Auth0をSAMLサービスプロバイダーとして設定する

SAMLフェデレーションでサービスプロバイダーとして機能するようにAuth0を設定する方法を説明します。

Auth0をSAMLフェデレーションのサービスプロバイダー (SP) として設定するには、まずAuth0でエンタープライズ接続を作成し、次にその接続のメタデータを使用して、SAML アイデンティティプロバイダー (IdP) を更新する必要があります。

Auth0は、SAML 1.1またはSAML 2.0プロトコルに準拠した構成で、Auth0をSPとして使用することをサポートしています。

​

IdPからメタデータと証明書を取得する

Auth0 で接続を作成するには、IdP からいくつかの構成用メタデータを取得する必要があります。

項目	説明
Sign In URL	SAML認証リクエストの送信先 URL です。シングルサインオン (SSO) エンドポイントとも呼ばれます。
Sign Out URL	SAMLログアウトリクエストの送信先 URL です。シングルログアウト (SLO) エンドポイントとも呼ばれます。
X509 Signing Certificate	SP が、IdP によって電子署名された認証アサーションの署名を検証するために必要な公開鍵証明書です。Auth0 では .pem 形式と .cer 形式を使用できます。

​

Auth0 で SAML エンタープライズ接続を作成する

Auth0 Dashboard または Auth0 Management API を使用して、SAML エンタープライズ接続を作成できます:

Auth0 Dashboard

1. Auth0 Dashboard > Authentication > Enterprise に移動し、SAML を選択します。
2. Create Connection を選択します。
3. 次の設定を行います。

Setting	Description
Connection Name	SAML-SP などの接続名を入力します。
Sign In URL	IdP から取得した Sign In URL を入力します。
X509 Signing Certificate	IdP から取得した X509 Signing Certificate ファイル (.pem または .cer 形式) をアップロードします。
Enable Sign Out	Sign Out URL フィールドを有効にします。
Sign Out URL	IdP から取得した Sign Out URL を入力します。
User ID Attribute	SAML トークン内で Auth0 の user_id プロパティにマッピングする属性を入力します。設定しない場合、user_id は次のものから取得されます (記載順) : http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
Debug Mode	より詳細なログを出力するには、Debug Mode を有効にします。
Sign Request	署名付きの SAML認証リクエストを有効にします。
Sign Request Algorithm	ドロップダウンメニューから、使用するハッシュアルゴリズムを選択します。
Sign Request Algorithm Digest	ドロップダウンメニューから、アサーションの有効性を検証するために使用するアルゴリズムを選択します。
Protocol Binding	ドロップダウンメニューから、次のいずれかのオプションを選択します: HTTP-Redirect: メッセージを URLパラメーターで送信します。 HTTP-POST: メッセージを HTMLフォームで送信します。
Sync user profile attributes at each login	ログインのたびにユーザープロファイル属性を同期するようにします。

4. Create を選択します。

Management API

Auth0 Management API の Create a Connection エンドポイントは、SAML 接続を作成する際に options オブジェクトの以下のプロパティをサポートしています：

フィールド	型	必須?	説明
signInEndpoint	String	必須	IdPのサインインURL。
signingCert	String	必須	Base64 エンコードされた X509 署名証明書 (.pem または .cer 形式) の内容。
debug	真偽値	任意	デバッグ モードを切り替えます。有効にすると、認証プロセス中により詳細なログが記録されます。本番環境で使用する接続では false に設定します。
destinationUrl	文字列	任意	Auth0がSAML認証リクエストの送信先とするURL。プロキシゲートウェイを使用する場合にのみ必要です。
digestAlgorithm	文字列	任意	認証リクエスト内のダイジェスト要素の暗号化に使用するアルゴリズムです。 指定できる値は sha256 と sha1 です。
disableSignout	Boolean	任意	Sign Out URL の有効／無効を切り替えます。false の場合、logout request を受け付けるには Sign Out URL を指定する必要があります。true の場合、logout request は Sign In URL に送信されます。
fieldsMap	オブジェクト	任意	IdP からの認証レスポンスに適用する属性マッピングが含まれます。 例: "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"。
idpinitiated	オブジェクト	任意	IdP-Initiated SSO のオプションは次のとおりです: enabled: Boolean. IdP-Initiated SSO の有効/無効を切り替えます。 client_id: String. デフォルトのアプリケーションの client ID。 client_protocol: String. デフォルトのアプリケーションとの通信に使用するレスポンスプロトコル。使用できる値は oauth2、samlp、wsfed です。 client_authorizequery: String. デフォルトのアプリケーションに送信されるクエリ文字列。
protocolBinding	文字列	任意	認証リクエストで使用するプロトコルバインディングです。 指定可能な値は次のとおりです。 urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST
recipientUrl	文字列	任意	IdP が SAML 認証レスポンスを送信する先の URL。プロキシゲートウェイを使用する場合にのみ必要です。
signatureAlgorithm	String	任意	認証リクエストの署名に使用するアルゴリズムです。 指定できる値は rsa-sha256 と rsa-sha1 です。
signSAMLRequest	Boolean	任意	Auth0 から送信される認証リクエストに署名するかどうかを設定します。
user_id_attribute	String	任意	認証レスポンスでユーザー ID プロパティにマッピングする属性名です。このフィールドを指定すると、fieldsMap オブジェクト内の user_id プロパティに対するマッピングよりも優先されます。

