こんにちは！
助けが必要？ 私たちはここにいます！
助けが必要？ 私たちはここにいます！
検索結果：
×miniOrangeのシングルサインオン（SSO）ソリューションは、単一のログイン認証情報を使用してSAP WebGUIへの安全なシングルサインオンアクセスを提供します。miniOrangeの認証情報、Azure ADの認証情報、または既存のIDプロバイダーのいずれかを使用してSAP WebGUIにログインできます。miniOrange SSOサービスを利用すると、SAP WebGUIだけでなく、既存のIDプロバイダー/ユーザーストア（Azure Active Directory、Okta、Ping）の認証情報を使用して、他のオンプレミスおよびクラウドアプリケーションにもログインできます。SAP WebGUIアカウントにヘッダーベースのSSOを統合するには、提供されているセットアップガイドに従ってください。
miniOrangeは、ディレクトリ（ADFS、Microsoft Active Directory、OpenLDAP、AWSなど）、IDプロバイダー（Microsoft Entra ID、Okta、AWSなど）をはじめとする様々な外部ソースからのユーザー認証を提供します。既存のディレクトリ/ユーザー ストアを設定したり、 miniOrangeにユーザーを追加したりできます。
| 基本タブ | 詳細説明 |
|---|---|
| 表示名 | 入力する 表示名 (つまり、このアプリケーションの名前)。 |
| リダイレクトURL | コピー リダイレクト URL SAP WebGUIアプリケーションから。SAP WebGUI管理コンソールでアプリケーションを作成すると、このURLが取得されます。 |
| 顧客ID | 見つけることができます 顧客ID 下図のようにアイコンをクリックします。 |
| クライアントシークレット | 見つけることができます クライアントシークレット 下図のようにアイコンをクリックします。 |
| 説明（オプション） | 必要に応じて説明を追加します。 |
| アプリロゴをアップロードする（オプション） | アプリのロゴをアップロードします（オプション）。アプリは、ここで設定したロゴとともにエンドユーザーダッシュボードに表示されます。 |
![miniOrange Identity Platform 管理者ハンドブック: トークンの有効期限を設定するには、[詳細設定] タブに移動します。](https://www.miniorange.com/images/common-oauth-images/advanced-details.webp)
| プライマリ ID プロバイダー | アプリケーションのデフォルトのIDソースをドロップダウンから選択します。選択されていない場合は、デフォルトのログイン画面が表示され、ユーザーは独自のIDPを選択できます。（この場合はminiOrangeを選択します。） |
| SSOフロー | ドロップダウンから希望するSSOフローを選択します。 IDP としての miniOrange, ブローカーとしてのminiOrangeまたは ディスカバリーフローを備えたブローカーとしての miniOrange. |
| エンドユーザーダッシュボードに表示 | このアプリをエンドユーザー ダッシュボードに表示する場合は、このオプションを有効にします。 |
| 認証を強制する | このオプションを有効にすると、セッションが既に存在する場合でも、ユーザーは毎回ログインする必要があります。 |
| 許可されたログアウトURI | 「許可されたログアウトURI」リンクをクリックして、ログアウト後のリダイレクトURIのリストを追加します。ユーザーはminiOrangeから正常にログアウトすると、これらのURIのいずれかにリダイレクトされます。 |
| シングルログアウトが有効 | このオプションを有効にすると、このアプリからログアウトするときに他のアプリケーションにログアウト要求が送信されます。 |
| サインインURL | {{username}}、{{primaryEmail}}、{{customAttribute1}} などのプレースホルダーを使用して、サインイン URL にユーザー属性を含めることができます。これらのプレースホルダーは、IdP によって開始される SSO フロー中に実際のユーザー値に動的に置き換えられます。 以下の属性を使用して URL を生成できます: username、primaryEmail、alternateEmail、fname、lname、primaryPhone、customAttribute1。 URLは次のようになります https://<sso-url>>?username={{username}}
https://<sso-url>>?username={{username}}&email={{primaryEmail}}https://<sso-url>>/{{customAttribute1}}/{{customAttribute2}}/?username={{username}} |
| 認可エンドポイント: | https://login.xecurify.com/moas/idp/openidsso
(注意： このエンドポイントは、miniorange を OAuth ID サーバーとして使用する場合にのみ使用してください。 https://login.xecurify.com/moas/broker/login/oauth/260174 (注意： このエンドポイントは、アイデンティティ プロバイダー メニューでアイデンティティ プロバイダーを構成しており、IDP として miniorange を使用していない場合にのみ使用してください。 |
| トークンエンドポイント: | https://login.xecurify.com/moas/rest/oauth/token |
| ユーザー情報エンドポイント: | https://login.xecurify.com/moas/rest/oauth/getuserinfo |
| イントロスペクションエンドポイント: | https://login.xecurify.com/moas/rest/oauth/introspect |
| デバイス認証エンドポイント | https://<your-company-name>.xecurify.com/moas/rest/oauth/devicecode/authorize このエンドポイントは、入力機能が制限されている、またはブラウザを持たないデバイスやアプリケーションに対して、OAuth 2.0 デバイス認証許可フローを開始するために使用されます。このエンドポイントは、以下のパラメータを受け取ります。 |
| エンドポイントを取り消す: | https://login.xecurify.com/moas/rest/oauth/revoke |
| OpenID シングル ログアウト エンドポイント: | https://login.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri= |
| メールアドレス： | ユーザーのメールアドレスを表示 |
| プロフィール: | ユーザーアカウントのプロフィール属性を表示する |
| オープンID: | OpenID ConnectのJWTトークンを取得する |
$ cat sap_proxy.conf
ProxyPreserveHost On
ProxyRequests Off
ProxyPass /irj http://sap.example.com:8080/irj
ProxyPassReverse /irj http://sap.example.com:8080/irj
$<authscheme-refs>
<authscheme-ref name="default">
<authscheme>SSO
<authscheme>uidpwdlogon
</authscheme-ref>
</authscheme-refs>
..
