メインコンテンツへ移動

Google SAML統合ガイド

運用シナリオ​

Google WorkspaceのSAMLを利用したシングルサインオン（SSO）はセキュアな認証方式を提供し、ユーザーは単一のIDプロバイダー（IdP）で複数サービスへアクセスできます。

前提条件​

  1. Google Workspace管理者権限を持つアカウント。
  2. ドメインがGoogle Workspaceで認証済みであること。

操作手順​

SAMLアプリケーションの設定​

  1. Google管理コンソールにログインします。
  2. セキュリティ設定へ移動し、アプリ > Web & モバイルアプリ を選択します。
  3. アプリを追加 > カスタムSAMLアプリを追加 をクリックします。 a11
  4. アプリケーションパラメータを入力し、続行をクリックします。 a11
  5. IdPパラメータを確認後、続行をクリックします。 a11
  6. ACS URL、Entity IDのパラメータを入力します。サービスアドレスの固定サフィックス {HAP}/orgsso/assert, {HAP}/orgsso/metadata.xml を入力します。これらは後ほど有効化されます。続行をクリックします。 a11
  7. 属性マッピングを設定し、返却するユーザー情報属性（氏名、メールアドレスなど）を入力し、完了をクリックします。 a11
  8. 設定が完了します。 a11
  9. ユーザーのアクセス権限を設定します。 a11 a11 a11
  10. メタデータをダウンロードします。これは後ほど HAP サービスのアイデンティティ認証元（IdP）設定時に使用します。 a11

HAPでSAMLアプリケーションシングルサインオンを統合​

ヒント

詳細手順はプライベートデプロイメントのドキュメント シングルサインオン統合方法 - SAML2 を参照してください。

  1. sso.json を以下の内容で設定します。
{
  "mode": "common-saml2",
  "name": "saml2",
  "saml2": {
    "entityId": "{HAP}/orgsso/metadata.xml",
    "assertUrl": "{HAP}/orgsso/assert",
    "params": {
      "UserId": "name_id",
      "Name": "FirstName",
      "Email": "PrimaryEmail"
    },
    "autoRegister": true,
    "projectId": ""
  }
}
  1. idp.xml を設定し、前段でダウンロードしたメタデータファイルをサーバーの所定ディレクトリへアップロードします。
  2. docker-compose.yaml を修正し、設定ファイルをマウントします（クラスターモードでは差異あり）。サービスを再起動します。
- ./volume/sso/sso.json:/usr/local/MDPrivateDeployment/sso/OptionFile/sso.json
- ./volume/sso/metadata/idp.xml:/usr/local/MDPrivateDeployment/sso/OptionFile/metadata/idp.xml
  1. 再起動後、{HAP}/orgsso/metadata.xml へアクセスし、対応する xml 出力を確認します。 a11

ユーザーSSOログイン​

  1. ブラウザでシングルサインオンのエントリアドレス {HAP}/orgsso/sso を入力します。
  2. 組織アカウントでログインします。 a11 a11 a11
  3. HAPへのログインが正常に完了します。 a11
  4. ユーザーの組織ユニットを変更すると、403 が表示されます。 a11 a11