3. 動作確認済の製品サービス動作確認済のIDプロバイダ 2-4. パラメータ SMPをサービスプロバイダとして利用するときのパラメータ 3. 管理ユーザーのID 体系の設計 3-1. ユーザーの照合について 3-2. ID 体系を設計する前に調べておくこと 3-3. ID 体系の設計 3-4. ID 体系の設計例 SMPを新規導入しほぼシングルサインオンだけで運用する場合 SMPを新規導入しシングルサインオンと直接ログインを併用する場合独自のID 体系を持つ既存のSMPをシングルサインオンに全面移行する場合 4. 設定手順 4-1. 一般的な設定手順 SMPの管理者シングルサインオン機能の有効化 SMPの情報をIDプロバイダ側に登録 IDプロバイダの情報をSMP 側に登録シングルサインオンのテスト管理ユーザーのプロビジョニング運用開始 4-2. 管理者シングルサインオン設定画面管理者シングルサインオン設定画面の開き方管理者シングルサインオン設定画面管理者シングルサインオン設定編集画面 4-3. 管理ユーザーのプロビジョニング管理ユーザーの登録管理ユーザー単位でのシングルサインオン設定 5. 注意事項 5-1. セキュリティに関する注意事項 5-2. その他の注意事項 2

3 6. トラブルシューティング 6-1. すべてのユーザーでシングルサインオンできない場合 6-2. 一部のユーザーでシングルサインオンできない場合付録 A. サービスプロバイダ起点のシングルサインオン ( 試用版 ) A-1. サービスプロバイダ起点のシングルサインオンとは A-2. サービスプロバイダ起点のシングルサインオンの流れ A-3. サービスプロバイダ起点のシングルサインオンの設定方法本マニュアルに記載されている会社名製品名はそれぞれ各社の商標および登録商標です 3

4 1. 概要 1-1. このマニュアルについてこのマニュアルは SHANON MARKETING PLATFORM ( 以下 SMP) の管理者シングルサインオン機能 ( 以下本機能 ) について製品仕様と利用方法を解説するための文書です本機能の導入検討および設定内容の検討などにご利用ください本マニュアルは企業向け情報システムにおけるユーザー認証の仕組みと一般的なシングルサインオンの動作原理についてある程度の知識を有する方を対象に作成しております本機能で使用する各種規格やプロトコル等についてはそれぞれの策定団体企業等から提供されるドキュメントをご参照くださいまた本機能のご利用にあたっては連携先となるシステムや製品サービスの仕様や制約事項等についても十分理解しておく必要があります連携先のシステムや製品サービスから提供されている各種ドキュメントも併せてご利用ください 1-2. 本機能の概要本機能は SMP 管理画面のユーザー認証においてシングルサインオンを利用可能にするためのものです本機能を有効にすると SMP 管理画面のユーザー認証の一部を SMP の外部にあるシステムに委託できるようになります例えば社内システムの ID パスワード認証機能を利用しそのまま SMP 管理画面にログインできます本機能を利用してユーザー認証を1つのシステムに集約すると以下のようなメリットが得られますアカウント管理の省力化システム管理者は SMP 管理画面専用のID パスワードをユーザーに配布する必要がなくなりますシステム管理者は SMPを含めたアクセス可否を1ヶ所で集中管理できるようになりますセキュリティの向上ユーザー認証を集約したシステム側に多要素認証や生体認証などの高度な認証技術を導入するとシングルサインオン時にも高度な認証技術を適用できますこのためシングルサインオン先も含めてセキュリティ水準を全体的に底上げしやすくなります人事異動や退職に伴うアカウントの停止削除作業も集約できるためアカウントの停止漏れに起因する情報漏洩リスクを軽減することができます SMP 管理画面ユーザーの利便性の向上ユーザーは SMP 管理画面専用のID パスワードを覚える必要がなくなります認証済みのユーザーは ID パスワードを入力することなくSMPを利用できるようになりますまた本機能には以下のような特徴があります SAML 2.0 規格に準拠企業向けシステムにおけるシングルサインオンの標準規格として広く普及している SAML (Security Assertion Markup Language) 2.0 に準拠しています SMPは SAML 2.0 におけるサービスプロバイダ (SP) として動作しますシングルサインオンと直接ログインを併用可能 1つのSMPドメインの中で外部システムによるユーザー認証 ( シングルサインオン ) と SMP 内のID パスワードによるユーザー認証 ( 直接ログイン ) を併用することができます業務委託先や臨時従業員に対してユーザー認証を行う外部システムのアカウントを割り当てられない場合でも SMPに登録したID パスワードで直接ログインさせることが可能です 4

