• ホーム
• 外部IDPでログイン
• MariaDB シングル サインオン

MariaDB を使用したアプリのシングル サインオン (SSO)

---

ユーザーストアとしてMariaDBにログイン

miniOrangeは、 MariaDBを使用したすぐに使えるシングルサインオンソリューションを提供します。このソリューションにより、MariaDB認証情報を使用して、あらゆるアプリケーションへの安全なアクセスを数分以内に展開できます。

MariaDB の SSO (シングル サインオン) はどこに適用されますか?

ユーザーが保存されるCRM/HRM/CMS/LMSなどの様々なユーザー管理システムは、シングルサインオンやその他の認証プロトコルを本来サポートしていません。そこで、miniOrange MariaDB SSOソリューションが登場し、これらのアプリケーションに様々なSSOサービスを提供します。

MariaDBデータベースを使用したアプリのSSOについては、以下のステップバイステップガイドに従ってください。

1. MariaDBを認証ソースとして設定する

• miniOrangeにログイン 管理コンソール に移動して ID プロバイダー >> ID プロバイダーの追加.



• 下 IDプロバイダーを選択選択 データベース すべて ドロップダウン。



• 検索する MariaDB リストから選択します。



• 接続設定 セクションで、次の詳細を入力します。





フィールド	詳細説明
データベース識別子	入力する データベース識別子—追加するデータベースの名前。ユーザーストアに関連する任意の名前を指定できます。
データベースホスト	次の表は、構成ページのフィールドのデフォルト値と構文を示しています。 データベースの種類 データベースホスト デフォルトのポート番号 パスワードハッシュアルゴリズム MariaDB jdbc:mysql:thin:@ : : / 3306 PHPASS その データベースホスト URLは 接続URL. その hostname することができます ローカルホスト または任意の リモートホスト. MariaDBデータベースのデフォルトポートは 3306. その データベース名 認証のためにユーザーを保存するデータベースです。
管理ユーザー名	ローカルホストの場合、管理者ユーザー名は通常 '根'リモート ホストの場合は、管理者に問い合わせてください。
管理者パスワード	管理者ユーザー名に対応する管理者パスワードを入力します。
ユーザーテーブル	その ユーザーテーブル 認証のためにユーザーが保存されるデータベース テーブルです。 例えば、で WordPress 　 ユーザーテーブル is wp_users.
ユーザー名列	ユーザー名列は、認証に使用されるユーザー名を格納する列です。 例えば、で WordPress 　 ユーザー名列 is USER_LOGIN.
パスワード列	パスワード列は、ユーザーのパスワードを保存する列です。 例えば、で WordPress 　 パスワード列 is user_pass.

• ソフトウェアの制限をクリック 次へ に進む 高機能 MariaDB の設定。





ユーザーがアクティブにしたクエリ	ここで、ユーザーがアクティブかどうかを確認するためのクエリを入力できます。 例： user_name=? かつ user_activated_column='true' である user_tables から user_activated_column を選択します。
クエリ文字列を追加する	データベースからインポートしたい列のクエリ文字列を追加します。これは属性マッピングに役立ちます。 例： SELECT '##FIRSTNAME##', FIRSTNAME FROM users WHERE USERNAME=?
パスワードハッシュアルゴリズム	MariaDBで使用されるハッシュタイプは、 PHPASS.
ドメインマッピング	このIdPを特定のドメインに制限するには、ドメイン名をカンマ区切りで入力します。すべてのドメインを許可する場合は、空白のままにしてください。
エンドユーザー向けに有効化	エンドユーザーが IDP 資格情報を使用して対応するエンドユーザー ダッシュボードにログインできるようにする場合は、このオプションを有効にします。
miniOrangeでユーザーを同期する	エンドユーザーダッシュボードにログインすると、miniOrangeでユーザーが作成/更新されます。「エンドユーザー向けに有効化」が有効になっている場合にのみ適用されます。
フォールバック認証	このオプションを有効にすると、外部データベースに存在するユーザーは、miniOrange IdPで作成されずに、miniOrange IdPを介して直接認証されます。これは、認証元のデータベースにユーザーの個人情報や機密情報が含まれている場合に役立ちます。

• ソフトウェアの制限をクリック 次へ 次のステップに進みます。
• ユーザー同期 タブでSQLクエリを入力します ユーザーが存在します, ユーザーの作成, ユーザーを更新, ユーザーを削除 操作。





ユーザー存在クエリ	データベースにユーザーが存在するかどうかを確認するための SQL クエリを入力します。 例： SELECT COUNT(*) FROM users WHERE username = ?
ユーザークエリを作成する	データベースに新しいユーザーを作成するための SQL クエリを入力します。 例： INSERT INTO users (username, password) VALUES (?, ?)
ユーザークエリの更新	データベース内のユーザー情報を更新するための SQL クエリを入力します。 例： UPDATE users SET password = ? WHERE username = ?
ユーザークエリの削除	データベースからユーザーを削除するための SQL クエリを入力します。 例： DELETE FROM users WHERE username = ?

