SAML サービスプロバイダー統合の前提条件の完了
サービスプロバイダーを Salesforce に統合する前に、組織を ID プロバイダーとして有効化して、SAML シングルサインオン (SSO) 情報をサービスプロバイダーと交換します。
必要なエディション
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience の両方 |
| 使用可能なエディション: Developer Edition、Enterprise Edition、Performance Edition、Unlimited Edition、および Database.com Edition |
| 必要なユーザー権限 | |
|---|---|
| ID プロバイダーとサービスプロバイダーの定義と変更 | 「アプリケーションのカスタマイズ」 |
開始する前に、SalesforceをIDプロバイダーとして有効化します。
-
Salesforce の ID プロバイダーとしての設定に関するサービスプロバイダー情報を指定します。この情報は、サービスプロバイダーがサポートする形式により、XML ファイルのメタデータ、または証明書として共有できます。この情報にアクセスするには、次の手順を実行します。
- [設定] の [クイック検索] ボックスに「ID プロバイダー」と入力し、[ID プロバイダー] を選択します。
- サービスプロバイダーがメタデータをサポートしている場合は [メタデータのダウンロード] をクリックします。サービスプロバイダーが証明書をサポートしている場合は [証明書のダウンロード] をクリックします。
メモ Salesforce では、サービスプロバイダーに送信される SAML アサーションの存続期間も定義します。Salesforce ID プロバイダーによって送信された SAML アサーションは、発行から 5 分間有効であり、クロックスキューに対応する 30 秒のバッファがあります。たとえば、アサーションが 12:00:00 GMT に発行された場合、11:59:30 GMT から 12:05:00 GMT の間有効になります。通常、サービスプロバイダーは、この期間以外に SAML 応答を受信してもアサーションを拒否します。この要件に適合するようにサービスプロバイダーと協力します。 -
サービスプロバイダーから次の設定情報を取得します。
- アサーションコンシューマーサービス (ACS) URL — ID プロバイダーが SAML 応答を送信する URL。
- エンティティ ID — サービスプロバイダーの一意の識別子。
- 件名種別 — サービスプロバイダーが想定する、Salesforce がユーザー ID 情報を送信する SAML アサーション内の場所を指定。Salesforce は、アサーションの件名またはカスタム属性でユーザー情報を送信できます。
- セキュリティ証明書 — サービスプロバイダーが Salesforce 経由でログインを開始し、SAML 要求に署名する場合に必要になります。
-
機密性の高いリソースの保護を強化するには、サービスプロバイダーで強制認証を設定します。強制認証では、すでに Salesforce にログインしているユーザーでも、サービスプロバイダーにアクセスしようとするときにログイン情報を再入力する必要があります。
強制認証を設定するには、サービスプロバイダーと協力して
ForceAuthnパラメーターを SAML 要求に追加します。次の強制認証 SAML 要求の例を共有できます。SSO 中にサービスプロバイダーはこのパラメーターを使用して、ユーザーの再認証が必要であることを Salesforce に通知します。組織で追加設定を行う必要はありません。Salesforce が ID プロバイダーとして機能する場合、強制認証は自動的にサポートされます。Salesforce が強制認証で受け入れる SAML 要求の例を次に示します。
<?xml version="1.0" encoding="UTF-8"?> <samlp:AuthnRequest AssertionConsumerServiceURL="ACS_URL" Destination="IDP_INIT_LOGIN_URL" Version="2.0" IssueInstant="2011-05-20T13:01:00.000Z' ProviderName="https://saml.salesforce.com" ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ForceAuthn = "true"> <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">ENTITY_ID</saml:Issuer> </samlp:AuthnRequest>
これらの前提条件を完了したら、次の手順を実行します。
関連項目:
この記事で問題は解決されましたか?
ご意見をお待ちしております。