5 管理ユーザー単位でログインを許可する経路 ( シングルサインオン直接ログイン ) を指定できるほか両方の経路からのログインを許可することもできますこれにより従来の直接ログインからシングルサインオンへの段階的な移行が容易になります 1-3. 用語と略称について本マニュアルにおける用語および略称について説明します用語と略称シングルサインオン (SSO) ID プロバイダ (IdP) サービスプロバイダ (SP) SMP 管理ユーザー直接ログインログイン経路 SAML SAML アサーションプロビジョニング意味一度のユーザー認証処理で異なる複数のシステムへアクセス可能にすることアカウントを管理しユーザー認証処理を担当するシステムのことサービスプロバイダと信頼関係を構築しユーザー認証の処理を代行するユーザーに対してサービスやアプリケーションを提供する側のシステムのこと ID プロバイダと信頼関係を構築しユーザー認証の処理を ID プロバイダに委託する SMP の管理画面を利用できるユーザーのことシングルサインオン経由でログインする場合も直接ログインする場合も SMP 上ではどちらも管理ユーザーとして同列に扱うシングルサインオンを利用せず SMP に対して直接ログインすることユーザー認証の処理は SMP が担当し SMP に登録された管理ユーザーのログイン ID とパスワードを用いてログインする直接ログインに ID プロバイダは関与しない SMP 管理ユーザーがログインするときに利用した認証経路のこと SMP の場合シングルサインオン経由と直接ログインの 2 つの経路がある Security Assertion Markup Language の略シングルサインオンを実現するための標準規格で多くの製品サービスで採用されている詳しくは以下の URL を参照 ID プロバイダがユーザー認証を行った結果を XML 文書の形式で記述したもの ID プロバイダが発行した SAML アサーションをサービスプロバイダが受け取り署名検証と解釈を行うことでシングルサインオンが実現されるシングルサインオン対象となるユーザーの情報をあらかじめサービスプロバイダ側に登録しておく作業のこと所属グループやロールの設定なども含む 5

6 2. 基本仕様本章では本機能の基本的な仕様について記載します 2-1. 技術仕様本機能の技術的な仕様は以下の通りですシングルサインオン仕様 SAML 2.0 に準拠したシングルサインオンができます SAMLプロファイルのうち Web ブラウザ SSO プロファイルに対応します SMPは SAML 2.0のサービスプロバイダ (SP) として振る舞います IDプロバイダ側を起点とするシングルサインオン (IdP-initiated SSO) に対応しています SMP 側を起点とするシングルサインオン (SP-initiated SSO) は試用版として試験提供中でサポート対象外です詳しくは付録 A1. サービスプロバイダ起点のシングルサインオン ( 試用版 ) をご覧ください SAMLアサーション仕様 IDプロバイダからのレスポンスは HTTP POST で受け付けます SMPは IDプロバイダ発行の証明書を利用してレスポンスに含まれるSAMLアサーションの署名を検証します SMPは署名の検証に成功した場合のみシングルサインオンを受け入れます SAMLアサーションには IDプロバイダによる署名が必須です SAMLアサーションを対象範囲とした署名について検証を行いますレスポンス全体に対する署名には対応していません SMPは SAMLアサーションの Subject 内にある NameIdentifier (NameID) 要素の文字列を用いて SMP 側の管理ユーザーと照合します照合対象とする管理ユーザーの項目はログインID と外部 IDプロバイダ用ユーザ識別子のいずれか1つです詳しくは3-1. ユーザーの照合についてをご覧ください署名検証に用いるIDプロバイダ発行の証明書は Base64エンコードされた形式に対応しています本機能では SAMLアサーションの属性 (AttributeAssertion) は利用しませんその他の技術仕様シングルサインオンに関わる SMP のすべてのリクエストとレスポンスには SSL を使用します 2-2. 制約事項本機能では実現できないことや本機能を利用する際の条件など制約事項について記載します本機能では実現できないこと本機能は以下の各項に対応しておりません SAMLプロファイルのうち Webシングルログアウトプロファイルには対応していません SMPをログアウトしても IDプロバイダ側のログイン状態は維持されています IDプロバイダ側でログアウトしても SMPのログイン状態は維持されています SAMLアサーションの暗号化には対応していません本機能をご利用いただくための前提条件 6

7 本機能をご利用いただくには以下の前提条件があります SMP 上のパスワードが暗号化されている必要があります本機能をご利用いただく上での制約事項本機能をご利用いただく場合以下のような制約があります本機能は SMPの以下の機能と併用することができませんサイト認証機能クローズドサイト以下の機能サービスはシングルサインオン経由のログインでご利用いただくことができません Tableau Desktop アプリ SMP 名刺スキャンアプリ (Windows 用 ) シャノン名刺アプリ ( スマートフォン用 ) SMP 側に登録されたID パスワードによるログインにてご利用ください本機能とユーザ認証 API (authapi.login) による管理者の認証機能を併用する場合先にシングルサインオン経由のログインを済ませてからユーザ認証 APIを利用する必要があります SMPへのログインが済んでいない状態でユーザ認証 APIを利用する場合直接ログインのみ可能です本機能の設定を終えた後にSMPのドメイン名を変更した場合シングルサインオンの設定を最初からやり直す必要があります本機能をSMPのSandbox 環境でご利用いただく場合ログイン経路を問わずBasic 認証も適用されます 2-3. 動作確認済の製品サービス他社の製品サービスと組み合わせた動作確認状況は以下の通りです動作確認済の ID プロバイダ 2018 年 5 月時点で以下の ID プロバイダとの組み合わせによるシングルサインオンの動作を確認済です Azure Active Directory (Microsoft) SMPをサービスプロバイダとして設定するには Azure Active Directory の Premium P1/P2 エディションのライセンスが必要です Free および Basic エディションでは設定ができません G Suite (Google) Salesforce (salesforce.com) 注意上記の製品サービスは実稼働環境に対して一般的な設定を行った際の動作実績に基づいて記載しております SMP と組み合わせてご利用いただくにあたりお客様のご利用環境によっては ID プロバイダやネットワークなどの設定変更が必要となる可能性があります上記の製品サービスにおいてバージョンアップや仕様変更が行われた場合も本機能の動作に影響が及ぶ可能性があります 2-4. パラメータ設定時には以下のパラメータをご利用ください SMP をサービスプロバイダとして利用するときのパラメータ 7