• に行きます Attributes タブをクリックし、MariaDB データベースの属性を構成します。
• カスタム属性を送信するこのオプションを有効にすると、ログイン時に、以下に設定された属性のみが属性で送信されます。

  注：データベースから取得したい属性ごとにクエリ文字列を追加してください。

• ソフトウェアの制限をクリック 属性を追加 新しい属性を追加します。
• 入力する SPに送信された属性名 これはサービス プロバイダーに送信される属性名です。
• 入力する データベースからの属性名 これはデータベースから取得される属性名です。
• 例： ファーストネーム → ＃＃ファーストネーム＃＃, 苗字 → ＃＃苗字＃＃, ユーザ名 → ##ユーザー名##, メール → ＃＃Eメール＃＃



• ソフトウェアの制限をクリック Save 属性を保存します。
• ソフトウェアの制限をクリック Save 構成を保存します。

2. 接続テスト

• データベースとの接続が確立されているかどうかを確認するには、 試験用接続 実行する必要があります。アプリの横にある「アクション」に移動し、3つの点のアイコンをクリックして選択してください。 試験用接続.



• 接続が正しく確立されているかどうかをテストするために、対応するデータベースのユーザーテーブルに保存されているユーザーの資格情報を入力します。 ホイール試乗 接続が成功したかどうかを確認します。
  
  
  
  
• テスト接続が成功したら、準備完了です。
• テスト接続が成功しない場合は、設定をもう一度確認するか、管理者にお問い合わせください。また、間違った認証情報を入力している可能性もあります。 試験用接続.

3. ユーザープロビジョニング

• MFAデバイスに移動する プロビジョニング 設定を行います。



• まず データベース プルダウンメニューから
• プロビジョニング機能を確認します。



• データベースからユーザーをインポートするには、 ユーザー プロビジョニング、 クリックしてください ユーザーのインポート
• まず データベース ドロップダウン メニューから選択して、設定を保存します。



• 今すぐ ユーザー >> ユーザー一覧 データベースからインポートされたすべてのユーザーが見つかります。

4. miniOrangeでアプリケーションを構成する

• にログインします miniOrange 管理コンソール.
• に行く アプリ >> アプリケーションの追加.

• SAML アプリケーション
• OAuth アプリケーション
• JWT アプリケーション

• アプリケーションの選択で、 SAML/WS-FED 全てのアプリ ドロップダウン。



• 次のステップでは、リストからアプリケーションを検索します。アプリケーションが見つからない場合は、 カスタム アプリの設定は カスタムSAMLアプリ。 をクリックしてください 新しいアプリリクエストを送信する 新しい SSO アプリケーション リクエストを送信する場合。



• 下 Basic タブでは、次の設定を構成できます。

  表示名（必須）	入力する アプリの表示名 あなたの好みに応じて。
  SP エンティティ ID または発行者 (必須)	SPから受信したSAMLリクエストに対してアプリを識別するために使用されます。SPエンティティIDまたは発行者は、URLまたは文字列形式のいずれかで指定できます。
  ACS URL またはアサーション コンシューマー サービス URL (必須)	認証後にSAMLアサーションを送信する場所を定義します。ACS URLが以下の形式であることを確認してください。 https://www.domain-name.com/a/[domain_name]/acs
  対象者 URL	名前の通り、SAMLアサーションの有効なオーディエンスを指定します。通常はSPエンティティIDと同じです。SPによってオーディエンスURLが別途指定されていない場合は、空白のままにしてください。
  シングル ログアウト URL	ログアウト要求を消費し、アプリケーションからシングル ログアウトした後にユーザーをリダイレクトする URL。
  アプリロゴをアップロード	アプリケーションのロゴをアップロードします。




