SeciossLink クイックスタートガイド

Transcription

1 株式会社セシオス SeciossLink クイックスタートガイド G Suite シングルサインオン設定編 2017 年 10 月 3 日

2 目次 1 概要 環境 API 利用を有効化 管理コンソール API 設定 API アクセス有効化 クライアント ID の API アクセス利用設定 管理コンソール SSO 設定 SeciossLink の設定 G Suite シングルサインオン設定 認証ルールの作成 SSO 動作確認方法 G Suite のログイン URL へアクセスする方法 SeciossLink の SSO ポータル画面を利用する方法 参考 SeciossLink の検証用テナントについて 問い合わせについて

3 1 概要 SeciossLink が G Suite との連携にあたり G Suite 側の API 有効化や OAuth 認証用情報の取得 シングルサインオンの設定が必要になります 本ドキュメントは 弊社 SaaS 型 認証 ID 統合サービス SeciossLink と G Suite を接続する場合 G Suite 側から必要な情報の取得 設定手順 及び SeciossLink 側の設定を記載します 手順の中で Google Developers Console と G Suite 管理コンソール の 2 つのコンソールを利用します どちらも G Suite の管理者アカウントでログインする必要があります また 本文で掲載するスクリーンショットは 2017 年 10 月時点のものとなります なお SeciossLink 側 G Suite に対する同期内容について SeciossLink 管理者ガイドを参照してください 2 環境 本ドキュメントは図のような構成を想定し 設定を行います なお G Suite SeciossLink は導入済みであることを前提とします 管理者は SeciossLink の管理画面から G Suite とのシングルサインオン設定 及び アカウ ントの作成同期管理を行います 一方 ユーザは G Suite へ接続を行うと SeciossLink へリ ダイレクトされ ( 未認証の場合 ) 認証を求められる流れとなります 2

4 3 API 利用を有効化 SeciossLink のアカウント同期機能は G Suite の API を利用しています そのため G Suite API の有効化設定 及び認証用の秘密鍵を生成する必要があります Google Developers Console にアクセスし G Suite 管理者アカウントでログインして 手順に従い 以下三つの必須情報を入手してください クライアント ID サービスアカウント ( メールアドレス ) OAuth API 秘密鍵 画面ショットは 2017 年 10 月時点のものです G Suite の管理画面は頻繁にバージョンアップされますのでご利用の画面と異なる場合があります 予めご了承ください 初めて Google Developers Console にアクセスした場合には プロジェクト が存在しないため メニューを開き 新規に プロジェクト を作成してください プロジェクト名 は任意の名前で構いません 3

5 1 存在しない場合, プロジェクト名 を入力して作成します 2 作成後 プロジェクト名が変更されたこと確認してください 3 ライブラリから Admin SDK を検索し 選択してください 4

6 4 Admin SDK を有効にします 5 認証情報に進む をクリックし 次へ進みます 6 必要な認証情報の種類調べなどの設定を無視して サービスアカウント をクリックしてください 5

7 7 サービスアカウントを作成 をクリックし API 利用す る OAuth アカウントを作成します 8 任意のサービスアカウント名を入力し 秘密鍵のタイプ を P12 と選択 全体の委任にチェックし 任意のサービス 名を設定してアカウントを作成します 6

8 9アカウントが作成されますと 秘密鍵が自動ダウンロードされます ( 後にこの秘密鍵は SeciossLink 側の設定で利用しますので 保管してください ) 秘密鍵のパスワードは notasecret Window を閉じて サービスアカウントページに戻ります 10 クライアント ID を表示 をクリックし サービスアカウント のメールアドレスを確認し SeciossLink で利用します 7

9 クライアント ID 4.2 クライアント ID の API アクセス利用設定 にて クライアント名 として利用します サービスアカウント ( メールアドレス ) 6.1 G Suite シングルサインオン設定 にて OAuth API メールアドレス として利用します OAuth API 秘密鍵サービスアカウントを作成された際にダウンロードされた秘密鍵で 6.1 G Suite シングルサインオン設定 の OAuth API 秘密鍵 項目に利用されます 8

10 4 管理コンソール API 設定 G Suite の管理コンソールへログイン セキュリティ から設定を行います 4.1 API アクセス有効化 セキュリティ API リファレンス API アクセスを有効にする をチェックし て保存してください 4.2 クライアント ID の API アクセス利用設定 セキュリティ 詳細設定 API クライアントアクセスを管理する にアクセス してください 9

11 表示された クライアント名 1 つ以上の API の範囲 に値以下のように入力してく ださい クライアント名 Google Developers Console で取得した クライアント ID を入力 1 つ以上の API の範囲以下 API の URL をカンマ区切りして テキストボックスに 1 行で入力してください 設定後 承認 すると登録されたクライアント ID と利用可能な API が一覧表示されま す 10