8 ID プロバイダ側に対して以下のパラメータを設定してくださいパラメータ名 SP エンティティ ID コンシューマー URL ドメイン名 >/public/admin/saml ドメイン名 >/public/admin/saml/consume 値注意末尾に / ( スラッシュ ) は付加しないでください ID プロバイダによってパラメータの呼称が異なります例えば SP エンティティ ID は SP 識別子コンシューマー URL は応答 URL ACS URL などと表記されることがあります SP メタデータは提供しておりません上記パラメータを手動にて設定していただく必要があります 8

9 3. 管理ユーザーの ID 体系の設計本章では SMP 管理ユーザーの ID 体系の決め方について説明しますシングルサインオンの運用開始後に管理ユーザーの ID 体系を変更するには多大な労力を要しますシングルサインオンの設定作業に着手する前にまずはユースケースに適する ID 体系を設計することを推奨します 3-1. ユーザーの照合についてシングルサインオンを行うとき ID プロバイダはユーザー認証認可の処理結果に基づき SAML アサーションを発行しますサービスプロバイダである SMP は受け取った SAML アサーションを検証し SMP 内に登録された管理ユーザーがログインしたものとして読み替えてアクセスを受け容れますこのとき SMP では ID プロバイダ側で認証認可されたユーザーに対応する SMP 管理ユーザーを探す処理を行いますこれをユーザーの照合と呼びますユーザーの照合を行う際 SMP は以下の値を使用します ID プロバイダ側のユーザー :SAML アサーションの Subject に含まれる NameIdentifier の文字列 SMP 側の管理ユーザー : ログイン ID または外部 ID プロバイダ用ユーザ識別子の文字列 ( 管理者シングルサインオン設定画面でいずれかを選択 ) 3-2. ID 体系を設計する前に調べておくこと ID 体系を設計する前に以下の各項を決定または調査してください IDプロバイダ側で用いているID 体系 IDプロバイダ側がどのようなID 体系を用いているかをお調べください一般的にはログイン画面にIDとして入力する文字列の形式で判別できます ( 例 ) メールアドレス ( 例 ) ( アットマーク ) より前の部分 ( 例 ) 社員番号 IDプロバイダがSAMLアサーションの NameIdentifier に出力できる値 SAMLアサーションの NameIdentifier にどのような値を出力できるかをお調べください出力できる値は採用している製品サービスのほか個社ごとの利用形態によっても異なりますので IDプロバイダを管理しているシステム管理者の方にお問い合わせください一般的にログイン画面にIDとして入力する文字列はそのまま出力できることが多いですまた製品サービスによっては別の値を出力できることもありますシングルサインオンと直接ログインの併用の有無またすでに SMP をご利用いただいているドメインで管理者シングルサインオン機能の利用を開始する場合は以下の各項についても調査してください既存の SMP 管理ユーザーの ID 体系 SMP のシステム設定における認証ログインキーの設定内容 3-3. ID 体系の設計 ID 体系を設計する前に以下の各項を決定または調査してください 9

10 3-4. ID 体系の設計例一般的なユースケースに合わせた ID 体系の設計例を記載します個別の要求事項や制約事項を考慮したうえで適宜アレンジしてご利用ください SMP を新規導入しほぼシングルサインオンだけで運用する場合システム管理者を除き原則としてシングルサインオン経由でログインするケースです ID プロバイダ側がメールアドレス主体の ID 体系で運営されている場合はユーザー照合に使用する文字列も含めメールアドレスで統一しておくことを推奨します IDプロバイダのID 体系 : メールアドレスでログイン NameIdentifier の出力値 : メールアドレスを出力 SMP 管理ユーザーのID 体系 : ログインIDにの文字列を使用ユーザ照合項目の設定 : ログインIDで照合外部 IDプロバイダ用ユーザ識別子 : すべて空欄備考上記例では SMP のシステム設定の認証ログインキーは login_id に設定しログイン ID 欄にメールアドレスの文字列を登録することを推奨します認証ログインキーをに設定してもシングルサインオンは利用可能ですがあとでシングルサインオンと直接ログインを併用するのが難しくなります SMP を新規導入しシングルサインオンと直接ログインを併用する場合 ID プロバイダ側がメールアドレス主体の ID 体系で運営されており社員はシングルサインオン経由でログインするものの SMP を操作する一部の業務委託先には ID プロバイダ側のアカウントが発行されていないため業務委託先の担当者は SMP に直接ログインするようなケースですこの場合もログイン ID の項目に登録されたメールアドレスの文字列でユーザー照合することを推奨しますが直接ログインする管理ユーザーとログイン ID の文字列が衝突しないように注意してください IDプロバイダのID 体系 : メールアドレスでログイン NameIdentifier の出力値 : メールアドレスを出力 SMP 管理ユーザーのID 体系 : 社員はの文字列業務委託先はではない文字列ユーザ照合項目の設定 : ログインIDで照合外部 IDプロバイダ用ユーザ識別子 : すべて空欄備考上記例では SMP のシステム設定の認証ログインキーは login_id に設定しログイン ID 欄にメールアドレスの文字列を登録することを推奨します認証ログインキーをに設定した場合 SMP に直接ログインする業務委託先ユーザーにも何らかのメールアドレスを登録する必要が生じます独自の ID 体系を持つ既存の SMP をシングルサインオンに全面移行する場合既存の SMP ドメインを原則としてシングルサインオン経由のログインに移行するケースです ID プロバイダ側がメールアドレス主体で運営されているのに対し SMP の既存の管理ユーザーはこれと異なる独自の ID 体系で運営されてきましたこの場合管理ユーザーの外部 ID プロバイダ用ユーザ識別子にメールアドレスの文字列を登録してユーザー照合に利用することで SMP 側のログイン ID 体系を変更することなくシングルサインオンに移行できます 10