• 詳しくはこちら 次へ 詳細設定以下の設定を行います。

  署名済みリクエスト	これを有効にすると、SPから送信されるSAMLリクエストに署名できます。X509証明書を提供するか、証明書をアップロードしてください。
  応答に署名する	SAML 応答全体に署名する場合は、これを有効にします。
  署名アサーション	SAML レスポンス内のアサーションのみに署名する場合は、これを有効にします。
  署名アルゴリズム	SAML リクエスト/レスポンスの署名に使用するアルゴリズムを選択します。
  アサーションの暗号化	SAML 応答内のアサーションを暗号化し、暗号化用のアルゴリズムと証明書を提供する場合は、これを選択します。
  リレー状態	アプリケーションにサインインした後にユーザーをリダイレクトする URL を入力します。
  リレー状態を上書きする	これを有効にすると、SP のデフォルトのリレー状態が上書きされます。
  ログアウトレスポンスバインディング	ログアウト応答は、SP からのログアウト要求への応答として送信されます。これは、アイデンティティ プロバイダーまたはサービス プロバイダーによって送信される可能性があります。
  IdP が開始したログアウト要求バインディング:	ログアウト応答は、IdP ダッシュボードからのログアウト要求への応答として送信されます。これは、アイデンティティ プロバイダーまたはサービス プロバイダーによって送信される可能性があります。 HTTP リダイレクト - 署名付きのログアウト応答 HTTP POST - 署名が埋め込まれたログアウト応答
  SAML認証の有効期間	認証が有効とみなされ、ユーザーが SSO を実行できるようになるまでの時間。この時間が経過すると、ユーザーは再度サインインする必要があります。
  共有IDを有効にする	この機能を使用すると、特定のアプリケーションに共有ユーザーがアクセスできるかどうかを制御できます。




• 詳しくはこちら 次へ ログインオプション タブ。ここでは、以下の設定を構成できます。

  プライマリ ID プロバイダー	認証を実行する ID ソースを選択します。構成されたすべてのソースのリストが表示されます。
  認証を強制する	これを有効にすると、アプリケーションへのアクセス要求ごとに認証が強制されます。
  エンドユーザーダッシュボードに表示	エンドユーザーダッシュボードですべてのユーザーにアプリを表示したくない場合は、これを無効にします。




• 詳しくはこちら 次へ Attributes タブ。ここで、アプリに送信する属性を追加および設定できます。

  名前ID	NameIDは、SAMLアサーションに含まれる認証済みユーザーの一意の識別子です。これにより、サービスプロバイダーはユーザーを認識し、アカウントにマッピングすることができます。通常、NameIDはユーザー名またはメールアドレスです。
  名前 ID 形式	SPがユーザーを正しくマッピングできるよう、NameIDで使用される識別子の種類（例：メールアドレス、永続的、一時的）を定義します。SPが特定の形式を要求しない場合、IdPはそれを指定せずにデフォルトを使用できます。
  名前の形式を追加	名前フォーマットは、SAMLアサーションにおける属性名の表現方法（単純な文字列やURIなど）を定義します。これにより、SPは属性名を正しく解釈し、IdPとSP間の一貫性を確保できます。
  複数値属性を有効にする	有効: カンマ (,) とセミコロン (;) は区切り文字として扱われるため、属性はクリーンなリストに分割されます。例: roles = ['admin', 'editor', 'viewer']。 無効: カンマとセミコロンは区切り文字として扱われないため、属性は1つの結合された文字列として残ります。例: roles = "admin;editor;viewer"。
  属性マッピング	SAMLアサーションでSPに送信する属性を追加できます。属性には、ユーザーのプロファイル属性（名、姓、フルネーム、ユーザー名、メールアドレス、カスタムプロファイル属性、ユーザーグループなど）が含まれます。




• 詳しくはこちら 次へ 政策 タブ。 アプリケーションを保存する まずアプリケーションのポリシーを構成します。



• アプリケーションを保存した後、そのアプリケーションのポリシーを構成できます。



• 以下を行うには、 グループの割り当て ボタン。 新しい グループ割り当てを構成する モーダルタブが開きます。
  • グループの割り当て: アプリケーションにリンクするグループを選択します。一度に最大20グループまで選択できます。
  
  
  
  • 新しいグループを作成する必要がある場合は、 新しいグループを追加
  • 入力する グループ名 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します グループを作成.
  