..
<authscheme name="SSO">
<loginmodule>
<loginModuleName>
com.sap.security.core.logon.imp.HeaderVariableLoginModule
</loginModuleName>
<controlFlag>REQUISITE
<options>Header=MO_USER
</loginmodule>
<priority>5
<frontEndType>2
<frontEndTarget>com.sap.portal.runtime.logon.header
</authscheme>ume.logoff.redirect.url=http(s)://acme.ssogen.com/ssogen/ssologout
ume.logoff.redirect.silent=falseモジュール名、フラグ、オプション
EvaluateTicketLoginModule、SUFFICIENT、ume.configuration.active=true
HeaderVariableLoginModule、オプション、ume.configuration.active=true、Header=MO_USER
CreateTicketLoginModule、SUFFICIENT、ume.configuration.active=true
BasicPasswordLoginModule、必須、
CreateTicketLoginModule、オプション、{ume.configuration.active=true}
miniOrangeは、ディレクトリ（ADFS、Microsoft Active Directory、Microsoft Entra ID、OpenLDAP、Google、AWS Cognitoなど）、IDプロバイダー（Okta、Shibboleth、Ping、OneLogin、KeyCloakなど）、データベース（MySQL、MariaDB、PostgreSQLなど）といった様々な外部ソースからのユーザー認証を提供します。既存のディレクトリ/ユーザー ストアを設定したり、miniOrangeにユーザーを追加したりできます。
1. miniOrangeでユーザーを作成する
2. CSV ファイルをアップロードして miniOrange にユーザーを一括アップロードします。
以下に属性のリストと、有効にした場合の動作を示します。これに応じて有効/無効にすることができます。
| 属性 | 詳細説明 |
|---|---|
| LDAPをアクティブ化する | 有効にすると、すべてのユーザー認証はLDAP認証情報を使用して行われます。 |
| フォールバック認証 | LDAP認証に失敗した場合、ユーザーはminiOrangeを通じて認証されます。 |
| 管理者ログインを有効にする | これを有効にすると、miniOrange管理者ログインはLDAPサーバーを使用して認証されます。 |
| ユーザーにIdPを表示する | このオプションを有効にすると、このIdPはユーザーに表示されます |
| miniOrangeでユーザーを同期する | LDAP認証後、miniOrangeにユーザーが作成されます。 |
SP に送信される属性名 = 組織
IDPからの属性名 = 会社
AD を外部ディレクトリとしてセットアップする構成が完了しました。
注： WindowsサーバーでのLDAP設定については、弊社のガイドを参照してください。
miniOrange は、ディレクトリ、ID プロバイダーなどのさまざまな外部ユーザー ソースと統合されます。
SAP WebGUI のアダプティブ認証を使用すると、管理者は、IP アドレス、デバイス、場所、ログイン時間などのユーザーログイン条件を評価することで、コンテキストに応じたアクセス ポリシーを適用できます。設定されたポリシーに基づいて、ユーザーはアクセスを許可されたり、追加の検証を求められたり、アクセスを拒否されたりします。管理者は、メール アラートの設定、ユーザー向けのエラー メッセージのカスタマイズ、展開前のポリシー設定の確認、およびアダプティブ認証ポリシーをアプリケーションのログイン ポリシーに割り当てて、セキュリティを強化し、不正アクセスを防止することもできます。
[注：アダプティブ認証セクションは左側のナビゲーションメニューから移動されました。アダプティブ認証ポリシーへのアクセスと管理は、[ポリシー] >> [アダプティブアクセスポリシー] に移動することで行えます。]
A. IPアドレスに基づくアクセス制限によるSAP WebGUIへのアクセス制限
