Salesforce プラットフォーム: シングルサインオン設定で期限切れの証明書を置き換える

シングルサインオン設定で期限切れの ID プロバイダー証明書を更新するには?

概要
ID プロバイダーの証明書の有効期限が近づいている、またはすでに期限切れとなっている場合、Salesforce のシングルサインオン設定で証明書を更新する必要があります。シングルサインオンとは、Salesforce 固有のユーザー名やパスワードの代わりに、外部 ID プロバイダーの認証情報を使用してユーザーが Salesforce にアクセスできるようにする認証方法です。シングルサインオン設定で使用される証明書は、SAML（Security Assertion Markup Language）を用いて ID プロバイダーを認証します。SAML とは、ID プロバイダーとサービスプロバイダーの間で認証および認可データを交換するための標準プロトコルです。 

ID プロバイダーの証明書は IDP（ID プロバイダー）チームから共有され、Salesforce のシングルサインオン設定でアップロードする必要があります。証明書の有効期限が近づいている場合、またはすでに切れている場合は、ID プロバイダーチーム（サードパーティ）が新しい証明書を発行し、貴社の Salesforce システム管理者に共有します。

重要である理由
セキュリティ上の理由から、SAML 証明書には有効期限が設けられています。証明書の有効期限が切れると、ユーザーはシングルサインオン経由で認証できなくなり、ログインの失敗や業務への支障を招くことになります。

影響を受ける対象
これは、以下のような外部 ID プロバイダーを使用して、SAML ベースのシングルサインオンを利用している組織に影響します。

• Okta、Azure AD、Ping Identity、OneLogin（一般的なエンタープライズ向け ID プロバイダー）
• カスタムSAML IDプロバイダ（独自の ID 管理システムを運用している組織）
• フェデレーション認証環境（ユーザーがサードパーティシステムを介して認証を行うすべての組織）

前提条件
有効期限が切れた、または期限が近づいているSSO証明書を置き換える前に、以下の準備が整っていることを確認してください。

アクセス権と権限

• システム管理者プロファイル、または「すべてのデータの編集」権限
• [設定] > [ID] > [シングルサインオン設定] へのアクセス権
• ユーザー名とパスワードによる認証が可能な、バックアップ用の管理者アカウント

証明書の要件

• ID プロバイダーの証明書の場合：ID プロバイダーチームから提供された、.crt または .cer 形式の新しい証明書ファイル
• Salesforce 証明書（自己署名証明書）の場合：設定の [証明書と鍵の管理] へのアクセス権

連携と調整

• ダウンタイムを最小限に抑えるため、ID プロバイダーチームと証明書更新のスケジュールを調整する
• ID プロバイダー側と Salesforce の両方で、同時に証明書を更新するように計画を立てる
• 更新作業中、一時的にSSOが中断する可能性があることをユーザーに通知する

Salesforceのシングルサインオンにおける証明書の種類について

SAMLベースのシングルサインオン設定で使用される証明書には、主に2つの種類があります。

1. ID プロバイダー（IDP）証明書
   • サードパーティの ID プロバイダー（例：Okta、Azure AD、Ping Identity など）によって発行および管理されます
   • ID プロバイダーから Salesforce に送信される SAML アサーションの検証に使用されます
   • Salesforce 内の「シングルサインオン設定」に保存されます
   • 一般的な有効期間：1～3年（ID プロバイダー によって異なります）
   • ID プロバイダーが新しい証明書を発行した際は、Salesforce 上で更新する必要があります
2. サービスプロバイダ（Salesforce）証明書
   • Salesforce 内の「証明書と鍵の管理」から生成されます
   • Salesforce が SAML リクエストを開始する際 (SP-initiated SSO) に使用されます。
   • Salesforce 内で作成される自己署名証明書です。
   • 利用可能な鍵のサイズ：2048 ビットおよび 3072 ビット（有効期間 1 年）、4096ビット（有効期間 2 年）
   • ファイル拡張子：.crt

具体的な手順

ID プロバイダーの証明書の置き換え（最も一般的なケース）

1. [シングルサインオン設定] に移動する
   • Lightning Experience の場合：[歯車] アイコン > [設定] > [ID] > [シングルサインオン設定] をクリックします
   • Salesforce Classic の場合：[設定] > [管理] > [セキュリティのコントロール] > [シングルサインオン設定] をクリックします
2. シングルサインオン設定を編集する
   • 証明書の更新が必要なシングルサインオン設定を見つけます
   • [編集] をクリックします
3. 新しい証明書をアップロードする
   • [ID プロバイダーの証明書] 項目を見つけます
   • [ファイルを選択] をクリックします
   • 新しい証明書ファイル（拡張子が.crtまたは.cerのもの）を選択します
   • 正しいファイルが選択されていることを確認します
4. 変更を保存する
5. ID プロバイダーチームと連携する
   
   • ID プロバイダーチームも同時に証明書を更新していることを確認します
   • 証明書が一致しない場合、SSO認証エラーの原因となります

新しい自己署名証明書の生成（サービスプロバイダ - 必要な場合）

1. 証明書と鍵の管理にアクセスする
   
   • [設定] から、[クイック検索] ボックスに「証明書」と入力します
   • [証明書と鍵の管理] を選択します
2. 証明書を作成する
   • [自己署名証明書の作成] をクリックします
3. 証明書の詳細を設定する
   • 表示ラベル: わかりやすい名前を入力します（例：「SSO Certificate 2026」など）
   • 一意の名前: 自動入力された名前を使用するか、カスタマイズします（英数字とアンダースコアのみ使用可能、必ず文字から始まる必要があります）
   • 鍵サイズ:
     • 2048 ビットまたは 3072 ビット：有効期間 1 年、パフォーマンスが高速
     • 4096 ビット：有効期間 2 年、Shield Platform Encryption での推奨サイズ
4. 保存とダウンロード
5. [保存] をクリックする
   • 証明書と鍵が自動的に生成されます
   • ID プロバイダーと共有するため、.crtファイルをダウンロードします
     注：組織ごとに許可されている証明書の最大数は50です
6. ID プロバイダーの設定を更新する
   • ダウンロードした .crt ファイルを ID プロバイダーチームに提供します
   • ID プロバイダーチームが新しい証明書を使用して SAML 設定を更新します