- OneLogin SAML統合を構成する
- Auth0でSAML接続を構成します。
- 接続をテストする。
前提条件
OneLogin開発者アカウントが必要です。OneLoginを構成する
- OneLogin Dashboardにログインし、 ［Apps（アプリ）］ > ［Add Apps（アプリの追加）］ の順にクリックします。
- SAML を検索し、 ［SAML Test Connector (IdP w/attr)（SAMLテストコネクター(属性付きIdP））］ を選択します。
- 必要に応じて、アプリの ［Display Name（表示名）］ を変更します。
- ［Save（保存）］ をクリックします。
- ［SSO］ タブに移動し、 SAML 2.0エンドポイント（HTTP） と SLOエンドポイント（HTTP） の各値をコピーします。
- ［X.509 Certificate（X.509証明書）］ フィールドで ［View Details（詳細を表示する）］ リンクをクリックします。
- X.509証明書の onelogin.pem をダウンロードします。
Auth0接続を構成する
- ［Dashboard］>［Authentication（認証）］> ［Enterprise（エンタープライズ）］>［SAMLP］に移動して、 + のアイコンをクリックすると、新規接続を作成できるページにリダイレクトされます。
-
この接続に適切な構成設定を入力するよう求められます。入力必須のフィールドは次のとおりです。
設定 説明 Sign In URL（サインインURL） OneLoginアプリを設定したときに記録したSAML 2.0エンドポイント（HTTP）の値。 Sign Out URL（サインアウトURL） OneLoginアプリを設定したときに記録したSLOエンドポイント（HTTP）の値。 X509 Signing Certificate（X509署名証明書） OneLoginからダウンロードした証明書。証明書をAuth0に直接アップロードする必要があります。 - ［Save（保存）］ をクリックして続行します。
-
次のウィンドウには2つの選択肢が表示されます。
- ドメイン管理者の場合は、 ［Continue（続行）］ をクリックして、SAML IDプロバイダー設定の手順に従います。
- ドメイン管理者でない場合は、ドメイン管理者が設定を完了できるよう、提供されたURLを渡します。
Auth0の構成値
SAMLアプリケーションの構成を終了するには、管理者はAuth0に関する次の情報が必要になります。- SAMLのコンシューマーURL ：
https://{yourDomain}/login/callback - SAMLのオーディエンス ：
urn:auth0:{yourTenant}:yourConnectionName
| Auth0値 | OneLogin構成フィールド |
|---|---|
| Post-back URL（ポストバックURL） | ACS (Consumer) URL and Recipient（ACS（コンシューマー）URLと受信者） |
| Entity ID（エンティティID） | Audience（オーディエンス） |
[-a-zA-Z0-9@:%._\+~#=]{2,256}\.[a-z]{2,6}\b([-a-zA-Z0-9@:%_\+.~#?&//=]*)
接続をテストする
接続をテストする前に：- テストに使用できるOneLoginユーザーがいることを確認します。いない場合は、OneLoginダッシュボードの ［Users（ユーザー）］ タブでユーザーを追加します。
- 新しいAuth0 SAMLP接続がアプリケーションに関連付けられていることを確認します（そうでない場合、「
invalid_request：接続は無効です」エラーが発生します）。
IdP起点SSO
OneLoginでは、ユーザーにアプリケーションポータル/ランチャーが用意されています。この機能を利用したい場合は、OneLoginダッシュボードでconnectionパラメーターを含めるように SAMLのコンシューマーURL を変更（https://{yourDomain}/login/callback?connection=onelogin-customerなど）する必要があります。onelogin-customerをAuth0接続の名前に置き換えるようにしてください。
最後に、接続用のを起点とするログインを有効にし、SAMLアサーションが使用された後にユーザーがリダイレクトされるアプリケーションを選ぶようにします。詳細については、「IDプロバイダー起点のシングルサインオンを構成する」をお読みください。
接続マッピングを編集する
OneLoginとAuth0を変更することなくそのままで使用すると、OneLoginを使ってログインし、で作成されたユーザーには、持っておきたい一部のプロファイル情報がありません。 追加のユーザー情報を収集するには、OneLoginダッシュボードで適切なパラメーターを編集し、パラメーターをSAMLアサーションに含め、Auth0接続でマッピングを作成します。ユーザープロファイル属性
標準のユーザープロファイル属性が作成したい機能には十分でないことがあります。その場合は、カスタム属性を使ってSAMLトークンを強化します。基本的な例を使って説明します。 SAMLトークンには、数ある中でも特に2つの属性、FirstNameとLastNameが含まれています。名と姓が連結されたFullNameと呼ばれる新しいカスタム属性を追加しましょう。
- OneLoginダッシュボードでアプリを編集します。
- ［Parameters（パラメーター）］ タブで、 ［Add Parameter（パラメーターを追加）］ をクリックします。
- ポップアップが表示されたら、 ［Field name（フィールド名）］ テキストボックスを使って新しいカスタム属性の名前を設定します。 ［Include in SAML assertion（SAMLアサーションに含める）］ フラグにチェックが入っていることを確認します。 ［Save（保存）］ をクリックします。
- 作成した新しい属性が表示されます。 ［Value（値）］ フィールドをクリックします。このフィールドには現在、
［- No default -（- デフォルトなし -）］が表示されています。 - ［Value（値）］ ドロップダウンメニューをクリックし、
［- Macro -（- マクロ -）］を選択します。 - テキストボックスで値を
{firstname} {lastname}に設定します。 ［Save（保存）］ をクリックします。 - 変更をテストします。［Auth0 Dashboard］>［Authentication（認証）］>［Enterprise（エンタープライズ）］>［SAML］に戻ります。 SAML 接続で、 ［Try（試行）］ ボタンをクリックします。結果には新しい属性
FullNameが含まれているはずです。
新しいパラメーターをSAMLアサーションに追加する
EmailAddress情報をログインにどのように追加するのかデモンストレーションをお見せします。この情報は、すでに送信している2つのフィールドの連結句よりも長いものです。
- ユーザーの EmailAddress をマッピングする前に、このフィールドをカスタムパラメーターとしてOneLoginダッシュボードに追加する必要があります。 ［Field name（フィールド名）］ を
EmailAddress、 ［Value（値）］ をEmailにそれぞれ設定します。 - 上記セクションでユーザープロファイルのカスタマイズに必要な手順が詳しく記載されています。
- 変更を済ませたら保存し、接続テストをもう一度行います。
- Auth0ユーザーを確認し、
EmailAddress情報が含まれており、値が正しいことを確認します。
- SAMLの ［Settings（設定）］ セクションに進み、 ［Mappings（マッピング）］ タブに移動します。メールアドレスには、以下のマッピングをコピーし、テキストボックスに貼り付けます。
- 変更を保存し、接続を再試行します。ログインに成功したら、［Dashboard］>［User Management（ユーザー管理）］>［Users（ユーザー）］の順に進み、ログインを確認します。該当するユーザーの追加情報が表示されます。