Auth0をSAMLサービスプロバイダーとして設定する

Auth0をフェデレーションのサービスプロバイダー (SP) として設定するには、まずAuth0でエンタープライズ接続を作成し、次にその接続のメタデータを使用して、SAML (IdP) を更新する必要があります。 Auth0は、SAML 1.1またはSAML 2.0プロトコルに準拠した構成で、Auth0をSPとして使用することをサポートしています。

IdPからメタデータと証明書を取得する

Auth0 で接続を作成するには、IdP からいくつかの構成用メタデータを取得する必要があります。

項目	説明
Sign In URL	SAML認証リクエストの送信先 URL です。シングルサインオン (SSO) エンドポイントとも呼ばれます。
Sign Out URL	SAMLログアウトリクエストの送信先 URL です。シングルログアウト (SLO) エンドポイントとも呼ばれます。
X509 Signing Certificate	SP が、IdP によって電子署名された認証アサーションの署名を検証するために必要な公開鍵証明書です。Auth0 では .pem 形式と .cer 形式を使用できます。

Auth0 で SAML エンタープライズ接続を作成する

または Auth0 を使用して、SAML エンタープライズ接続を作成できます:

Auth0 Dashboard
Management API

Auth0 Dashboard > Authentication > Enterprise に移動し、SAML を選択します。
Create Connection を選択します。
次の設定を行います。

Setting	Description
Connection Name	`SAML-SP` などの接続名を入力します。
Sign In URL	IdP から取得した Sign In URL を入力します。
X509 Signing Certificate	IdP から取得した X509 Signing Certificate ファイル (`.pem` または `.cer` 形式) をアップロードします。
Enable Sign Out	Sign Out URL フィールドを有効にします。
Sign Out URL	IdP から取得した Sign Out URL を入力します。
User ID Attribute	SAML トークン内で Auth0 の `user_id` プロパティにマッピングする属性を入力します。設定しない場合、`user_id` は次のものから取得されます (記載順) : `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name`
Debug Mode	より詳細なログを出力するには、Debug Mode を有効にします。
Sign Request	署名付きの SAML認証リクエストを有効にします。
Sign Request Algorithm	ドロップダウンメニューから、使用するハッシュアルゴリズムを選択します。
Sign Request Algorithm Digest	ドロップダウンメニューから、アサーションの有効性を検証するために使用するアルゴリズムを選択します。
Protocol Binding	ドロップダウンメニューから、次のいずれかのオプションを選択します: `HTTP-Redirect`: メッセージを URLパラメーターで送信します。 `HTTP-POST`: メッセージを HTMLフォームで送信します。
Sync user profile attributes at each login	ログインのたびにユーザープロファイル属性を同期するようにします。

Create を選択します。

Auth0 Management API の Create a Connection エンドポイントは、SAML 接続を作成する際に options オブジェクトの以下のプロパティをサポートしています：

