ISVforce ガイド
jSAML 2.0 を使用した接続アプリケーションとしてサービスプロバイダを統合
サービスプロバイダと Salesforce 組織を統合するために、ユーザ認証に SAML 2.0 を実装する接続アプリケーションを使用できます。サービスプロバイダまたは ID プロバイダがフローを開始する場合は、Salesforce が SAML シングルサインオン (SSO) をサポートします。このオプションを使用するには、サービスプロバイダの SAML 2.0 を有効にして接続アプリケーションを設定します。Salesforce 組織を、SAML ID プロバイダとして定義します。
| 使用可能なインターフェース: Salesforce Classic (使用できない組織もあります) および Lightning Experience の両方 |
| 接続アプリケーションを作成可能なエディション: Group Edition、Professional Edition、Enterprise Edition、Essentials Edition、Performance Edition、Unlimited Edition、および Developer Edition 接続アプリケーションをインストール可能なエディション: すべてのエディション |
| 必要なユーザ権限 | |
|---|---|
| 接続アプリケーションを参照、作成、更新または削除する | 「アプリケーションのカスタマイズ」および 「すべてのデータの編集」または「接続アプリケーションの管理」のいずれか |
| プロファイル、権限セット、およびサービスプロバイダの SAML 属性以外のすべての項目を更新する | 「アプリケーションのカスタマイズ」および 「すべてのデータの編集」または「接続アプリケーションの管理」のいずれか |
| プロファイル、権限セット、およびサービスプロバイダの SAML 属性を更新する | 「アプリケーションのカスタマイズ」および「すべてのデータの編集」および「プロファイルと権限セットの管理」 |
| 接続アプリケーションをインストールおよびアンインストールする | 「アプリケーションのカスタマイズ」および 「すべてのデータの編集」または「接続アプリケーションの管理」のいずれか |
| パッケージ化された接続アプリケーションをインストールおよびアンインストールする | 「アプリケーションのカスタマイズ」および 「すべてのデータの編集」または「接続アプリケーションの管理」のいずれか および「AppExchange パッケージのダウンロード」 |
たとえば、ユーザ認証に SAML 2.0 を実装したカスタムの Your Benefits (従業員福利厚生) という Web アプリケーションを構築したとします。ユーザが各自の Salesforce ログイン情報を使用して、このアプリケーションにログインできるようにしたいと考えています。この SSO フローを設定するには、Your Benefits (従業員福利厚生) Web アプリケーションを接続アプリケーションとして設定します。Salesforce 組織を、この接続アプリケーションの SAML ID プロバイダとして定義します。これでユーザが各自の Salesforce ログイン情報を使用して、Your Benefits (従業員福利厚生) アプリケーションにログインできるようになります。
- 「サービスプロバイダの定義の前提条件」に記載されている前提条件を完了します。
-
認証後にユーザを特定の場所に転送するには、アプリケーションの開始 URL を入力します。
開始 URL には https://na1.salesforce.com/001/o などの絶対 URL を使用できます。または、GoodApp の場合は、https://customer.goodApp.com などのアプリケーション名のリンクを使用できます。開始 URL を指定すると、アプリケーションメニューおよびアプリケーションランチャーでアプリケーションを使用できるようになります。作成している接続アプリケーションがキャンバスアプリケーションの場合は、この項目をスキップします。[キャンバスアプリケーションの URL] 項目には、接続アプリケーションからコールされる URL が含まれます。
- 接続アプリケーションを作成し、その基本情報を完了します。
-
[Web アプリケーション設定] セクションで [SAML の有効化] を選択し、次の情報を入力します。この情報はサービスプロバイダから入手できます。
- エンティティ ID — サービスプロバイダのグローバル一意識別子。サービスプロバイダから複数のアプリケーションにアクセスする場合、そのサービスプロバイダを定義します。次に、RelayState パラメータを使用して、サイ��イン後にユーザを適切なアプリケーションに移動させるための URL 値を追加します。
- ACS URL — (アサーションコンシューマサービス) SAML アサーションを受け取るサービスプロバイダのエンドポイント。
- 件名種別 — アプリケーションのユーザ ID を定義するフィールドを指定します。ユーザのユーザ名、統合 ID、ユーザ ID、カスタム属性、またはアルゴリズムを使用して計算された永続 ID などのオプションがあります。カスタム属性とは、組織の User オブジェクトに追加されたカスタム項目で、データ型がメール、テキスト、URL、数式のいずれかに該当するものです。件名種別に [カスタム属性] を選択すると、[カスタム属性] 項目に組織で使用できる User オブジェクトのカスタム項目のリストが表示されます。
- 名前 ID 形式 — SAML メッセージで送信される形式属性を指定します。デフォルトの選択は [未定義] です。SAML サービスプロバイダによっては、この形式をメールアドレス、persistent (永続)、または transient (一時) に設定できます。
- 発行者 — デフォルトでは、組織の [私のドメイン] が ID プロバイダの標準発行者です。SAML サービスプロバイダによって別の値が要求される場合、それをここに指定します。
-
ユーザが Salesforce からログアウトしたときにユーザを接続アプリケーションサービスプロバイダから自動的にログアウトするには、[シングルログアウトを有効化] を選択します。次に、以下の手順を実行します。
- サービスプロバイダのシングルログアウトエンドポイントを入力します。ユーザが Salesforce からログアウトすると、Salesforce はログアウト要求をこの URL に送信します。シングルログアウト URL は、https:// で始まる絶対 URL にする必要があります。
-
サービスプロバイダに Salesforce IdP SLO エンドポイントを提供します。エンドポイントは、シングルログアウトエンドポイントとして SAML ログイン情報にリストされます。また、検出エンドポイントとして SAML メタデータファイルにもリストされます。エンドポイントの形式は https://<domain>.my.salesforce.com/services/auth/idp/saml2/logout で、<domain> は組織の [私のドメイン] の名前です。
- サービスプロバイダから提供されるシングルログアウトの HTTP バインド種別を選択します。
- サービスプロバイダが Salesforce からの SAML 要求を検証するための一意の証明書を要求する場合、システムから証明書をアップロードします。それ以外の場合、この設定を [デフォルトの IdP 証明書] のままにします。
-
サービスプロバイダからセキュリティ証明書が提供されている場合、[要求署名を確認] を選択します。システムで証明書を参照してアップロードします。この証明書が必要になるのは、Salesforce へのログインをサービスプロバイダから開始するように計画しており、そのサービスプロバイダが SAML 要求に署名する場合のみです。
- 必要に応じて、[SAML レスポンスを暗号化] を選択し、システムで証明書を参照してアップロードします。アサーションを暗号化するための暗号化メソッドを選択します。有効な暗号化アルゴリズム値は、AES–128 (128 ビット鍵)、AES–256 (256 ビット鍵)、および Triple-DES (トリプルデータ暗号化アルゴリズム) です。
- 接続アプリケーションのすべての設定が完了したら、[保存] をクリックします。