11 IDプロバイダのID 体系 : メールアドレスでログイン NameIdentifier の出力値 : メールアドレスを出力 SMP 管理ユーザーのID 体系 : 以前から使ってきた独自の文字列ユーザ照合項目の設定 : ユーザ識別子で照合外部 IDプロバイダ用ユーザ識別子 : メールアドレスの文字列を登録 11

12 4. 設定手順本章では SMP 管理者シングルサインオン機能の設定手順について記載します外部の ID プロバイダを利用し SMP をサービスプロバイダとするときの設定手順を解説します 4-1. 一般的な設定手順外部の ID プロバイダとの間でシングルサインオンを実現するための一般的な設定手順は以下の通りです 1. SMP の管理者シングルサインオン機能を有効化 2. SMP の情報を ID プロバイダ側に登録 3. ID プロバイダの情報を SMP 側に登録 4. シングルサインオンをテスト 5. 管理ユーザーのプロビジョニング 6. シングルサインオンの運用開始 ID プロバイダによっては上記の手順が一部入れ替わることがありますなおすでに SMP をご利用いただいているお客様が本機能をご利用になる場合はまず SMP の Sandbox 環境にて上記手順の 1~4 を実行しシングルサインオンの可否を検証していただくことを強く推奨いたします検証の結果に問題がなければ実運用環境で上記手順の 1~6 を実施してください SMP の管理者シングルサインオン機能の有効化まず SMP の管理者シングルサインオン機能を有効化します SMP 管理画面で設定タブを選択したとき左側のメニューに管理者シングルサインオン設定のリンクが表示されていれば本機能はご利用いただけます上記のリンクが表示されていない場合はロール設定のメニューより管理者シングルサインオン設定の画面を ON に変更しアクセスを許可してくださいこの画面内に管理者シングルサインオン設定の設定項目が見つからない場合は弊社営業担当までお問い合わせください SMP の情報を ID プロバイダ側に登録次に ID プロバイダ側に SMP の情報を登録します ID プロバイダ側としたいシステムで SAML 2.0 に基づく ID プロバイダとしての機能が有効化されていない場合はまず機能を有効化してください次いで新しいサービスプロバイダとして SMP を登録します SMP を SP として利用するときのパラメータに記載されたパラメータを使用してサービスプロバイダを登録してください設定項目名や操作手順は ID プロバイダごとに異なります ID プロバイダ側となる製品サービスの説明書やヘルプなどをよくお読みくださいサービスプロバイダ情報を登録したら ID プロバイダから設定パラメータと証明書を入手してください通常はどちらも ID プロバイダ側の設定画面から入手可能ですこの設定パラメータと証明書は ID プロバイダ情報としてサービスプロバイダである SMP に登録します ID プロバイダの情報を SMP 側に登録 ID プロバイダ側での登録作業が終わったら今度は ID プロバイダの情報を SMP 側に登録します ID プロバイダから入手した設定パラメータと証明書を管理者シングルサインオン設定画面に登録してください証明書はファイルをアップロードします具体的な設定画面の操作手順は 4-2. 管理者シングルサインオン設定画面をご覧ください 12

13 シングルサインオンのテスト IDプロバイダとサービスプロバイダの両方の設定が終わったらシングルサインオンをテストしますテストの手順は以下の通りです IDプロバイダ側にテスト用アカウントを用意してください SMP 側にテスト用の管理ユーザーを登録してくださいユーザー照合にログインIDを利用する場合テスト用管理ユーザーのログインIDは IDプロバイダが出力するNameIdentifierと同じ値を使用してくださいユーザー照合に外部 IDプロバイダ用のユーザ識別子を利用する場合 IDプロバイダが出力するNameIdentifierと同じ値をテスト用管理ユーザーの外部 IDプロバイダ用のユーザ識別子に登録しておいてくださいテスト用の管理ユーザーの設定を変更し外部 IDプロバイダ経由のログインを許可するに設定してくださいテストするブラウザでSMPにログインしている場合は SMPからログアウトしてくださいテスト用アカウントでIDプロバイダにログインした後シングルサインオン用のリンクを経由して SMPへのログインができることを確認してくださいテストが正常に完了したら正式運用開始に向けたプロビジョニングを行います管理ユーザーのプロビジョニングシングルサインオンの対象となる SMP 管理ユーザーをあらかじめ SMP 側に準備しておきます新しい SMP 管理ユーザーとして登録するほか既存の SMP 管理ユーザーを利用することもできますユーザー情報を登録更新し適切なロールを割り当てておきます具体的な作業手順については 4-3. 管理ユーザーのプロビジョニングをご覧ください運用開始プロビジョニングが終わったらシングルサインオンを許可するユーザーから順に外部 ID プロバイダ経由のログインを許可するに設定を変更してください最初はシングルサインオン経由と直接ログインの両方を許可しますシングルサインオン経由でのログインに問題がないことが確認できたら順次直接ログインを停止してログイン経路をシングルサインオン経由のみに限定していくと移行しやすいです 4-2. 管理者シングルサインオン設定画面 SMP の管理者シングルサインオン設定画面の項目と操作方法を解説します管理者シングルサインオン設定画面の開き方設定画面を開くときは以下の手順に従ってください 1. SMPに特権管理者権限でログインする 2. 設定タブをクリックする 3. 左側のメニューから管理者シングルサインオン設定をクリックする 13

