理解SAML認証

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

このヘルプページはCreator 6ユーザー向けです。もし古いバージョン（Creator 5）をお使いの場合は、こちらをクリックしてください。Creatorのバージョンを確認してください。

Security Assertion Markup Language（SAML）は、安全かつ簡単な方法でシングルサインオン（SSO）を実現するためのフレームワークです。SSOは、単一のログイン情報でユーザーを認証できる中央集権型のログインシステムです。

Zoho Creator では、ポータル管理者は、ポータルユーザーのパスワード管理をSAMLを使用して簡素化できます。管理者がすでにポータルユーザーのログイン情報をSAMLプロバイダーに保存している場合、それらの資格情報に基づいてポータルを認証するように構成できます。管理者は、複数のポータルを構成することで、同じ資格情報を使用してすべてのポータルにアクセスできるようにすることもできます。

ポータルユーザーがポータルURLにアクセスすると、設定されたログインURLにリダイレクトされ、認証が行われます。Identity Provider（IDP）は、認証が成功した場合、そのポータルユーザーに固有のSAMLレスポンスを返します。受信したレスポンスは、設定された公開鍵に基づいてデコードされます。レスポンスが認証が成功したことを示す場合、ポータルユーザーはポータルにログインされます。

SAML の構成を行う前に、開発者は以下の用語に精通している必要があります。

サービスプロバイダ（SP） - ユーザーにサービスを提供するシステム。この場合、Zoho Creator Portalがサービスプロバイダとして機能します。
身元保証者（IDP） - 顧客の身元情報を管理するシステム。いくつかのサンプルIDPには、OneLogin、ADFS、miniOrangeがあります。
ACS URL（アサーションコンシューマサービスURL） - IDPは、このURLにSAMLレスポンスを送信します。このURLはSP（Zoho Creator Portal）によって提供されます。
エンティティID - SPとIDPが互いを識別するための一意のID。エンティティIDは、U.S顧客のためにzoho.com、E.U顧客のためにzoho.eu、および中国顧客のためにzoho.com.cnが提供されます。
名前IDフォーマット - 名前IDを指定するフォーマット。名前IDフォーマットはIDPで構成する必要があります。 Zoho Creator Portalは、メタデータファイル（urn：oasis：names：tc：SAML：1.1：nameid-format：emailAddress）で指定された電子メールアドレス名IDフォーマットのみをサポートします。
ログインURL - すべてのPortalの顧客が認証のためにリダイレクトされるURL。
ログアウトURL - SSOのもとでPortalからサインアウトした顧客がリダイレクトされるURL。
公開鍵 - 身元保証者から送信されたレスポンスメッセージを復号するために使用される鍵。

シナリオ1 - 複数のポータルのSAMLを構成する：Zylkerという組織が、ユニークなログイン資格情報を持つ顧客を持っていると考えます。 Zylkerは、顧客によってアクセスする必要があるZoho creatorに複数のポータルを持っています。すべてのポータルにアクセスするには、顧客にはそれぞれのポータルのための複数のログイン資格情報を作成する必要があります。しかし、この面倒なプロセスは、SAML認証を使用することで克服できます。 Zylkerは、すべての顧客のログイン資格情報をサードパーティーのSAMLプロバイダーにアップロードする必要があります。 Zylkerは、すべてのポータルでSAMLを構成し、顧客のシングルサインオンメカニズムを確保できます。そのため、顧客がZoho Creatorポータルにアクセスしようとすると、サードパーティーのSAMLプロバイダー（OneLogin、ADFSなど）によってログイン資格情報が認証されます。

シナリオ2-既存のポータルユーザーに対してSAML認証を設定する：組織Zylkerには2つの異なるZoho Creatorのポータルがあります。各ポータルのポータルユーザーは、そのポータル固有のログイン認証情報が割り当てられています。Zylkerは、ポータルユーザーに単一サインオンメカニズムを提供するためにSAML認証を構成します。ポータルにアクセスしようとすると、SAMLプロバイダーによって認証される必要があります。彼らの古いログイン情報は上書きされ、SAMLプロバイダーにアップロードされた情報だけがポータルユーザーを認証します。