アプリをSAML IDプロバイダーに接続する

エンタープライズ接続を使用して、SAML IDプロバイダーに接続する方法を学びます。

Auth0 では、SAML IDプロバイダー (IdP) 接続を作成できます。

​

前提条件

開始する前に、以下を行ってください。

• Auth0 にアプリケーションを登録する。

  • 適切な Application Type を選択します。
  • Allowed Callback URL に {https://yourApp/callback} を追加します。
  • アプリケーションの Grant Types に適切なフローが含まれていることを確認します。

• このエンタープライズ接続の名前を決めます

  • Post-back URL (Assertion Consumer Service URL とも呼ばれます) は次のようになります：https://{yourDomain}/login/callback?connection={yourConnectionName}
  • Entity ID は次のようになります：urn:auth0:{yourTenant}:{yourConnectionName}

​

手順

アプリケーションを SAML IDプロバイダーに接続するには、次の手順を行います。

1. IdP で Post-back URL と Entity ID を入力します (手順については、SAML Identity Provider Configuration Settings を参照してください) 。
2. IdP から署名証明書を取得し、Base64 に変換します。
3. Auth0 でエンタープライズ接続を作成します。
4. Auth0アプリケーションでエンタープライズ接続を有効にします。
5. マッピングを設定します (ほとんどの場合は不要です) 。
6. 接続をテストします。

​

IdP から署名証明書を取得する

SAML Login では、Auth0 はサービスプロバイダーとして機能するため、SAML IdP から X.509 署名証明書 (PEM または CER 形式) を取得する必要があります。後で、この証明書を Auth0 にアップロードします。証明書の取得方法は環境によって異なるため、さらにサポートが必要な場合は、IdP のドキュメントを参照してください。

​

署名証明書をBase64形式に変換する

X.509署名証明書のアップロードには、Management API または Auth0 Dashboard を使用できます。Management API を使用する場合は、ファイルをBase64形式に変換する必要があります。これを行うには、シンプルなオンラインツール を使用するか、Bashで次のコマンドを実行します: cat signing-cert.crt | base64。

​

アサーションの暗号化

SAML アサーションが暗号化されている場合は、Auth0 が復号をどのように処理するかを指定するために、接続に対して追加の値を設定する必要があります。

​

Auth0 でエンタープライズ接続を作成する

次に、Auth0 で SAML エンタープライズ接続を作成して設定し、X.509 署名証明書をアップロードする必要があります。この作業は、Auth0 Dashboard または Management API のいずれかを使用して実行できます。

​

Auth0 Dashboard を使用してエンタープライズ接続を作成する

1. Auth0 Dashboard > Authentication > Enterprise に移動し、SAML を見つけて + を選択します。

   

2. 接続の詳細を入力し、Create: を選択します。

Field	Description
Connection name	接続の論理識別子です。テナント内で一意である必要があり、IdP で Post-back URL と Entity ID を設定する際にも同じ名前を使用する必要があります。一度設定すると、この名前は変更できません。
Sign In URL	SAML シングルログイン URL。
X.509 Signing Certificate	この手順の前の段階で IdP から取得した署名証明書 (PEM または CER でエンコードされたもの) 。
Enable Sign Out	有効にすると、専用の Sign Out URL を設定できます。無効の場合は、デフォルトで Sign In URL が使用されます。
Sign Out URL (optional)	SAML シングルログアウト URL。
User ID Attribute (optional)	Auth0 の user_id プロパティにマッピングされる SAML トークン内の属性。
Debug Mode	有効にすると、認証プロセス中により詳細なログが出力されます。
Sign Request	有効にすると、SAML 認証リクエストに署名されます。 (SAML IdP がアサーションの署名を検証できるよう、対応する証明書を必ずダウンロードして提供してください。)
Sign Request Algorithm	Auth0 が SAML アサーションの署名に使用するアルゴリズム。
Sign Request Digest Algorithm	Auth0 が署名リクエストのダイジェストに使用するアルゴリズム。
Protocol Binding	IdP がサポートする HTTP バインディング。
Request Template (optional)	SAML リクエストの形式を定義するテンプレート。