14 < 図 1: 管理者シングルサインオン設定のメニュー位置 > 管理者シングルサインオン設定画面設定画面の表示項目と操作方法を解説します < 図 2: 管理者シングルサインオン設定画面 > 設定名ボタン名意味備考 14

15 ID プロバイダ名 ID プロバイダの証明書 ID プロバイダのエンティティ ID ログイン URL シングルサインオンのバインディング (*) ユーザ照合項目認証リクエストへの署名 (*) サービスプロバイダの証明書 (*) 編集ボタン ID プロバイダの名称です ID プロバイダから取得した証明書の登録状態です登録されている場合は証明書の有効期限も表示されます ID プロバイダから指定されたエンティティ ID です ID プロバイダから指定されたログイン URL ですサービスプロバイダ起点のシングルサインオンにおいて使用するサービスプロバイダから ID プロバイダへの遷移方式です既定値は Redirect です ID プロバイダで認証されたユーザーを SMP の管理ユーザーと照合するときに使用する項目名です既定値はログイン ID で照合ですサービスプロバイダ起点のシングルサインオンにおいて ID プロバイダに対して送信する認証リクエストへの署名の有無です既定値はしないです ID プロバイダが認証リクエストの署名を検証するときに使用する証明書です認証リクエストへの署名がするに設定されている場合のみ表示されます発行済のリンクをクリックすると証明書をダウンロードすることができます入手した証明書は ID プロバイダに登録してくださいクリックすると管理者シングルサインオン設定編集画面に遷移します備考 (*) のついた設定名はサービスプロバイダ起点のシングルサインオンにおいて使用する項目です ID プロバイダ起点のシングルサインオンのみを利用する場合は既定値のままにしてください詳しい設定方法は付録 A. サービスプロバイダ起点のシングルサインオン ( 試用版 ) もご参照くださいまだ設定を登録していない場合設定項目は何も表示されません管理者シングルサインオン設定編集画面編集画面の表示項目と操作方法を解説します 15

< 図 3: 管理者シングルサインオン設定編集画面 > 設定名ボタン名必須意味備考 ID プロバイダ名必須 ID プロバイダの名称を登録します ID プロバイダの証明書 ID プロバイダのエンティティ ID ログイン URL シングルサインオンのバインディング (*) ユーザ照合項目必須必須必須必須必須 ID プロバイダから取得した証明書を登録します参照ボタンをクリックし

16 < 図 3: 管理者シングルサインオン設定編集画面 > 設定名ボタン名必須意味備考 ID プロバイダ名必須 ID プロバイダの名称を登録します ID プロバイダの証明書 ID プロバイダのエンティティ ID ログイン URL シングルサインオンのバインディング (*) ユーザ照合項目必須必須必須必須必須 ID プロバイダから取得した証明書を登録します参照ボタンをクリックし証明書ファイル (.pem) を指定してくださいすでに証明書が登録されている場合も新しい証明書ファイルを参照することで上書き登録ができます ID プロバイダから指定されたエンティティ ID を登録します必ずで始まる文字列を登録してください ID プロバイダから指定されたログイン URL を登録します必ずで始まる文字列を登録してくださいサービスプロバイダ起点のシングルサインオンにおいて使用するサービスプロバイダから ID プロバイダへの遷移方式を選択します Redirect : リダイレクトで遷移します Post :POST で遷移します既定値は Redirect です認証リクエストへ署名する場合は認証リクエストのサイズが大きくなるため Post を選択することを推奨します ID プロバイダで認証されたユーザを SMP の管理ユーザと照合するときに使用する項目名を選択しますログイン ID で照合 : ログイン ID と照合しますユーザ識別子で照合 : 外部 ID プロバイダ用ユーザ識別子と照合します既定値はログイン ID で照合です 16