IPアドレスに基づくアクセス制限機能を使用すると、管理者はログイン要求の送信元IPアドレスに基づいてユーザーアクセスを制御できます。管理者は、信頼できるIPアドレスまたは制限付きIPアドレス、およびIPアドレス範囲を設定し、ユーザーのIPアドレスが設定された条件に一致した場合に実行されるアクションを定義できます。認証時には、ユーザーのIPアドレスが設定されたポリシーと照合され、選択された設定に基づいてアクセスが許可、拒否、またはチャレンジされます。
IPアドレスに基づく制限を使用したアダプティブ認証は、以下の方法で設定できます。
| 属性（オプション） | 詳細説明 |
|---|---|
| 許可する | アダプティブ認証条件が true の場合、ユーザーが認証してサービスを使用できるようにします。 |
| 否定する | アダプティブ認証条件が true の場合、ユーザー認証とサービスへのアクセスを拒否します。 |
| 課題 | ユーザーの信頼性を確認するには、以下の 3 つの方法のいずれかを使用してユーザーにチャレンジします。 |
| 属性 | 詳細説明 |
|---|---|
| ユーザー第2要素 | ユーザーは、選択または割り当てた2番目の要素を使用して認証する必要があります。
|
| KBA（知識ベース認証） | システムは、ユーザーがセルフサービスコンソールで設定した2つの質問のうち3つに回答するよう求めます。両方の質問に正しく回答した場合のみ、ユーザーは次のステップに進むことができます。 |
| 代替メール経由の OTP | ユーザーは、セルフサービスコンソールで設定した代替メールアドレスにOTPを受け取ります。正しいOTPを入力すると、次のステップに進むことができます。 |
B. デバイスベースのアクセス制限によるSAP WebGUIへのアクセス制限
デバイスベースのアクセス制限により、管理者は信頼できる登録済みデバイスに基づいてユーザーアクセスを制御できます。デバイスの識別および検証メカニズムを活用することで、管理者は認証時に使用されるデバイスを評価するポリシーを定義できます。ユーザーがログインしようとすると、デバイスは設定されたポリシーに基づいて評価され、設定された条件に基づいて適切なアクション（許可、チャレンジ、または拒否）が適用されます。
デバイスベースの制限によるアダプティブ認証は、以下の方法で設定できます。
C. 位置情報に基づくアクセス制限によるSAP WebGUIへのアクセス制限
位置情報制限では、管理者はエンドユーザーのログインを許可する場所のリストを設定し、管理者が設定した条件に基づいてログインを拒否します。アダプティブ認証が有効になっている状態でユーザーがログインしようとすると、緯度、経度、国コードなどの位置情報属性が、管理者が設定した位置情報リストと照合されます。この照合結果に基づいて、ユーザーはログインを許可されるか、認証を求められるか、または拒否されます。
位置情報に基づく制限付きアダプティブ認証は、以下の方法で設定できます。
D. 時間ベースのアクセス制限によるSAP WebGUIへのアクセス制限
時間制限では、管理者はタイムゾーンの開始時刻と終了時刻を設定し、ポリシーの条件に基づいてユーザーのアクセスを許可、拒否、または認証を求めます。エンドユーザーがアダプティブ認証を有効にしてログインしようとすると、タイムゾーンや現在のシステム時刻などのタイムゾーン関連属性が管理者が設定したリストと照合され、設定に基づいてユーザーのアクセスが許可されるか、拒否されるか、認証を求められます。
時間制限付きアダプティブ認証は、以下の方法で設定できます。
E. メールアラートとカスタムメールメッセージ
このセクションでは、アダプティブアクセスポリシーに関連する通知とアラートを処理します。以下のオプションが提供されます。
| オプション | 詳細説明 |
|---|---|
| ユーザーは不明なIPアドレス、デバイス、または場所からログインします | このオプションを有効にすると、不明な IP アドレスやデバイス、さらには場所からでもログインできるようになります。 |
| チャレンジが完了し、デバイスが登録されました | このオプションを有効にすると、エンドユーザーがチャレンジを完了してデバイスを登録したときに電子メールアラートを送信できるようになります。 |
| チャレンジは完了しましたが、デバイスが登録されていません | このオプションを有効にすると、エンドユーザーがチャレンジを完了したがデバイスを登録しなかった場合に電子メールアラートを送信できます。 |
| チャレンジ失敗 | このオプションを有効にすると、エンドユーザーがチャレンジを完了できなかった場合に電子メールアラートを送信できます。 |
F. レビュー
適応型認証ポリシーを作成する前に、設定済みのポリシー条件、動作変更アクション、メールアラート設定、およびカスタムエラーメッセージを確認してください。この手順では、設定済みのすべての項目を一覧表示できるため、ポリシー構成を確認し、保存する前に必要な変更を行うことができます。
