シングルサインオン (SSO)

できること

シングルサインオンがオンだと、メンバーはサインインページでシングルサインオンを使うを選び、あなたのプロバイダーへ送られます。プロバイダーが本人を示すと、Auddomateがサインインさせます。新しい人は初回サインイン時に作成できるので、組織への参加はあなたのディレクトリにいるかどうかの問題になります。オーナーは全員に必須にでき、誰も締め出されないよう自分のパスワードは予備として保持します。

#OpenID ConnectかSAMLか

どちらも同じ仕事をします：プロバイダーが本人であることを保証し、Auddomateがそれを信頼します。OpenID Connectは新しくシンプルなプロトコルで、コピーする値は三つ、残りはプロバイダーがAuddomateに自ら説明します。SAML 2.0は署名付きXML文書に基づく古い企業向け標準で、長年のフェデレーション環境を持つID管理チームや、10年前に書かれた調達チェックリストが求めるものです。プロバイダーが簡単にしてくれるほうを選んでください。このページの残りは、特に断りがない限り両方に当てはまります。

#OpenID Connectの設定

1. プロバイダーで、認可コードフローを使うOpenID Connectのウェブアプリケーションを作ります。Auddomateの設定 → シングルサインオンに表示されるリダイレクトURIを与えます。
2. プロバイダーの発行者URL、クライアントID、クライアントシークレットを同じセクションにコピーします。Auddomateは発行者からプロバイダーのOpenID設定を読むので、他に入力するものはありません。
3. メールドメインを入力します。そのドメインの人はシングルサインオンページからプロバイダーへ振り向けられ、自動参加できるのはその人たちだけです。
4. 保存し、サインインをテストを押します。プロバイダーへ行って戻り、ページが往復を確認します。
5. 動いたら、オーナー以外のパスワードを廃止したい場合はメンバーにシングルサインオンを必須にするをオンにします。

#SAML 2.0の設定

1. 設定 → シングルサインオンでSAML 2.0を選びます。Auddomateは自身のエンティティIDとアサーションコンシューマーサービスURLを表示し、表示されたアドレスでメタデータファイルを提供します — ほとんどのプロバイダーはこのファイルを受け取り、そこからすべてを埋めます。
2. プロバイダーで、その二つの値を使ってSAMLアプリケーションを作ります。本人のメールをNameID（メールアドレス形式）またはemailという属性で送るよう設定してください。表示名の属性があれば使われます。
3. プロバイダーのサインインURLと署名証明書をAuddomateにコピーします。プロバイダーのエンティティIDは任意ですが、指定した場合はすべてのアサーションがそれを名指ししなければなりません。
4. 保存し、サインインをテストを押します。プロバイダーへ行って戻り、ページが往復を確認します。

アサーションの暗号化はオフにする必要があります — Auddomateは署名を検証しますが、復号はしません。アサーション、レスポンス、またはその両方に署名してください。署名のないものは拒否されます。

検証されるもの

SAMLでは、すべてのレスポンスを外部エンティティ無効のプレーンXMLとして解析し、アサーションまたはレスポンスの署名を登録済み証明書に対して検証し、署名部分のダイジェストを再計算し、アサーションの発行者、オーディエンス、受信者、有効期間、InResponseToをAuddomateが送ったリクエストと照合します。各アサーションは一度だけ受け入れられます。

OpenID Connectでは、AuddomateはPKCE付きの認可コードフローを使い、IDトークンのプロバイダー署名を公開鍵に対して検証し、毎回のサインインで発行者、オーディエンス、有効期限、使い捨てのnonceを確認します。クライアントシークレットは暗号化して保存されます。受け入れる署名アルゴリズムはRSAのみです。

誰が入れるか

• 同じメールで組織にすでにいる人は、初回のシングルサインオンで照合され、紐付けられます。
• 新しい人は、自動参加がオンでメールがあなたのドメインにあればメンバーとして作成されます。そうでなければ、オーナーに招待を頼むよう案内されます。
• オーナーは常にパスワードによるサインインを保持するため、プロバイダーの障害で組織が締め出されることはありません。