17 認証リクエストへの署名 (*) 必須サービスプロバイダ起点のシングルサインオンにおいて ID プロバイダに対して送信する認証リクエストへの署名の有無を選択しますしない : 認証リクエストに署名を付加しませんする : 認証リクエストに署名を付加します既定値はしないです ID プロバイダが認証リクエストの署名を検証するときに使用する証明書を発行します認証リクエストへの署名がするに設定されている場合のみ表示されますサービスプロバイダの証明書 (*) 必須まだ SP 証明書を発行したことがない場合発行しない : 証明書を発行しません発行する : 新しい証明書を発行します既定値は発行しないです SP 証明書が発行済の場合使用を継続 : 現在の証明書をそのまま使います破棄して再発行 : 新しい証明書を発行し切り替えます既定値は使用を継続です登録ボタンクリックすると設定を登録します備考サービスプロバイダの証明書の有効期間は発行から 5 年間です 4-3. 管理ユーザーのプロビジョニングシングルサインオンを動作させるには ID プロバイダ側のユーザーに対応するサービスプロバイダ側のユーザーをあらかじめ準備する必要がありますこの準備作業のことをプロビジョニングと呼びます SMP 管理ユーザーの新規登録によるプロビジョニングのほか既存の SMP 管理ユーザーを利用したプロビジョニングも可能です管理ユーザーの登録 ID プロバイダ側のユーザーに対応する SMP 側の管理ユーザーが登録されていない場合はまず SMP に管理ユーザーを登録する必要がありますシングルサインオンで使用するユーザーの登録方法は通常の管理ユーザーの登録方法と全く同じです 1 件ずつ登録したいときは設定タブのユーザ設定メニューより新規登録ボタンを押してユーザーを登録します複数のユーザーをまとめて登録したいときは設定タブのユーザ設定メニューより一括登録ボタンを押して CSV ファイルをアップロードしますユーザーの登録が終わった後必要に応じて適宜グループやロールの設定を行ってくださいなお既存の SMP の管理ユーザーをそのまま利用してシングルサインオンに移行する場合管理ユーザーを別途登録する必要はありません注意シングルサインオン機能を利用する SMP ドメインにおいては設定画面にアクセスできるユーザーを最 17

18 小限に絞り込んでください CSV ファイルから管理ユーザーを一括登録更新する場合自動送信メール管理者登録時 ( アカウント発行者宛 ) を送信する設定になっていると登録更新した件数分のメールが自動的に送信されてしまいますこれを避けるには全キャンペーン管理モードでメールタブ内のメール設定メニューを選択し管理者登録時 ( アカウント発行者宛 ) の自動送信設定をあらかじめ OFF に設定してください管理ユーザー単位でのシングルサインオン設定用意した管理ユーザーに対してシングルサインオンを許可する設定を行いますまた外部 ID プロバイダ用ユーザ識別子の値を用いてユーザー照合する場合は管理ユーザーに外部 ID プロバイダ用ユーザ識別子の値を登録してユーザー照合が可能な状態にします本機能を有効化すると管理ユーザーに対して以下の項目を設定できるようになります設定名ボタン名必須意味備考直接ログイン任意 SMP に対する直接ログイン (SMP のログイン画面に ID パスワードを入力するログイン ) の可否を設定します許可する : 直接ログインを許可します許可しない : 直接ログインを拒否します外部 ID プロバイダ経由のログイン外部 ID プロバイダ用ユーザ識別子任意任意管理ユーザーの新規登録時の既定値は許可するです外部 IDプロバイダを経由したシングルサインオンの可否を設定します許可する : シングルサインオンを許可します許可しない : シングルサインオンを拒否します管理ユーザーの新規登録時の既定値は許可しないです外部 ID プロバイダとのユーザー照合に使用する文字列を登録します登録する文字列は SMP ドメイン内で一意である必要があります管理者シングルサインオン設定においてユーザ照合項目の設定がユーザ識別子で照合に設定されている場合のみ使用されます上記の各項目は管理ユーザーの詳細編集画面から確認編集できるほか CSV ファイルによる管理ユーザーの一括登録変更からもご利用いただけます注意現時点で上記の各項目を API 経由で参照更新することはできません直接ログインと外部 ID プロバイダ経由のログインの両方の項目を許可しないに設定するとこのユーザーは SMP 管理画面にログインできなくなります直接ログインの項目を許可しないに設定したときも Tableau Desktop アプリへの直接ログインを禁止することはできません表示項目設定ツールを適用している SMP ドメインでは本機能を有効化しても上記の設定項目は表示されません表示項目設定ツールを適用しないグループに所属する管理ユーザーで SMP にログインし設定を行ってください 18

