OneLogin と Questetra との SAML 2.0 認証連携設定について説明します。
OneLogin を SAML の ID Provider（IdP）として使用し、Questetra BPM Suite を Service Provider（SP）として設定します。
Questetra BPM Suite における SAML SSO の概要については、以下を参照してください。
M310: 外部の認証サービスを用いたシングルサインオン機能を有効化する （SAML 編）
1. [Questetra BPM Suite] SP 情報の確認
まず Questetra 側で SP 情報を確認します。OneLogin 側の設定で使用します。
Questetra の「システム設定」→「SSO（SAML）」と進み、「シングルサインオン（SAML）」設定画面にて「シングルサインオンを有効にする」を選択してください。値を確認するだけですので、この時点では保存する必要はありません。
確認する値は以下の 2 つです。
- エンティティ ID
- ACS URL
これらの値を控えて、OneLogin の設定に進みます。
2. [OneLogin] アプリケーションの追加
OneLogin の管理コンソール（Administration）にログインします。
「Applications」→「Applications」と進み、右上の「Add App」をクリックしてください。
アプリケーションの検索フォームで「SAML Custom Connector (Advanced)」を検索し、表示されたアプリを選択します。
「Display Name」に任意の名前（例：Questetra BPM Suite）を入力し、「Save」をクリックしてください。
3. [OneLogin] Configuration タブの設定
アプリケーションの詳細ページが表示されます。「Configuration」タブを開き、以下の項目を設定してください。
- RelayState ― 空欄のまま
- Audience (EntityID) ― Questetra の「SP 情報」の「エンティティ ID」をコピー
- Recipient ― Questetra の「SP 情報」の「ACS URL」をコピー
- ACS (Consumer) URL Validator ―
.*（任意の URL を許可する正規表現） - ACS (Consumer) URL ― Questetra の「SP 情報」の「ACS URL」をコピー
- Single Logout URL ― （任意）Questetra の「SP 情報」の「SLO URL」をコピー
「SAML initiator」は「Service Provider」のまま、「SAML signature element」は「Both」を推奨します。
設定が完了したら「Save」をクリックしてください。
4. [OneLogin] Parameters タブの確認
「Parameters」タブを開き、「NameID value」が「Email」になっていることを確認してください。
Questetra はメールアドレスでユーザを照合するため、OneLogin 上のユーザのメールアドレスが Questetra 上のユーザのメールアドレスと一致している必要があります。
5. [OneLogin] SSO 情報の確認
続いて「SSO」タブを開き、Questetra の設定に必要な以下の情報を確認・控えてください。
- Issuer URL ― Questetra の「エンティティ ID」に設定します
- SAML 2.0 Endpoint (HTTP) ― Questetra の「ログインページ URL」に設定します
- SLO Endpoint (HTTP) ― Questetra の「ログアウトページ URL」に設定します（任意）
- X.509 Certificate ― 「View Details」をクリックして証明書の内容を確認します
証明書は「View Details」をクリックすると内容が表示されます。”—–BEGIN CERTIFICATE—–” と “—–END CERTIFICATE—–” を含む全体をコピーしてください。なお Questetra に貼り付ける際、”—–BEGIN CERTIFICATE—–” と “—–END CERTIFICATE—–” に挈まれた英数記号の文字列は改行のない状態にしてください。
6. [OneLogin] ユーザの割り当て
OneLogin のアプリケーションを利用できるユーザを設定します。
アプリケーションの「Users」タブから対象ユーザを追加するか、または「Users」→「Users」メニューから個々のユーザのページを開いて「Applications」にアプリを追加してください。割り当てられたユーザのみ、シングルサインオンで Questetra BPM Suite にログインできるようになります。
7. [Questetra BPM Suite] ID プロバイダの設定を行う
最後に Questetra 側で設定を行います。
「システム設定」→「SSO（SAML）」と進み、「シングルサインオンを有効にする」を選択してください。手順 5 で確認した OneLogin の情報を以下のように入力します。
- エンティティ ID ― OneLogin の「Issuer URL」
- ログインページ URL ― OneLogin の「SAML 2.0 Endpoint (HTTP)」
- ログアウトページ URL ― OneLogin の「SLO Endpoint (HTTP)」（任意）
- 証明書 ― OneLogin の X.509 Certificate の内容（改行なし）
入力が完了したら「保存」してください。
これでシングルサインオンの設定は完了です。Questetra BPM Suite のログインページから、シングルサインオンでログインすることができます。OneLogin にログイン済みであれば、いきなり Questetra BPM Suite 内のページに遷移します。OneLogin に未だログインしていなければ、OneLogin へのログイン画面を経た上で、Questetra BPM Suite 内のページに遷移します。
うまくいかない場合
設定内容を再確認してください。特に以下の点は間違いが起きやすいです。
- OneLogin の「Audience (EntityID)」と Questetra の「エンティティ ID」が一致しているか
- OneLogin の「ACS (Consumer) URL」と Questetra の「ACS URL」が一致しているか
- 証明書が改行なしで貼り付けられているか
- OneLogin 上のユーザのメールアドレスが Questetra のユーザのメールアドレスと一致しているか
設定内容に不備がないのにうまくいかない場合、「管理」→「システムログ」でログイン失敗の記録を確認してください。ログにはエラーの詳細が記録されています。
- SAML Error: Invalidated Session ― 一時的なセッションの問題です。ブラウザを開き直して再試行してください。
- SAML Error: AuthnStatement/@AuthnInstant is invalid ― IdP で認証してからの経過時間が長すぎます。IdP に再ログインしてから試すか、Questetra 側の「最大認証経過時間」の設定値を延ばしてください。
- SAML Error の記載がない ― IdP から送られたメールアドレスに一致するユーザが Questetra に存在しません。手順 4 を再確認してください。
それ以外のエラーメッセージが記録されている場合は、上記の設定確認リストを改めて見直してください。解消しない場合はクエステトラのサポートまでお問い合わせください（その際、システムログのエラー内容をお知らせください）。