3. Provisioning view で、Auth0 でユーザープロファイルを作成および更新する方法を設定します。

Field	Description
Sync user profile attributes at each login	有効にすると、Auth0 はユーザーがログインするたびにユーザープロファイルデータを自動的に同期し、接続元で行われた変更が Auth0 に自動的に反映されるようにします。
Sync user profiles using SCIM	有効にすると、Auth0 は SCIM を使用してユーザープロファイルデータを同期できるようになります。詳細については、Configure Inbound SCIM を参照してください。

4. Login Experience view で、この接続を使用したユーザーのログイン方法を設定します。

Field	Description
Home Realm Discovery	ユーザーのメールドメインを、指定された IDプロバイダー のドメインと比較します。詳細については、Configure Identifier First Authentication を参照してください。
Display connection button	このオプションでは、アプリケーションの接続ボタンをカスタマイズするための以下の選択肢が表示されます。
Button display name (Optional)	Universal Login のログインボタンをカスタマイズするためのテキストです。設定すると、ボタンには「Continue with {Button display name}」と表示されます。
Button logo URL (Optional)	Universal Login のログインボタンをカスタマイズするための画像 URL です。設定すると、Universal Login のログインボタンに画像が 20px × 20px の正方形で表示されます。

Optional フィールドは Universal Login でのみ使用できます。Classic Login を使用しているお客様には、Add ボタン、Button display name、Button logo URL は表示されません。

5. 連携を完了するために必要な管理者権限がある場合は、Continue をクリックして、IdP の設定に必要なカスタムパラメーターを確認します。そうでない場合は、必要な設定を管理者が調整できるよう、表示された URL を管理者に共有してください。

​

Management API を使用してエンタープライズ接続を作成する

Management API を使用して SAML 接続を作成することもできます。その場合は、各 SAML 設定項目を手動で指定することも、設定値を含む SAML メタデータドキュメントを指定することもできます。

​

指定した値を使用して接続を作成する

Create a Connection endpoint に POST リクエストを送信します。MGMT_API_ACCESS_TOKEN、CONNECTION_NAME、SIGN_IN_ENDPOINT_URL、SIGN_OUT_ENDPOINT_URL、および BASE64_SIGNING_CERT のプレースホルダー値は、それぞれ Management API の Access Token、接続名、サインイン URL、サインアウト URL、Base64 エンコードされた署名証明書 (PEM または CER 形式) に必ず置き換えてください。

値	説明
MGMT_API_ACCESS_TOKEN	スコープ create:connections を持つ Management API のアクセストークン。
CONNECTION_NAME	作成する接続の名前。
SIGN_IN_ENDPONT_URL	作成する接続の SAML シングルログイン URL。
SIGN_OUT_ENDPOINT_URL	作成する接続の SAML シングルログアウト URL。
BASE64_SIGNING_CERT	IdP から取得した X.509 署名証明書 (PEM または CER でエンコードされたもの) 。

または、JSON では次のとおりです:

{
	"strategy": "samlp",
  	"name": "CONNECTION_NAME",
  	"options": {
    	"signInEndpoint": "SIGN_IN_ENDPOINT_URL",
    	"signOutEndpoint": "SIGN_OUT_ENDPOINT_URL",
    	"signatureAlgorithm": "rsa-sha256",
    	"digestAlgorithm": "sha256",
    	"fieldsMap": {
     		...
    	},
    	"signingCert": "BASE64_SIGNING_CERT"
  	}
}

​

SAMLメタデータを使用して接続を作成する

各 SAML 設定項目を個別に指定する代わりに、設定値を含む SAML メタデータドキュメントを指定できます。SAML メタデータドキュメントを指定する場合は、ドキュメントの XML コンテンツ (metadataXml) またはドキュメントの URL (metadataUrl) のいずれかを指定できます。URL を指定した場合、コンテンツがダウンロードされるのは 1 回だけです。後でその URL の内容が変更されても、接続が自動的に再構成されることはありません。

SAML 接続の場合、メタデータ検出ドキュメントには 4 MB のサイズ制限が適用されます。この制限を超えると、Auth0 は SAML metadata document exceeded the maximum allowed size of 4 MB エラーを返します。