19 < 図 4: 管理ユーザ詳細画面に追加されたシングルサインオン関連の設定項目 > 19

20 5. 注意事項本章では本機能のご利用にあたって注意していただきたい事項について記載します 5-1. セキュリティに関する注意事項本機能をご利用いただく場合セキュリティ確保のために以下の点にご注意ください本機能を利用する場合設定画面のアクセス権を付与する管理ユーザーを極力限定してください管理ユーザー情報を変更する権限を有する場合ログイン ID や外部 ID プロバイダ側のユーザ識別子の値を書き換えることでシングルサインオン経由でログインしてくるユーザーの照合先を意図的に変更することができます但しユーザー認証そのものは ID プロバイダ側で実行されるため任意のアカウントになりすますことはできませんシングルサインオン経由でのログインを強制する場合直接ログインの項目を許可しないに設定しても Tableau Desktop アプリへの直接ログインを禁止できない点に留意してください 5-2. その他の注意事項その他の注意事項は以下の通りですすべての管理ユーザーをシングルサインオン経由でのログインに限定することは避けてください ID プロバイダ側やシングルサインオン周りで障害が発生したときシステム管理者を含め SMP に一切ログインができなくなるためです常用する管理ユーザーはすべてシングルサインオン経由としておき SMP に直接ログインできるシステム管理者権限の管理ユーザー ( 非常用 ) を最低でも 1 つは残しておくことを強く推奨しますシングルサインオン経由でログインする管理ユーザーであっても SMP に直接ログインするためのログイン ID とパスワードが登録されていますログイン経路をシングルサインオン経由に限定している管理ユーザーであっても管理ユーザー向けのログイン画面からパスワードをお忘れの方はこちらのリンクを経由すると管理者パスワードを再設定することができます但し直接ログインを許可しない設定とすれば管理ユーザーはログイン ID パスワードを入力しても SMP に直接ログインすることはできません SMP がシングルサインオンのユーザー照合で使用するログイン ID および外部 ID プロバイダ用のユーザ識別子の項目はそれぞれ 1 つの SMP ドメイン内で一意性を確保していますしかし ID プロバイダ側で別々のユーザーに対して同じ NameIdentifier を出力すると ID プロバイダ側では別々のユーザーが SMP 上では 1 人のユーザーとして扱われる事象が発生しますこのような事象を防止するため ID プロバイダ側のユーザーごとに異なる NameIdentifier が出力されるよう ID プロバイダ側で適切な設定を行ってください 20

21 6. トラブルシューティング本章では本機能のご利用に関して発生した不具合の特定方法とその解決手順について記載します 6-1. すべてのユーザーでシングルサインオンできない場合すべてのユーザーでシングルサインオンが正しく動作しない場合以下の各項をご確認ください IDプロバイダ側に設定したサービスプロバイダ情報が誤っていませんか? IDプロバイダ側の設定画面をよくご覧になり設定内容に誤りがないことをお確かめください SMP 側に設定したIDプロバイダ情報が誤っていませんか? SMPの管理者シングルサインオン設定画面をよくご覧になり IDプロバイダから提供されたパラメータが正しく登録されていることをお確かめください同様に IDプロバイダから提供された証明書が正しく登録されていることをお確かめください証明書には有効期限があります IDプロバイダから提供された証明書の有効期限が切れていないことをお確かめください IDプロバイダから発行されたユーザー識別子と SMP 側のユーザー照合項目は一致していますか? SMPの管理者シングルサインオン設定画面でユーザ照合項目の設定がログインIDで照合となっている場合 IDプロバイダから発行されるSAMLアサーションに含まれる NameIdentifierが SMPのログインIDと一致していることをお確かめください同様にユーザ照合項目の設定がユーザ識別子で照合となっている場合以下の2 点をお確かめください SMPの管理ユーザーの外部 IDプロバイダ用ユーザ識別子項目にユーザー照合用の文字列が登録されていること IDプロバイダから発行されるSAMLアサーションに含まれるNameIdentifierが SMPの管理ユーザーの外部 IDプロバイダ用ユーザ識別子と一致していること SAMLアサーションに含まれるNameIdentifierが意図通りに出力されていない場合は IDプロバイダ側の設定を変更していただく必要があります管理者シングルサインオン機能と併用できない機能を利用していませんか? SMPの一部機能は管理者シングルサインオン機能と併用することができません 6-2. 一部のユーザーでシングルサインオンできない場合一部のユーザーでシングルサインオンが正しく動作しない場合以下の各項をご確認くださいあらかじめSMP 側で管理ユーザーをプロビジョニングしましたか? 管理者シングルサインオン機能を利用する場合も SMP 側にあらかじめ管理ユーザーを登録し適切なロールを割り当てておく必要があります IDプロバイダから発行されたユーザー識別子と SMP 側のユーザー照合項目は一致していますか? IDプロバイダから発行されるSAMLアサーションに含まれるNameIdentifierを調べたうえでユーザー照合項目が合致するSMP 管理ユーザーが存在することをお確かめください特にユーザ照合項目の設定がユーザ識別子で照合となっている場合 SMPの管理ユーザに外部 IDプロバイダ用ユーザ識別子の項目が登録されていることをお確かめください管理ユーザーのシングルサインオンを許可していますか? 管理ユーザーの外部 IDプロバイダ経由のログイン設定が許可するになっていることをお確かめください 21