​

リクエストの例

{
	"strategy": "samlp",
	"name": "example-samlp-connection",
	"options": {
		"signingCert": "{X509_CERTIFICATE_IN_BASE64}",
		"signInEndpoint": "https://example.com/samlp/login",
		"disableSignout": false,
		"signOutEndpoint": "https://example.com/samlp/logout",
		"fieldsMap": {
			"email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
			"user_id": [
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
			],
			"given_name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
			"address_name": "http://schemas.auth0.com/address_name",
			"address_street_address": "http://schemas.auth0.com/address_street_address"
		},
		"user_id_attribute": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
		"idpinitiated": {
			"enabled": true,
			"client_id": "{DEFAULT_APPLICATION_CLIENT_ID}",
			"client_protocol": "oauth2",
			"client_authorizequery": "response_type=code&scope=openid email profile"
		},
		"signSAMLRequest": true,
		"signatureAlgorithm": "rsa-sha256",
		"digestAlgorithm": "sha256",
		"protocolBinding": "urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect",
		"debug": true
	}
}

​

プロキシゲートウェイ向けに SAML 接続を設定する

Auth0 がプロキシゲートウェイの背後にある場合は、SAML 接続の destinationUrl フィールドと recipientUrl フィールドをそれに合わせて設定する必要があります。

1. Management API の Get a connection エンドポイントを使用して、SAML 接続の現在の設定を取得します。
2. 返されたレスポンスから options オブジェクトの値をコピーします。
3. options オブジェクトに次のフィールドを追加します。

フィールド	型	値
destinationUrl	String	プロキシゲートウェイの URL。
recipientUrl	String	プロキシゲートウェイの URL。

4. 更新した options オブジェクト全体をリクエストボディに含めて、Management API の Update a connection エンドポイントを呼び出します。

​

リクエストテンプレートをカスタマイズする

Auth0 が IdP に認証リクエストを送信すると、リクエストボディには AuthnRequest オブジェクトが含まれます。このオブジェクトで使用するテンプレートはカスタマイズできます。

1. Auth0 Dashboard > Authentication > Enterprise > SAML に移動し、対象の接続を選択します。
2. 設定ビューに切り替え、Request Template フィールドを探します。
3. テンプレートを編集します。
4. 変更を保存 を選択します。

​

テンプレート変数

変数は、@@VariableName@@ 構文を使って AuthnRequest テンプレートに埋め込めます。使用可能な変数は次のとおりです。

Name	Description
AssertionConsumerServiceURL	ユーザーのサインイン後に IdP がレスポンスを送信する URL。これを使用する場合は、リクエストテンプレートに ProtocolBinding 属性を含めてください。
Connection.<options-key>	Connection キーでドット記法を使うと、Auth0 Management API の Get a Connection エンドポイントから返される、その接続の options の各値にアクセスできます。たとえば、接続に options.some_property: "value" がある場合、テンプレート内で @@Connection.some_property@@ を使用できます。
Destination	Auth0 がリクエストを送信する URL。これは、その接続に設定された Sign In URL である必要があります。
ID	トランザクション ID。
IssueInstant	トランザクションの日時を表すタイムスタンプ。
Issuer	urn 形式の SP の Entity ID。 たとえば、urn:auth0:<YOUR_AUTH0_TENANT_NAME>:<YOUR_AUTH0_CONNECTION_NAME>。
LoginHint	ログインするユーザーのユーザー名またはメールアドレス。Identifier First Authentication を使用している場合、Auth0 はこの値を IdP に送信し、IdP のログインフォームに事前入力できます。
ProtocolBinding	プロトコルの Binding タイプ。
ProviderName	リクエストを開始したアプリケーションの名前。常に Auth0 テナント名が返されます。
AssertServiceURLAndDestination	非推奨。新しい設定では、代わりに AssertionConsumerServiceURL と Destination を使用してください。

​

IdP を設定する

IdP に提供する必要があるメタデータは、SAML IDプロバイダーの設定で確認できます。

Auth0 は、SAML 1.1 または SAML 2.0 プロトコルに準拠したすべての SAML IdP をサポートしています。以下に、特定のプロバイダー向けの詳細な設定手順を記載しています。

​

接続をテストする

Auth0 Dashboard で接続をテストするには、次の手順に従います。

1. Auth0 Dashboard > Authentication > Enterprise > SAML に移動します。
2. 作成した接続を見つけて … (三点) メニューアイコンを選択し、試す を選択します。
3. Universal Login Page が表示され、資格情報の入力を求められます。
4. IdP に存在するユーザーのメールアドレスを入力します。ホームレルムディスカバリー を設定している場合は、指定したドメインのいずれかに属するメールアドレスを必ず入力してください。
5. IdP のログイン画面にリダイレクトされたら、通常どおりログインします。
6. Auth0 のページにリダイレクトされ、IdP から Auth0 に送信された認証アサーションの内容が表示されます。

​

接続のトラブルシューティング

接続が想定どおりに機能しない場合は、次の手順をお試しください。

• テストのたびに、事前にブラウザーの履歴、Cookie、キャッシュを消去してください。消去しないと、ブラウザーが最新の設定情報を反映できなかったり、実行に影響する古い Cookie が残ったりすることがあります。
• ブラウザーで Cookie が許可され、JavaScript が有効になっていることを確認してください。
• トランザクションの HAR ファイルを取得し、その後 Auth0 SAML Tool を使用して SAML アサーションをデコードし、内容を確認してください。