  
  
  • ソフトウェアの制限をクリック 次へ.
  • ポリシーの割り当て: 選択したグループに必要なポリシーを追加します。以下の詳細を入力してください。
  • 第一の要因: ドロップダウンからログイン方法を選択します。
  • 選択した場合 パスワード ログイン方法として、 2要素認証（MFA） (NAIST) と 適応認証、 必要に応じて。
  • 選択した場合 パスワードなし ログイン方法として、 2要素認証（MFA） 必要に応じて。



• ソフトウェアの制限をクリック Save選択したすべてのグループに対してポリシーが作成されます。
• ポリシーが正常に追加されると、リストに表示されます。



• タブで、次の 2 つのタブのいずれかをクリックします。
• ソフトウェアの制限をクリック IdpとしてのminiOrange miniOrange をユーザーストアとして使用する場合、ユーザー ID は miniOrange に保存されます。
• ソフトウェアの制限をクリック IdP としての外部ソース ユーザーを認証する場合 外部ID Active Directory、Okta、OneLogin などのプロバイダー、またはその他のカスタム IDP。





• また、ご購読はいつでも停止することが可能です メタデータのダウンロード、証明書のダウンロード、メタデータ URL のコピー、または証明書のコピー 要件に基づいています。
• 同様に、以下の値も取得できます。 SAML ログイン URL、SAML ログアウト URL、IDP エンティティ ID または発行者、IDP ログアウト URL、メタデータ URL メタデータの要件に応じてここから選択します。

• アプリケーションの選択で、 OAuth/OpenID 全てのアプリ ドロップダウン。



• リストからアプリケーションを検索します。アプリケーションが見つからない場合は、 オース アプリの設定は OAuth2/OpenID Connect.



• Basic タブで、次の詳細を入力します。

  表示名	入力する 表示名 (つまり、このアプリケーションの名前)。
  リダイレクトURL	入力する リダイレクトURL次の形式に従っていることを確認してください。 https://<mycompany.domain-name.com>
  顧客ID	自動生成されました。コピーアイコンをクリックして、アプリケーションで使用してください。
  クライアントシークレット	クライアントシークレット デフォルトでは非表示になっています。目のアイコンをクリックして表示し、クリップボードアイコンを使用してコピーしてください。
  件名 (オプション)	ドロップダウン リストから属性を選択します。
  説明（オプション）	必要に応じて説明を追加します。
  アプリロゴをアップロードする（オプション）	アプリのロゴをアップロードします（オプション）。アプリは、ここで設定したロゴとともにエンドユーザーダッシュボードに表示されます。

• ソフトウェアの制限をクリック Save.



• あなたはあなたにリダイレクトされます 政策 のセクションから無料でダウンロードできます。



• 以下を行うには、 グループの割り当て ボタン。 新しい グループ割り当てを構成する モーダルタブが開きます。
  • グループの割り当て: アプリケーションにリンクするグループを選択します。一度に最大20グループまで選択できます。
  
  
  
  • 新しいグループを作成する必要がある場合は、 新しいグループを追加
  • 入力する グループ名 をクリックします。入力したコードが正しければ、MFAの設定は正常に完了します グループを作成.
  
  
  
  • ソフトウェアの制限をクリック 次へ.
• ポリシーの割り当て: 選択したグループに必要なポリシーを追加します。以下の詳細を入力してください。
• 第一の要因: ドロップダウンからログイン方法を選択します。
• 選択した場合 パスワード ログイン方法として、 2要素認証（MFA） (NAIST) と 適応認証、 必要に応じて。
• 選択した場合 パスワードなし ログイン方法として、 2要素認証（MFA） 必要に応じて。



• ソフトウェアの制限をクリック Save選択したすべてのグループに対してポリシーが作成されます。
• ポリシーが正常に追加されると、そのポリシーがリストに表示されます。



• あなたがに行くことができます 高機能 タブをクリックして、アクセス トークン、JWT トークン、更新トークンの有効期限などのその他の設定を変更します。
• アクセストークンの有効期限: 提供されたアクセス トークンが作成からどのくらいの期間有効であるか。[時間単位] 有効期限が切れると、新しいアクセス トークンを生成する必要があります。
• JWTトークンの有効期限: 生成された JWT トークンの有効期間。[時間単位]
• リフレッシュトークンの有効期限: 生成されたリフレッシュ トークンの有効期間。[日数] 指定された日数が経過すると、新しいリフレッシュ トークンを生成する必要があります。
• 共有 ID を有効にする: この機能を使用すると、特定のアプリケーションに共有ユーザーがアクセスできるかどうかを制御できます。