メタデータドキュメントの内容を指定する

metadataXml オプションを使用して、ドキュメントの内容を指定します。

メタデータドキュメントの URL を指定する

metadataUrl オプションを使用して、メタデータドキュメントの URL を指定します:

URL を指定した場合、コンテンツは 1 回だけダウンロードされます。以後 URL の内容が変更されても、接続が自動的に再構成されることはありません。

メタデータURLを使用して既存の接続情報を更新する

この処理が機能するのは、接続が metadataUrl を使って手動で作成されている場合のみです。

B2B 実装があり、独自の SAML アイデンティティプロバイダーを使って Auth0 とフェデレーションしている場合は、署名証明書の変更、エンドポイント URL の変更、新しいアサーションフィールドなど、Auth0 に保存されている接続情報の更新が必要になることがあります。Auth0 は ADFS 接続についてはこれを自動的に行いますが、SAML 接続では行いません。

定期的に更新するためのバッチ処理 (cron job) を作成できます。この処理は数週間ごとに実行し、/api/v2/connections/CONNECTION_ID エンドポイントに PATCH リクエストを送信して、{options: {metadataUrl: '$URL'}} を含むボディを渡します。ここで、$URL は接続の作成時に使用したものと同じメタデータ URL です。まず、そのメタデータ URL を使って新しい一時的な接続を作成し、古い接続と新しい接続のプロパティを比較します。差分があれば、新しい接続を更新してから一時的な接続を削除します。

1. options.metadataUrl を使って SAML 接続を作成します。接続オブジェクトには、メタデータの情報が設定されます。
2. URL 上のメタデータの内容を更新します。
3. /api/v2/connections/CONNECTION_ID エンドポイントに {options: {metadataUrl: '$URL'}} を指定して PATCH リクエストを送信します。これで、接続オブジェクトは新しいメタデータの内容で更新されます。

options パラメータを使うと、options オブジェクト全体が上書きされます。必要なパラメータがすべて含まれていることを必ず確認してください。

​

カスタム Entity ID を指定する

カスタム Entity ID を指定するには、Management API を使用して、デフォルトの urn:auth0:YOUR_TENANT:YOUR_CONNECTION_NAME を上書きします。connection.options.entityID プロパティは、接続の初回作成時に設定するか、既存の接続を更新して設定します。

以下の JSON の例では、SAML IdP のメタデータ URL を使用して新しい SAML 接続を作成すると同時に、カスタム Entity ID も指定できます。Entity ID は接続名を使って生成されるため、引き続き一意です。

{
  "strategy": "samlp", 
  "name": "{yourConnectionName}", 
  "options": { 
    "metadataUrl": "https://saml-idp/samlp/metadata/uarlU13n63e0feZNJxOCNZ1To3a9H7jX",
    "entityId": "urn:your-custom-sp-name:{yourConnectionName}"
  }
}

​

Auth0アプリケーションでエンタープライズ接続を有効にする

新しいSAMLエンタープライズ接続を使用するには、まずAuth0アプリケーションで接続を有効にする必要があります。

​

マッピングを設定する

標準以外の PingFederate Server 向けに SAML エンタープライズ接続を設定している場合は、属性マッピングを必ず更新してください。

Mappings ビューを選択し、{} 内にマッピングを入力して、Save を選択します。

標準以外の PingFederate Server のマッピング:

{
    "user_id": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"
}

SSO Circle のマッピング

{
  "email": "EmailAddress",
  "given_name": "FirstName",
  "family_name": "LastName"
}

2つのクレームのいずれかを1つのユーザー属性にマッピングする

{
  "given_name": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  ]
}

Name Identifier をユーザー属性にマッピングする方法

{
  "user_id": [
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  ]
}

​

接続をテストする

これで、接続をテストする準備が整いました。

​

Global Token Revocation を設定する

この接続タイプは Global Token Revocation エンドポイントをサポートしており、これにより、準拠したアイデンティティプロバイダーは Auth0 のユーザーセッションを無効化し、リフレッシュトークンを無効化し、セキュアなバックチャネルを使用するアプリケーションに対してバックチャネルログアウトをトリガーできます。

この機能は、Okta Workforce Identity の Universal Logout と組み合わせて使用できます。

詳細と設定手順については、Universal Logoutを参照してください。

​

詳細はこちら

• Universal Logout