Loading
システム管理者に対するフィッシング耐性MFA・全従業員ユーザーMFAの適用のお知らせ 続きを読む
ただいま大変多くのお問い合わせをいただいており、ご連絡までにお時間を頂戴しております続きを読む
Salesforce 組織のセキュリティ保護
SAML サービスプロバイダー統合の前提条件の完了

詳細情報:

  1. Salesforce ヘルプ
  2. ドキュメント
  3. Salesforce 組織のセキュリティ保護

SAML サービスプロバイダー統合の前提条件の完了

サービスプロバイダーを Salesforce に統合する前に、組織を ID プロバイダーとして有効化して、SAML シングルサインオン (SSO) 情報をサービスプロバイダーと交換します。

必要なエディション

使用可能なインターフェース: Salesforce Classic および Lightning Experience の両方
使用可能なエディション: Developer Edition、Enterprise Edition、Performance Edition、Unlimited Edition、および Database.com Edition
必要なユーザー権限
ID プロバイダーとサービスプロバイダーの定義と変更 「アプリケーションのカスタマイズ」

開始する前に、SalesforceをIDプロバイダーとして有効化します。

  1. Salesforce の ID プロバイダーとしての設定に関するサービスプロバイダー情報を指定します。この情報は、サービスプロバイダーがサポートする形式により、XML ファイルのメタデータ、または証明書として共有できます。この情報にアクセスするには、次の手順を実行します。
    1. [設定] から、[クイック検索] ボックスを使用して [ID プロバイダー] を見つけて選択します。
    2. サービスプロバイダーがメタデータをサポートしている場合は [メタデータのダウンロード] をクリックします。サービスプロバイダーが証明書をサポートしている場合は [証明書のダウンロード] をクリックします。
    メモ
    メモ Salesforce では、サービスプロバイダーに送信される SAML アサーションの存続期間も定義します。Salesforce ID プロバイダーによって送信された SAML アサーションは、発行から 5 分間有効であり、クロックスキューに対応する 30 秒のバッファがあります。たとえば、アサーションが 12:00:00 GMT に発行された場合、11:59:30 GMT から 12:05:00 GMT の間有効になります。通常、サービスプロバイダーは、この期間以外に SAML 応答を受信してもアサーションを拒否します。この要件に適合するようにサービスプロバイダーと協力します。
  2. サービスプロバイダーから次の設定情報を取得します。
    • アサーションコンシューマーサービス (ACS) URL — ID プロバイダーが SAML 応答を送信する URL。
    • エンティティ ID — サービスプロバイダーの一意の識別子。
    • 件名種別 — サービスプロバイダーが想定する、Salesforce がユーザー ID 情報を送信する SAML アサーション内の場所を指定。Salesforce は、アサーションの件名またはカスタム属性でユーザー情報を送信できます。
    • セキュリティ証明書 — サービスプロバイダーが Salesforce 経由でログインを開始し、SAML 要求に署名する場合に必要になります。
  3. 機密性の高いリソースの保護を強化するには、サービスプロバイダーで強制認証を設定します。強制認証では、すでに Salesforce にログインしているユーザーでも、サービスプロバイダーにアクセスしようとするときにログイン情報を再入力する必要があります。

    強制認証を設定するには、サービスプロバイダーと協力して ForceAuthn パラメーターを SAML 要求に追加します。次の強制認証 SAML 要求の例を共有できます。SSO 中にサービスプロバイダーはこのパラメーターを使用して、ユーザーの再認証が必要であることを Salesforce に通知します。組織で追加設定を行う必要はありません。Salesforce が ID プロバイダーとして機能する場合、強制認証は自動的にサポートされます。

    Salesforce が強制認証で受け入れる SAML 要求の例を次に示します。

    <?xml version="1.0" encoding="UTF-8"?>
<samlp:AuthnRequest 
  AssertionConsumerServiceURL="ACS_URL" 
  Destination="IDP_INIT_LOGIN_URL" 
  Version="2.0" 
  IssueInstant="2011-05-20T13:01:00.000Z'
  ProviderName="https://saml.salesforce.com"
  ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
  xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
  ForceAuthn = "true">
  <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">ENTITY_ID</saml:Issuer>
</samlp:AuthnRequest>

関連項目:

 
読み込み中
Salesforce Help | Article