フィールド	型	必須?	説明
`signInEndpoint`	String	必須	IdPのサインインURL。
`signingCert`	String	必須	Base64 エンコードされた X509 署名証明書 (`.pem` または `.cer` 形式) の内容。
`debug`	真偽値	任意	デバッグモードを切り替えます。有効にすると、認証プロセス中により詳細なログが記録されます。本番環境で使用する接続では `false` に設定します。
`destinationUrl`	文字列	任意	Auth0がSAML認証リクエストの送信先とするURL。プロキシゲートウェイを使用する場合にのみ必要です。
`digestAlgorithm`	文字列	任意	認証リクエスト内のダイジェスト要素の暗号化に使用するアルゴリズムです。指定できる値は `sha256` と `sha1` です。
`disableSignout`	Boolean	任意	Sign Out URL の有効／無効を切り替えます。`false` の場合、logout request を受け付けるには Sign Out URL を指定する必要があります。`true` の場合、logout request は Sign In URL に送信されます。
`fieldsMap`	オブジェクト	任意	IdP からの認証レスポンスに適用する属性マッピングが含まれます。例: `"email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"`。
`idpinitiated`	オブジェクト	任意	IdP-Initiated SSO のオプションは次のとおりです: `enabled`: Boolean. IdP-Initiated SSO の有効/無効を切り替えます。 `client_id`: String. デフォルトのアプリケーションの client ID。 `client_protocol`: String. デフォルトのアプリケーションとの通信に使用するレスポンスプロトコル。使用できる値は `oauth2`、`samlp`、`wsfed` です。 `client_authorizequery`: String. デフォルトのアプリケーションに送信されるクエリ文字列。
`protocolBinding`	文字列	任意	認証リクエストで使用するプロトコルバインディングです。指定可能な値は次のとおりです。 `urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect` `urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST`
`recipientUrl`	文字列	任意	IdP が SAML 認証レスポンスを送信する先の URL。プロキシゲートウェイを使用する場合にのみ必要です。
`signatureAlgorithm`	String	任意	認証リクエストの署名に使用するアルゴリズムです。指定できる値は `rsa-sha256` と `rsa-sha1` です。
`signSAMLRequest`	Boolean	任意	Auth0 から送信される認証リクエストに署名するかどうかを設定します。
`user_id_attribute`	String	任意	認証レスポンスでユーザー ID プロパティにマッピングする属性名です。このフィールドを指定すると、`fieldsMap` オブジェクト内の `user_id` プロパティに対するマッピングよりも優先されます。

リクエストの例

{
	"strategy": "samlp",
	"name": "example-samlp-connection",
	"options": {
		"signingCert": "{X509_CERTIFICATE_IN_BASE64}",
		"signInEndpoint": "https://example.com/samlp/login",
		"disableSignout": false,
		"signOutEndpoint": "https://example.com/samlp/logout",
		"fieldsMap": {
			"email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
			"user_id": [
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
			],
			"given_name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
			"address_name": "http://schemas.auth0.com/address_name",
			"address_street_address": "http://schemas.auth0.com/address_street_address"
		},
		"user_id_attribute": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
		"idpinitiated": {
			"enabled": true,
			"client_id": "{DEFAULT_APPLICATION_CLIENT_ID}",
			"client_protocol": "oauth2",
			"client_authorizequery": "response_type=code&scope=openid email profile"
		},
		"signSAMLRequest": true,
		"signatureAlgorithm": "rsa-sha256",
		"digestAlgorithm": "sha256",
		"protocolBinding": "urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect",
		"debug": true
	}
}

プロキシゲートウェイ向けに SAML 接続を設定する

Auth0 がプロキシゲートウェイの背後にある場合は、SAML 接続の destinationUrl フィールドと recipientUrl フィールドをそれに合わせて設定する必要があります。

Management API の Get a connection エンドポイントを使用して、SAML 接続の現在の設定を取得します。
返されたレスポンスから options オブジェクトの値をコピーします。
options オブジェクトに次のフィールドを追加します。

フィールド	型	値
`destinationUrl`	String	プロキシゲートウェイの URL。
`recipientUrl`	String	プロキシゲートウェイの URL。

更新した options オブジェクト全体をリクエストボディに含めて、Management API の Update a connection エンドポイントを呼び出します。

リクエストテンプレートをカスタマイズする

Auth0 が IdP に認証リクエストを送信すると、リクエストボディには AuthnRequest オブジェクトが含まれます。このオブジェクトで使用するテンプレートはカスタマイズできます。

Auth0 Dashboard > Authentication > Enterprise > SAML に移動し、対象の接続を選択します。
設定ビューに切り替え、Request Template フィールドを探します。
テンプレートを編集します。
変更を保存 を選択します。

