(SAMLプロファイル利用)
本マニュアルでは、JunifyをIdPとし、Google Workspaceの新しい「SAMLプロファイル」機能を使用してSSO(シングルサインオン)を行うための設定手順を解説します。
事前準備
JunifyおよびGoogle Workspace(管理コンソール)の管理者権限が必要です。
ブラウザでJunify管理画面とGoogle管理コンソールの両方を開いておくとスムーズです。
手順1:Junify側でのSAML設定準備(初期設定)
まず、Junify側でGoogleアプリケーションのSAML連携を有効化し、Google側の設定に必要な情報を取得します。
Junify管理者画面の左メニューより「アプリケーション」をクリックし、「アプリケーション管理」タブを開きます。
検索バー上部の「アプリケーション」ミニタブを選択します。
一覧から、連携を行いたいGoogleアプリケーションプロファイルをクリックします。
-
「認証方法」セクションにて「SAML」を選択し、一度画面下部の「保存」ボタンを押します。
※保存を行うまで詳細なSAML設定項目は表示されません。
-
保存後に表示される「SAML設定」セクションにて、エンティティIDの欄に暫定的に
googleと入力し、再度「保存」します。※このエンティティIDは後ほど正式な値に書き換えますが、情報を生成するために一時的に入力が必要です。
-
保存後、同セクション下部に表示される以下の情報を控えるか、別タブで開いたままにします(次のGoogle側の設定で使用します)。
IDP ENTITY ID
IDP sign-in URL
Logout URL
X509証明書(ダウンロードしてください)
手順2:Google Admin ConsoleでのSAMLプロファイル作成
次に、Google管理コンソールでJunifyをIdPとして登録します。
Google Admin Console にログインします。
メニューより 「セキュリティ」 > 「認証」 > 「サードパーティのIdPによるSSO」 へ進みます。
「サードパーティのSSOプロファイル」セクションにある 「SAMLプロファイルを追加」 ボタンをクリックします。
SSOプロファイル名を入力します(例:
Junifyなど任意の名前)。「メールアドレスを自動入力」の設定項目では、「ログインヒントを使用しない」 を選択します。
-
Junifyの情報を入力する画面で、手順1-6で取得した以下の値を入力・アップロードします。
IDP エンティティ ID
IDP ログイン URL (IDP sign-in URL)
ログアウト URL
証明書 (X509証明書をアップロード)
保存して新しいSAMLプロファイルを作成します。
-
作成完了画面(または詳細画面)に表示される 「SPの詳細」 情報を確認します。
下図の エンティティ ID と ACS の URL をコピーします。これらをJunify側に設定します。
手順3:Junify側でのSAML設定完了
再びJunifyの管理画面に戻り、Googleから取得した情報を反映させて設定を完了します。
手順1で開いていたJunifyの「SAML設定」セクションに戻ります。
エンティティID:手順1で入力した仮の「google」を消し、手順2-8でGoogle側からコピーした「エンティティ ID」を貼り付けます。
SAML ACS URL:手順2-8でGoogle側からコピーした「ACS の URL」を貼り付けます。
その他の項目を以下のように設定してください。
| 設定項目 | 設定値 |
|---|---|
| NAME ID | メール |
| NAME IDのフォーマット | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress |
| SAMLレスポンスへの署名 | 署名する |
| SAMLログインの開始方式 | IdP-initiated |
| SAMLログイン URL | (空欄のまま) |
すべての入力が完了したら、「保存」ボタンをクリックします。
以上でSAML連携の設定は完了です。
手順4:動作確認(テスト)
設定が正しく機能するか確認を行います。
-
対象ユーザーへの配布
設定を行ったアプリケーションプロファイルのカードが、テストを行うユーザーに正しく配布されていることを確認してください。
-
メールアドレスの一致
Junify上のユーザーメールアドレスと、Google Workspace上のユーザーメールアドレスが完全に一致している必要があります。
-
ログイン試行
Junifyのポータル画面(マイページ)からGoogleアプリアイコンをクリックし、Google WorkspaceへSSOログインができるか確認してください。