SAML認証を使用したシングルサインオンを設定する

Security Assertion Markup Language(SAML)とは、異なるセキュリティドメイン間で認証情報を連携するための、XMLベースの標準仕様です。
SAML認証を設定すると、社内のIdentity Provider(IdP)に登録されたユーザーアカウントで、Kintoneにシングルサインオン(SSO)できます。
KintoneはSAML 2.0に対応し、Service Provider(SP)として動作します。

ここではSAML認証を使用したSSOの流れ、およびKintoneの設定手順を説明します。

SAML認証を使用したSSOの流れ

SAML認証を有効にすると、KintoneはSP InitiatedなSSOを行います。SAMLリクエストとSAMLレスポンスには、次のバインディングを使用します。

  • SAMLリクエスト:HTTP Redirect Binding
  • SAMLレスポンス:HTTP POST Binding

Kintoneがユーザーを認証する流れは、次のとおりです。

SAML認証を使用したSSOの流れを説明する図

  1. ユーザーがKintoneにアクセスする。
  2. KintoneがSAMLリクエストを生成する。
  3. ユーザーが、SPからSAMLリクエストを受け取る。
  4. IdPがユーザーを認証する。
  5. IdPがSAMLレスポンスを生成する。
  6. ユーザーが、IdPからSAMLレスポンスを受け取る。
  7. KintoneがSAMLレスポンスを受け取り、検証する。
  8. SAMLレスポンスの内容に問題がない場合は、ユーザーがKintoneにログインした状態になる。

Identity ProviderとKintoneをSAML認証で連携する

IdPとKintoneをSAML認証で連携するには、IdPとKintoneの両方で設定を行います。

IdPにKintoneを登録する

KintoneをSPとして設定するため、IdPに次の情報を登録します。

  • KintoneのエンドポイントURL:
    https://(サブドメイン名).kintone.com/saml/acs
  • エンティティID:
    https://(サブドメイン名).kintone.com
    URLの最後に"/"(スラッシュ)をつけないでください。
  • ユーザーを識別する要素:NameID
  • KintoneをSPとして登録する際に、メタデータファイルを使用することもできます。
    • メタデータファイルを入手するには:
      「Kintone共通管理」の「ログインのセキュリティ設定」画面で「SAML認証を有効にする」を選択し、[Service Providerメタデータのダウンロード」をクリックします。

KintoneでSAML認証を設定する

KintoneでSAML認証を有効化し、IdPの情報を設定します。

  1. 「Kintone共通管理」画面の「セキュリティ」の[ログイン]をクリックします。
  2. 「SAML認証を有効にする」を選択します。
  3. 必要な項目を設定します。
    • Identity ProviderのSSOエンドポイントURL(HTTP-Redirect)
      SAMLリクエストの送信先を設定します。
    • Kintoneからのログアウト後に遷移するURL
      Kintoneからログアウトした後に表示される、IdPのURLを設定します。
    • Identity Providerが署名に使用する公開鍵の証明書
      RSAかDSAのアルゴリズムで生成された、公開鍵の証明書ファイルを添付します。X.509形式の証明書のみ利用できます。
  4. [保存]をクリックします。
  5. SAML認証を使用してログインするユーザーのログイン名を確認します。
    Kintoneのユーザーのログイン名に、NameIDに関連付けた値が登録されているかどうかを確認します。
  6. SAML認証を使用してKintoneにSSOできるかどうかを確認します。
    次の操作ができれば、設定は完了です。
    • Kintoneにアクセスすると、IdPの認証に成功し、ログイン後の画面が表示される。
    • ログイン後の画面で、右上のユーザー名 > [ログアウト]の順にクリックすると、正常にログアウトできる。
      Kintoneの画面を表示している場合は、画像をクリックして、[ログアウト]をクリックします。