Azure AD (Entra ID) SAML SSO をあなたの認証プロバイダーと統合する方法

標準 SAML コネクタを使用して Azure AD SSO を Logto と統合する方法を学びます。

Simeng

Developer

9/2/2023

Logto は SSO アイデンティティプロバイダーと統合するためのボックスから出してすぐ使える SAML コネクタを提供します。各プロバイダーには設定するための特定の情報があります。このガイドでは、Azure AD と Logto を統合する手順を紹介します。

無料で Logto クラウドを試す

Logto に新しい SAML ソーシャルコネクタを作成する

Logto Cloud コンソールにアクセスし、コネクタセクションに移動します。
ソーシャルコネクタ タブに切り替え、右上の ソーシャルコネクタを追加 ボタンをクリックします。
SAML コネクタを選択します。

SAML コネクタ作成フォームが表示されます:

コネクタの一般情報を入力します。

コネクタの一般情報

フィールド名	説明
ソーシャルサインインボタン用の名前	ログインページに表示されるソーシャルサインインボタンの名前です。
ソーシャルサインインボタン用のロゴ URL	ログインページに表示されるソーシャルサインインボタンのロゴ URL です。
アイデンティティプロバイダー名	コネクタのターゲットプロバイダーを識別するのに役立つアイデンティティプロバイダーの名前です。
プロフィール情報の同期	初回のサインアップ後または各サインインセッション後にのみアイデンティティプロバイダーからのユーザープロフィール情報を同期するかどうか。

エンティティ ID と Assertion Consumer Service URL を設定します。

エンティティ ID と Assertion Consumer Service URL

"エンティティ ID" と "ACS URL" は、アイデンティティプロバイダーとサービスプロバイダーによる SAML エクスチェンジプロセスにおいて重要な要素です。

SP エンティティ ID: エンティティ ID は SAML ベースのシステム内の SAML エンティティを表す一意の識別子です。SAML エクスチェンジの異なる参加者を区別するために使用されます。SP エンティティ ID は、IdP がリクエストオーディエンスを認識して信頼を築くのを助けます。

ACS URL (Assertion Consumer Service URL): ACS URL はサービスプロバイダー (Logto) が提供する特定のエンドポイントで、アイデンティティプロバイダー (IdP) が認証成功後に SAML アサーションを送信します。IdP がユーザーを認証すると、IdP はユーザー属性を含む SAML アサーションを生成し、デジタル署名します。IdP はこのアサーションを SP の ACS URL に送信します。SP はアサーションを検証し、ユーザー属性を抽出し、ユーザーをログインさせます。

フィールド名	説明	例
SP エンティティ ID (オーディエンス)	AzureAD が Logto のアイデンティティを識別するために使用する SP エンティティ。エンティティ ID として Logto テナントエンドポイントを使用することをお勧めします。	https://`<tenant-id>`.logto.app
IdP シングルサインオン URL	IdP サインインエンドポイント。Azure ではオプション。このフィールドは、SP が IdP 開始のサインインセッションを識別するために使用されます。現在、Logto は IdP 開始のサインインセッションをサポートしていません。このフィールドは空欄のままにしてください。
X.509 証明書	SAML アサーションの署名に使用される IdP 証明書。(この証明書は後で AzureAD から取得します)
IdP メタデータ (XML 形式)	IdP メタデータ XML ファイルの内容。(このファイルは後で AzureAD から取得します)
Assertion Consumer Service URL	SAML アサーションリクエストを受信するための SP (Logto) の ACS URL。テナント ID とコネクタ ID を自分のものに置き換えてください。	https://`<tenant-id>`.logto.app/api/authn/saml/`<connector-id>`

Azure ポータルで SAML SSO アプリケーションを作成

Azure Active Directory ダッシュボードにログインします。「エンタープライズアプリケーション」を選択します。
「新しいアプリケーション」→「自分のアプリケーションを作成」を選択します。
SAML アプリケーションを初期化します。
Logto で設定した EntityId と ACS URL で設定を入力します。
ユーザー属性とクレームを設定します。

「ユーザー属性とクレーム」セクションの「編集」ボタンをクリックしてユーザー属性を設定できます。

Logto には、SAML アサーションで送信される次の基本的なユーザー属性が必要です:

クレーム名属性名
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress user.mail
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name user.name
SAML アプリケーションにグループとユーザーを割り当てるユーザーまたはユーザーのグループが認証されるために、AzureAD SAML アプリケーションにそれらを割り当てる必要があります。ナビゲーションメニューの「管理」セクションから「ユーザーとグループ」を選択します。「ユーザー/グループを追加」を選択します。
証明書とメタデータファイルをダウンロードして AzureAD IdP の詳細を取得します。「ダウンロード」ボタンをクリックして Federation Metadata XML ファイルと 証明書 (Base64) ファイルをダウンロードします。これらのファイルは Logto での SAML コネクタ作成を完了するために必要です。