公開
マニュアル一覧へ

ご契約者向け
マニュアル一覧へ

IIJ IDサービス 外部サービス連携設定例マニュアル

Growbase

【参考】

2023年08月15日時点での情報で掲載しています。

「Growbase」との認証連携を設定します。

【注意】

  • GrowbaseとのSAML連携設定は、Growbaseのベンダーにて実施されます。そのため、Growbaseを購入された担当営業にIIJ IDサービスとSAML連携したい旨を、依頼していただく必要があります。
  • GrowbaseがSAMLで認証するキーは「メールアドレス」もしくは「従業員番号」です。どちらをキーにして連携させるかは事前にGrowbaseのベンダーへご連絡ください。
  • 選択した値をIIJ IDサービス内の各ユーザ共通のユーザ属性に同一の値を保持しておく必要があります。

1. IIJ IDサービスにSAMLアプリケーションを登録する

1. 「アプリケーション」の「アプリケーションの管理」 をクリックします。

2. 「アプリケーションを追加する」をクリックし、「カスタムアプリケーションを追加する」をクリックします。

3. 「SAMLアプリケーション」を選択し、「次に進む」をクリックします。

4. 「アプリケーション情報」を入力し、「アプリケーションを追加する」をクリックします。

項目内容備考
アプリケーション名例）Growbase必須
アプリケーションの説明例）健康管理クラウド任意
アプリケーションロゴ（ファイルアップロード）任意
IDプロバイダの選択「アプリケーション専用のエンティティIDを利用」を選択必須


2. IIJ IDサービスのIDプロバイダ情報を確認する

1. 作成されたSAMLアプリケーションの「編集する」をクリックします。

2. 「IDプロバイダ情報」をクリックします。

3. 「メタデータ」の「ダウンロードする」をクリックし、IDプロバイダのメタデータをダウンロードします。

3. Growbaseのベンダーとメタデータを交換する

1. 以下の情報をGrowbaseのベンダーに連絡します。

項目

内容備考
IDプロバイダのメタデータ

手順2-3で取得したIDプロバイダのメタデータ


SAMLで認証するキー

「メールアドレス」または「従業員番号」を選択


Growbaseにシングルサインオンする際にGrowbaseのログイン画面を経由させるか

以下のいずれかを選択

  • Growbaseのログイン画面のURLにアクセスした際にGrowbase独自のID、及びパスワードでの認証かシングルサインオンするかユーザーが選択
  • Growbaseのログイン画面のURLにアクセスした時点でシングルサインオンしてログイン（Growbaseのログイン画面が出ない）
「Growbaseのログイン画面URLにアクセスした際に、Growbase独自のID、及びパスワードでの認証かシングルサインオンするかユーザーが選択」を選択するとGrowbaseにはGrowbase独自のID、及びパスワードでの認証でもIIJ IDサービスの認証でもログインできるようになります。ただし、Growbase独自のID、及びパスワードでの認証でログインした場合、IIJ IDサービスの認証を利用していないため、IIJ IDサービスのIPアドレス制御機能や多要素認証を利用できなくなります

「Growbaseのログイン画面URLにアクセスした時点でシングルサインオンしてログイン」を選択するとGrowbaseの認証にIIJ IDサービスの認証が強制的に要求されます。これによりGrowbaseに加え、IIJ IDサービス上にログイン可能なアカウントが存在していないとGrowbaseにログインできなくなります。また、「Growbaseのログイン画面URLにアクセスした時点でシングルサインオンしてログイン」を選択した場合、
Growbase独自のID、及びパスワードでログインするための別のログイン画面URLを用意することもできます

既存でGrowbaseをご利用されている場合は、Growbase側のSAML連携作業が実施されるとユーザ影響が発生しますので、SAML認証適用のタイミングなど、詳細はGrowbaseのベンダーへご確認ください

2. Growbaseのベンダーより、SPメタデータを入手します。

3. Growbaseのベンダーより、IDプロバイダのメタデータの設置作業完了の連絡を受けます。

4. IIJ IDサービスのSAMLアプリケーションを設定する

1. 「アプリケーション」の「アプリケーションの管理」 をクリックします。

2. SAMLアプリケーションの「編集する」をクリックします。

3. 「フェデレーション設定」をクリックします。

4. 以下のとおり設定し、「変更を適用する」をクリックします。


項目内容備考
SAML基本情報  



SPのメタデータをアップロードする「SPのメタデータをアップロードする」をチェック
SPメタデータ手順3-2で入手したSPのメタデータをアップロード
検証後の遷移先(RelayState)（空欄）
アプリケーションのトップページURL（空欄）
アサーションの署名アルゴリズム

例）
RSA-SHA256


ユーザ識別子(NameID)の指定関連付けるユーザ属性

例）
ID

認証するキーに選択した値が格納されている属性を指定します

【参考】

「アサーションの署名アルゴリズム」は連携先サービス側で指定などがない場合、デフォルト値の「RSA-SHA256」を選択してください。

「RSA-SHA256」を指定して動作しない場合及び連携先サービス側で明示的にそれ以外のものが指定されている場合は、「RSA-SHA512」、または「RSA-SHA1」に変更し、連携を確認してください。

【参考】

  • 「ユーザ識別子(NameID)」の指定は、ユーザ単位ではなくSAMLアプリケーション単位でのみ設定できます。
  • 「ユーザ識別子(NameID)」の指定した属性にユーザが値を保持していない場合は SAML連携は失敗します。
  • 「ユーザ識別子(NameID)」にID以外の複数の値を持つ属性で指定する方法は以下のとおりです。
    例として、IIJ IDサービスの各ユーザの属性「Entitlements」に以下のように値が設定されています。

    • 連携先サービス側に「ユーザ識別子(NameID)」として渡す値が「iij-jiro@iij.ad.jp」の場合は、「プライマリの値を使用する」をチェックします。
    • 連携先サービス側に「ユーザ識別子(NameID)」として渡す値が「iij-jiro」の場合は、「タイプと一致する値を使用する」をチェックし、タイプに「SaaS_ID」を指定します。

【注意】

  • 「ユーザ識別子(NameID)」としてID以外の属性を指定していると、IIJ IDサービスに対する更新処理でその属性の値が更新される場合があります。ただし、その更新は連携先サービスまで伝搬されないため、IIJ IDサービス側の属性の値が更新されると、連携していたアカウントに接続できなくなります。「ユーザ識別子(NameID)」としている属性の値が更新される場合は、連携先サービス側で紐づく属性（多くの場合、ユーザID）を忘れずに更新してください。
  • 以下の画像のように複数のタイプに「SaaS_ID」が設定されている場合、「ユーザ識別子(NameID)」に「SaaS_ID」を指定すると、サービスマニュアルに記載されているルールに基づいていずれかの単数値だけが採用されます。連携対象のサービスに管理者の意図しないアカウントがSAML連携される危険性があります。対象となる各ユーザにおいて、「ユーザ識別子(NameID)」として指定するタイプが複数個存在しないように注意してください。

5. 「利用者設定」をクリックします。

6. 「利用者を追加する」をクリックし、アプリケーションにシングルサインオンさせたいグループ及びユーザを指定します。

【参考】

利用者に登録していないユーザにもこのアプリケーションを利用させたい場合は、「アプリケーションへのログイン」の「編集」をクリックしします。

「利用者でないユーザも、アプリケーションへのログインを許可する」を選択し、「変更を適用する」をクリックします。