テンプレート変数

変数は、@@VariableName@@ 構文を使って AuthnRequest テンプレートに埋め込めます。使用可能な変数は次のとおりです。

Name	Description
`AssertionConsumerServiceURL`	ユーザーのサインイン後に IdP がレスポンスを送信する URL。これを使用する場合は、`AuthnRequest` に署名し、リクエストテンプレートに `ProtocolBinding` 属性を含めてください。
`Connection.<options-key>`	`Connection` キーでドット記法を使うと、Auth0 Management API の Get a Connection エンドポイントから返される、その接続の `options` の各値にアクセスできます。たとえば、接続に `options.some_property: "value"` がある場合、テンプレート内で `@@Connection.some_property@@` を使用できます。
`Destination`	Auth0 がリクエストを送信する URL。これは、その接続に設定された Sign In URL である必要があります。
`ID`	トランザクション ID。
`IssueInstant`	トランザクションの日時を表すタイムスタンプ。
`Issuer`	`urn` 形式の SP の Entity ID。たとえば、`urn:auth0:<YOUR_AUTH0_TENANT_NAME>:<YOUR_AUTH0_CONNECTION_NAME>`。
`LoginHint`	ログインするユーザーのユーザー名またはメールアドレス。Identifier First Authentication を使用している場合、Auth0 はこの値を IdP に送信し、IdP のログインフォームに事前入力できます。
`ProtocolBinding`	プロトコルの Binding タイプ。
`ProviderName`	リクエストを開始したアプリケーションの名前。常に Auth0 テナント名が返されます。
`AssertServiceURLAndDestination`	非推奨。新しい設定では、代わりに `AssertionConsumerServiceURL` と `Destination` を使用してください。

IdP を設定する

IdP に提供する必要があるメタデータは、SAML IDプロバイダーの設定で確認できます。 Auth0 は、SAML 1.1 または SAML 2.0 プロトコルに準拠したすべての SAML IdP をサポートしています。以下に、特定のプロバイダー向けの詳細な設定手順を記載しています。

接続をテストする

Auth0 Dashboard で接続をテストするには、次の手順に従います。

Auth0 Dashboard > Authentication > Enterprise > SAML に移動します。
作成した接続を見つけて … (三点) メニューアイコンを選択し、試すを選択します。
Universal Login Page が表示され、資格情報の入力を求められます。
IdP に存在するユーザーのメールアドレスを入力します。ホームレルムディスカバリーを設定している場合は、指定したドメインのいずれかに属するメールアドレスを必ず入力してください。
IdP のログイン画面にリダイレクトされたら、通常どおりログインします。
Auth0 のページにリダイレクトされ、IdP から Auth0 に送信された認証アサーションの内容が表示されます。

接続のトラブルシューティング

接続が想定どおりに機能しない場合は、次の手順をお試しください。

テストのたびに、事前にブラウザーの履歴、Cookie、キャッシュを消去してください。消去しないと、ブラウザーが最新の設定情報を反映できなかったり、実行に影響する古い Cookie が残ったりすることがあります。
ブラウザーで Cookie が許可され、JavaScript が有効になっていることを確認してください。
トランザクションの HAR ファイルを取得し、その後 Auth0 SAML Tool を使用して SAML アサーションをデコードし、内容を確認してください。

ログインの追加

ユーザーをプロビジョニングする

Auth0をSAMLサービスプロバイダーとして設定する

IdPからメタデータと証明書を取得する

Auth0 で SAML エンタープライズ接続を作成する

リクエストの例

プロキシゲートウェイ向けに SAML 接続を設定する

リクエストテンプレートをカスタマイズする

テンプレート変数

IdP を設定する

接続をテストする

接続のトラブルシューティング

​IdPからメタデータと証明書を取得する

​Auth0 で SAML エンタープライズ接続を作成する

​リクエストの例

​プロキシゲートウェイ向けに SAML 接続を設定する

​リクエストテンプレートをカスタマイズする

​テンプレート変数

​IdP を設定する

​接続をテストする

​接続のトラブルシューティング

IdPからメタデータと証明書を取得する

Auth0 で SAML エンタープライズ接続を作成する

リクエストの例

プロキシゲートウェイ向けに SAML 接続を設定する

リクエストテンプレートをカスタマイズする

テンプレート変数

IdP を設定する

接続をテストする

接続のトラブルシューティング