22 付録 A. サービスプロバイダ起点のシングルサインオン ( 試用版 ) 現時点では ID プロバイダ側を起点としたシングルサインオン (IdP-initiated SSO) のみ正式対応しておりますがサービスプロバイダ側を起点とするシングルサインオン (SP-initiated SSO) 機能も試験的に提供しておりますまだ正式機能ではない試用版ですが一般的なサービスプロバイダ起点のシングルサインオンの大部分を実現できますなお試用版のためサポート対象外とさせていただきます本機能の試用中に発生した損失はいかなる場合であっても補償いたしかねます A-1. サービスプロバイダ起点のシングルサインオンとは ID プロバイダ起点のシングルサインオンでは ID プロバイダ側に設置された専用のリンクを介してシングルサインオンを行いますこのため SMP のようなサービスプロバイダの画面に直接アクセスしたときはシングルサインオンを利用することができませんこれに対しサービスプロバイダ起点のシングルサインオンではサービスプロバイダ側の画面からもシングルサインオンを開始することができます具体的にはサービスプロバイダ側のログイン画面などにシングルサインオン開始用のリンクを設置しこのリンクを経由することで ID プロバイダの認証を受けられるようにします ID プロバイダ起点のシングルサインオンに加えサービスプロバイダ起点のシングルサインオンを併用するとどのようなログイン経路でもシングルサインオンが選択可能となるためユーザーの利便性が大きく高まります A-2. サービスプロバイダ起点のシングルサインオンの流れユーザーが以下の URL にアクセスすると SMP はユーザーの Web ブラウザを介して ID プロバイダ宛に認証リクエストを送信しますこれにより ID プロバイダに対してユーザーの認証を依頼します SP-initiated SSO 開始用 URL ドメイン >/public/admin/saml/login ID プロバイダ側で認証処理が行われると ID プロバイダはユーザーの Web ブラウザを介してサービスプロバイダである SMP にレスポンスを返します以後の流れは ID プロバイダ起点のシングルサインオンと同じです ID プロバイダ起点のシングルサインオンとの違いは最初にサービスプロバイダから ID プロバイダ宛に認証リクエストを送信する点だけです A-3. サービスプロバイダ起点のシングルサインオンの設定方法サービスプロバイダ起点のシングルサインオンを利用するには以下の 2 つの設定作業が必要です管理者シングルサインオン設定画面で SP-initiated SSO 用の項目に設定を追加する管理者向けのログイン画面の HTML テンプレートを編集しシングルサインオン開始用 URL へのリンクを設置する管理者シングルサインオン設定画面への追加設定内容について必要に応じて以下の設定を追加してください詳しい設定方法は 4-2. 管理者シングルサインオン設定画面をご覧くださいシングルサインオンのバインディング IDプロバイダへの認証リクエスト (AuthN Request) 送信に用いるバインディングを選択できます RedirectとPostから選択可能です既定値は Redirect です 22

23 認証リクエストへの署名 IDプロバイダに送る認証リクエストについてサービスプロバイダの署名の有無を選択できます署名する署名しないから選択可能です既定値は署名しないです IDプロバイダが署名を要求する場合のみ署名するに設定してくださいサービスプロバイダの証明書 IDプロバイダに送る認証リクエストに署名する場合 IDプロバイダが署名検証に用いるサービスプロバイダ証明書を発行できます認証リクエストに署名しない場合は発行不要ですこの項目は認証リクエストへの署名が署名するに設定されている場合のみ表示されます新規発行するを選択すると新しいサービスプロバイダ証明書を発行します破棄して再発行するを選択すると現在使用している証明書を破棄し新しい証明書を発行します発行した証明書はリンクからダウンロードして IDプロバイダ側に登録してくださいログイン画面の HTML テンプレートの編集について別紙デザインテンプレートカスタマイズマニュアルをご覧のうえ編集をお試しくださいその他の注意事項ご試用に際しては以下の各項をよくお読みくださいサービスプロバイダからの認証リクエストを署名付きとする場合以下の点に注意してください IDプロバイダによってはサービスプロバイダ署名付きの認証リクエストに対応していない場合がありますサービスプロバイダ署名付きの認証リクエストはサイズが大きくなるためシングルサインオンのバインディングを Redirect とすると IDプロバイダ側が認証リクエストを正常に受け取れないおそれがあります正常動作しない場合はバインディングを Post に変更してお試しください但し IDプロバイダによっては Postによる認証リクエストを受け付けない場合がありますサービスプロバイダ起点のシングルサインオンのご利用に際しては以下の制約事項があります SMPのログイン画面にSP-initiated SSO 開始用のリンク ( ボタンなど ) を設置する場合は HTML テンプレートを編集して前述のSP-initiated SSO 開始用 URLを記述する必要がありますすでにSMPにログイン済の状態でIdP-initiated SSOを実行するとシングルサインオンを実行した管理ユーザーでSMPのログイン状態を強制的に上書きしますこれに対しすでにSMPにログイン済の状態でSP-initiated SSO 開始用 URLにアクセスした場合 IDプロバイダへの認証リクエストは行わず現在の管理ユーザーのSMPログイン状態を維持します 23

ROBOTID_LINEWORKS_guide

ROBOTID_LINEWORKS_guide 操作マニュアル 2019 年 2 月 22 日ナレッジスイート株式会社目次 1 ROBOT ID と LINE WORKS の SSO 連携の流れ... 1 2 ROBOT ID の設定... 2 2-1 カスタム属性を作成する... 2 2-2 カスタム属性を設定する... 2 2-3 SAML 設定を行う... 4 2-4 証明書のダウンロードを行う... 6 3 LINE WORKS の設定...

SHANON MARKETING PLATFORM 管理者シングルサインオン機能ユーザーマニュアル 管理者シングルサインオン機能ユーザーマニュアル Ver /06/01 株式会社シャノン Copyright SHANON Co., Ltd. All Rights Reserved.

SHANON MARKETING PLATFORM 管理者シングルサインオン機能ユーザーマニュアル管理者シングルサインオン機能ユーザーマニュアル Ver /06/01 株式会社シャノン Copyright SHANON Co., Ltd. All Rights Reserved.