12 5 管理コンソール SSO 設定 シングルサイン (SSO) を有効化するための設定を行います G Suite の管理コンソールへログインし セキュリティ - シングルサインオン(SSO) の設定 をクリックしてください サードパーティの ID プロバイダで SSO を設定する 項目に以下の内容で設定します サードパーティの ID プロバイダで SSO を設定する 有効化( チェックを入れる ) ログインページの URL 利用する SeciossLink テナント ID> ログアウトページ URL パスワード変更 URL slink.secioss.com は正規サービスドメインです 弊社 HP から申込みなされた検証環境をご利用の場合は slinkdev.secioss.net で置き換えてください 11

13 証明書の確認 SeciossLink テナントが利用する公開鍵をアップロードしてください SeciossLink の公開鍵の入手方法 :SeciossLink 管理者画面から左メニューの システム IdP 証明書 使用中の IdP 証明書の DL 項目操作ボタンからダウンロードしてください ドメイン固有の発行元を使用 チェックして 使用します 12

14 6 SECIOSSLINK の設定 G Suite 側の SSO 設定が完成すれば SeciossLink 側は簡単な SSO の設定を行い SSO ログイ ンがすぐできるように設定できます 6.1 G SUITE シングルサインオン設定 SeciossLink の管理者サイトへログインし 左メニューの シングルサインオン - G Suite をクリックし 必要項目の設定を行います シングルサインオンの設定 G suite を利用する為に 有効 にチェックを入れます G Suite プライマリドメイン SSO 利用する G Suite のドメインを入力します ID 同期 SeciossLink で作成したユーザを G Suite へ同期する為に 有効 にチェックを入れます G Suite 管理者アカウント名 G Suite の管理者アカウントを入力します OAuth API メールアドレス Google Developers Console で取得した サービスアカウント( メールアドレス ) を入力します OAuth API 秘密鍵 Google Developers Console で取得した P12 形式の秘密鍵 をアップロードします 13

15 シングルサインオンの設定完了後 ユーザを作成してください 設定項目の メールアドレス が G Suite のアカウントに該当します また シングルサインオンの設定が正しく完了していると 許可するサービス に G Suite が表示されますので ユーザを Google 側に同期する場合 チェックをしてください 以上の設定を行うと SeciossLink のアカウントが G Suite へ同期されます ( リアルタイム同期 ) 6.2 認証ルールの作成 次にメニューの 認証 から認証ルールを作成します この認証ルールはユーザが G Suite からリダイレクトされ SeciossLink がログイン画面を表示する時の認証ルールとなります ID 項目に任意の名前を入力( 英数字 ) し 認証方式 に表示されている一覧から ID/ パスワード認証 を選択し 追加 AND をクリックしてください 更に クライアント にチェックし 登録 を行ってください 14

16 7 SSO 動作確認方法 SeciossLink と連携している G Suite へログインを行う方法は 2 つあります 7.1 G SUITE のログイン URL へアクセスする方法 1 つはユーザが G Suite を利用するために Service Provider 側 (G Suite) へ初回アクセスを試みる方法です 例えば G Suite のメールサービスへのアクセスは以下の URL となっています ドメイン名 該当ドメインのシングルサインオンが有効になっている場合には 指定された URL へリ ダイレクトされます 今回の構成では SeciossLink をリダイレクト先に設定しています 未認証の場合には SeciossLink がログイン画面を表示 認証を行い 結果のレスポンスをサービス側へ返します 認証が OK であれば サービスの利用が開始されます ( サービスからのリダイレクトやサービス側へのレスポンスは厳密にはユーザのブラウザを経由して遷移します ) 15

17 7.2 SECIOSSLINK の SSO ポータル画面を利用する方法 2 つめはユーザが G Suite を利用するために ID Provider 側 SeciossLink へ初回ログイ ンを行い SSO ポータル画面から遷移する方法です SeciossLink ではシングルサインオンサービスを一覧表示する SSO ポータル画面 が用 意されています SSO ポータル URL ドメインは適宜変更 表示された G Suite 関連サービスのアイコンをクリックすると 既に IdP で認証済ですの で そのまま ユーザ ID/パスワードの入力をすることなく G Suite サービスの利用が開 始できます 管理者からのメッセージが表 示されます 許可されているサービスがア イコンで一覧表示されます また パスワード変更 ア イコンなど 共通機能も表示 されます 16

18 8 参考 8.1 SECIOSSLINK の検証用テナントについて SeciossLink の検証用テナントは弊社 HP から申し込みすることができます SeciossLink 検証用テナント申し込み 問い合わせについて 弊社 HP の窓口からお問い合わせください 問い合わせ また Google グループ を利用した SeciossLink ユーザコミュニティグループ でも 受け付けておりますのでご活用ください SeciossLink ユーザコミュニティグループ 問い合わせ用の Google グループ は一般公開されているため 情報公開できない場合 には弊社 HP から問い合わせてください 以上 17