Okta、Microsoft Entra ID、Google Workspace などでシングルサインオン（SSO）を設定する

シングルサインオン（SSO）を使うと、チームは別の RedirHub パスワードではなく、会社のアイデンティティプロバイダーを使って RedirHub にサインインできます。RedirHub は SAML 2.0 をサポートしており、Okta、Microsoft Entra ID（旧 Azure AD）、Google Workspace、OneLogin、JumpCloud、PingOne、Auth0、AD FS、その他あらゆる SAML 2.0 アイデンティティプロバイダーと連携します。SSO は Pro で月額 200 ドルのアドオンとして利用でき、Enterprise では契約により利用できます。

対応するアイデンティティプロバイダー#

手順 1: RedirHub の SAML 詳細を取得する#

ワークスペースで SSO が有効になると、RedirHub からアイデンティティプロバイダーに貼り付ける 2 つの値が提供されます。プロバイダーによって名称は異なります:

• ACS URL: シングルサインオン URL、返信 URL、受信者、またはアサーション コンシューマー サービス URL とも呼ばれます。
• Entity ID: Audience URI、識別子、Audience、または SP Entity ID とも呼ばれます。

手順 2: アイデンティティプロバイダーで RedirHub アプリを作成する#

手順は、どのプロバイダーでも同じです:

1. 新しい SAML 2.0 アプリケーションを作成し、RedirHub という名前を付けます。
2. ステップ 1 の ACS URL と Entity ID を貼り付けます。
3. Name ID 形式を メールアドレス に設定し、ユーザーの主メールアドレスを送信します。
4. RedirHub にサインインできるようにするユーザーまたはグループを割り当てます。
5. アプリのメタデータ URL をコピーするか、メタデータ XML をダウンロードします。

各設定が主要なプロバイダーでどこにあるかを以下に示します。

Okta#

1. 管理コンソールで アプリケーション › アプリケーション › アプリ統合を作成 に移動し、SAML 2.0 を選択します。
2. ACS URL を シングルサインオン URL に、Entity ID を Audience URI (SP Entity ID) に貼り付けます。
3. 名前ID形式をEmailAddressに、アプリケーションのユーザー名をEmailに設定します。
4. 割り当てタブでユーザーまたはグループを割り当ててから、サインオンタブからメタデータURLをコピーします。

Microsoft Entra ID（Azure AD）#

1. Microsoft Entra 管理センターで、エンタープライズ アプリケーション › 新しいアプリケーション › 自分で作成するアプリケーションに移動し、ギャラリー以外のオプションを選択します。
2. シングル サインオンを開き、SAMLを選択してから、基本的な SAML 構成で Entity ID を識別子に、ACS URL を応答 URLに貼り付けます。
3. 属性とクレームで、一意のユーザー識別子をユーザーのメールアドレス（user.mail）に、メールアドレス形式で設定します。
4. ユーザーとグループでユーザーまたはグループを割り当ててから、SAML 証明書からアプリ フェデレーション メタデータ URLをコピーします。

Google Workspace#

1. Google 管理コンソールで、アプリ › ウェブとモバイルアプリ › アプリを追加 › カスタム SAML アプリを追加に移動します。
2. Google ID プロバイダの詳細画面で、メタデータをダウンロードをクリックします。
3. サービスプロバイダーの詳細で、ACS URL と Entity ID を貼り付け、Name ID 形式を EMAIL に、Name IDを基本情報 › 主なメールアドレスに設定します。
4. ユーザーアクセスで、アプリを全員向けに、または必要な組織部門やグループ向けにオンにします。

OneLogin#

1. アプリケーション › アプリを追加に移動し、SAML Custom Connector (Advanced)を選択します。
2. 設定タブで、Entity ID を Audience (EntityID) に、ACS URL を Recipient と ACS (Consumer) URL に貼り付けます。SAML nameID 形式を Email に設定します。
3. ロールを通じてアクセスを付与し、その他のアクション › SAML メタデータからメタデータをダウンロードします。

JumpCloud#

1. SSO Applications › Add New Application › Custom Application に移動し、SAML を使用して SSO を構成することを選択します。
2. Entity ID を SP Entity ID に、ACS URL を ACS URL に貼り付けます。SAMLSubject NameID を email に設定します。
3. アクセスが必要なユーザーグループを関連付けてから、Export Metadata をクリックします。

PingOne (Ping Identity)#

1. Applications に移動し、アプリケーションを追加して SAML Application を選択します。
2. ACS URL と Entity ID を手動で入力し、属性マッピングで saml_subject を Email Address にマッピングします。
3. 適切なグループにアクセス権を付与し、アプリケーションを有効にして、Configuration タブで Download Metadata をクリックします。

Auth0#

1. Regular Web Application を作成し、その Addons タブを開いて SAML2 Web App を有効にします。
2. ACS URL を Application Callback URL に貼り付け、設定で audience を Entity ID に設定します。
3. Usage タブから Identity Provider Metadata のリンクをコピーします。

AD FS (Active Directory Federation Services)#

1. AD FS Management で Relying Party Trusts › Add Relying Party Trust に移動し、Claims aware を選択してデータを手動で入力します。
2. ACS URL を使用して SAML 2.0 WebSSO プロトコルを有効にし、Entity ID を証明書利用者信頼の識別子として追加します。
3. E-Mail-Addresses を E-Mail Address として送信するクレーム ルールを追加し、次に E-Mail Address を Email 形式の Name ID に変換します。
4. メタデータは https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml にあります。

その他の SAML 2.0 プロバイダー#

カスタムの SAML 2.0 アプリケーションを作成し、ACS URL と Entity ID を貼り付け、ユーザーのメールアドレスを Name ID として送信し、メタデータをエクスポートします。プロバイダーにメタデータ ファイルがない場合は、代わりに SSO URL、issuer（IdP Entity ID）、および X.509 署名証明書を記録してください。

手順 3: アイデンティティ プロバイダーの詳細を RedirHub に追加する#

手順 2 のメタデータ URL またはメタデータ XML を RedirHub に提供します。メタデータがない場合は、SSO URL、issuer、および署名証明書を提供してください。

手順 4: サインインをテストする#

アイデンティティ プロバイダーで RedirHub アプリに割り当てられているユーザーとしてサインインします。アイデンティティ プロバイダー内のそのユーザーのメールアドレスは、RedirHub アカウントのメールアドレスと一致している必要があります。これが機能したら、残りのチームにも SSO を展開してください。

知っておくとよいこと#

• Googleでのサインインは、すべてのプランで利用できるログインオプションであり、SAMLシングルサインオンではありません。アカウントを保護するをご覧ください。
• 署名証明書には有効期限があります。更新する際は、古い証明書の期限が切れる前に、新しいメタデータをRedirHubに提供してください。そうしないとSSOサインインが機能しなくなります。
• RedirHubでの各メンバーの役割は、引き続きワークスペースで管理されます。チームメンバーを招待して役割を選択するをご覧ください。