SAML ID プロバイダーとしての Salesforce の有効化

組織がサービスプロバイダーと通信できるようにするために使用する証明書を決定します。デフォルトの証明書を使用するか、独自の証明書を作成できます。「証明書とキーの管理」を参照してください。

• デフォルトでは、Salesforce ID プロバイダーは、SHA-256 署名アルゴリズムによって生成される自己署名証明書を使用します。デフォルトの証明書を使用する場合は、ステップ 1 に進みます。
• 自己署名証明書を作成するには、「自己署名証明書の生成」の手順に従ってから、ステップ 1 に進みます。
• CA 署名証明書を作成するには、「認証機関によって署名された証明書の生成」の手順に従ってから、ステップ 1 に進みます。

ID プロバイダー情報を確認するには、[設定] から、[クイック検索] ボックスに「ID プロバイダー」と入力し、[ID プロバイダー] を選択します。

このページから、次のアクションを実行できます。

• ID プロバイダー証明書を変更するには、[編集] をクリックします。
  

  警告 証明書を変更すると、外部アプリケーションへのアクセスが無効化される場合があります。新しい証明書情報を確認するには、すべての外部アプリケーションを更新します。
• ID プロバイダーとしての組織を無効化するには、[無効化] をクリックします。
  

  警告 ID プロバイダーとしての組織を無効化すると、ユーザーは SSO で外部アプリケーションにアクセスできなくなります。
• ID プロバイダー証明書をダウンロードするには、[証明書のダウンロード] をクリックします。サービスプロバイダーは、この情報を使用して Salesforce に接続できます。
• ID プロバイダーに関するメタデータの XML ファイルをダウンロードするには、[メタデータのダウンロード] をクリックします。サービスプロバイダーは、このメタデータを使用して Salesforce に接続できます。
• [詳細] セクションの [発行者] で、Salesforce ID プロバイダーの一意の識別子を確認します。
• [SAML のメタデータ検出エンドポイント] セクションでは、カスタムドメインおよび任意の Experience Cloud サイトの ID プロバイダーのメタデータにアクセスできます。一部のサービスプロバイダーは、この URL を使用して Salesforce に接続するためのシングルサインオンを設定します。たとえば、Amazon Web Services (AWS) をサービスプロバイダーとして設定する場合は、Salesforce ID プロバイダーのメタデータを AWS にアップロードします。

  カスタムドメインやサイトの ID プロバイダーのメタデータは次の項目に入っています。

  • Salesforce ID — カスタムドメインの ID プロバイダーメタデータの URL。
  • コミュニティ ID — 特定の Experience Cloud サイトの ID プロバイダーメタデータの URL。たとえば、XYZ という名前のサイトを設定してある場合は、[XYZ Community Identity] と表示されます。

Salesforce では、サービスプロバイダーに送信される SAML アサーションの存続期間も定義します。Salesforce ID プロバイダーによって送信された SAML アサーションは、発行から 5 分間有効であり、クロックスキューに対応する 30 秒のバッファがあります。たとえば、アサーションが 12:00:00 GMT に発行された場合、11:59:30 GMT から 12:05:00 GMT の間有効になります。通常、サービスプロバイダーは、この期間以外に SAML 応答を受信してもアサーションを拒否します。

Salesforce を ID プロバイダーとして有効化したら、次の手順を実行します。

• サービスプロバイダーを統合するための前提条件を完了します。
• サービスプロバイダーを SAML 対応アプリケーションとして統合します。
• Salesforce ユーザーをサービスプロバイダーに対応付けます。