• に切り替える ログインオプション タブには何も表示されないことに注意してください。

  プライマリ ID プロバイダー	アプリケーションのデフォルトのIDソースをドロップダウンから選択します。選択されていない場合は、デフォルトのログイン画面が表示され、ユーザーは独自のIDPを選択できます。（この場合はminiOrangeを選択します。）
  SSOフロー	ドロップダウンから希望するSSOフローを選択します。 IDP としての miniOrange, ブローカーとしてのminiOrangeまたは ディスカバリーフローを備えたブローカーとしての miniOrange.
  エンドユーザーダッシュボードに表示	このアプリをエンドユーザー ダッシュボードに表示する場合は、このオプションを有効にします。
  認証を強制する	このオプションを有効にすると、セッションが既に存在する場合でも、ユーザーは毎回ログインする必要があります。
  許可されたログアウトURI	「許可されたログアウトURI」リンクをクリックして、ログアウト後のリダイレクトURIのリストを追加します。ユーザーはminiOrangeから正常にログアウトすると、これらのURIのいずれかにリダイレクトされます。
  シングルログアウトが有効	このオプションを有効にすると、このアプリからログアウトするときに他のアプリケーションにログアウト要求が送信されます。
  サインインURL	{{username}}、{{primaryEmail}}、{{customAttribute1}} などのプレースホルダーを使用して、サインイン URL にユーザー属性を含めることができます。これらのプレースホルダーは、IdP によって開始される SSO フロー中に実際のユーザー値に動的に置き換えられます。 以下の属性を使用して URL を生成できます: username、primaryEmail、alternateEmail、fname、lname、primaryPhone、customAttribute1。 URLは次のようになります login.com/{{username}}/?primaryEmail={{primaryEmail}} クエリパラメータの形式: https://<sso-url>?username={{username}} https://<sso-url>?username={{username}}&email={{primaryEmail}} パスパラメータの形式: https://<sso-url>/{{customAttribute1}}/{{customAttribute2}}/?username={{username}}




• に切り替える Attributes タブには何も表示されないことに注意してください。
• 複数値属性オプションを有効にする:



• このオプションを有効にすると、カンマ（,）とセミコロン（;）の両方が区切り文字として扱われます。これらの文字を含む属性は自動的に分割され、 多値属性 それぞれの位置に基づいて。
• この機能により、複数の値を持つ属性が 構造化されたフォーマット 単一の連結された文字列としてではなく。
• 具体的な例を挙げますと、以下の通りです。 このオプションを有効にすると、属性は次のようなリストとして表示されます。 ロール = ['管理者', '編集者', '閲覧者'] 次のような単一の文字列の代わりに 役割 = "管理者;編集者;閲覧者".
• このオプションがオンの場合、 無効カンマ (,) とセミコロン (;) で連結された単一の文字列として保存される属性は、構造化されたリストではなく、保存されている方法で処理されます。
• この場合、カンマ (,) とセミコロン (;) は区切り文字として扱われないため、値は 1 つの文字列に結合されたままになります。
• 必要なアプリの詳細の取得/アプリ情報の更新:
• に行きます アプリ サイドメニューから「設定済みアプリ」セクションを選択します。設定済みアプリの一覧から、作成したアプリを見つけます。アプリの横にある3点アイコンをクリックし、 編集 オプションを選択します。



• 変更したい場合には、上記の詳細を編集することができます。



• OAuth エンドポイント:
• 認可エンドポイント [ https://<your-company-name>.xecurify.com/moas/idp/openidsso ]
• このエンドポイントは、エンドユーザーを miniOrange 認証情報で認証するために使用されます。これにより、ユーザーが認証され、リクエストで渡されたパラメータに基づいて、redirect_url に応答が返されます。[主に認証コード]
• このエンドポイントは次のパラメータを取ります。
• クライアントID: 前の手順で構成されたアプリケーションの client_id
• リダイレクトURI: レスポンスを返すコールバックURL
• 範囲： 承認の範囲またはアクセス レベル。1 つまたは複数のスコープを '+' で区切って送信できます。例: “email+openid”。次のスコープをサポートしています。
• Email: 応答でユーザーのメールアドレスを返します
• プロフィール： レスポンスでユーザープロフィール情報を返します
• オープンID: ユーザー プロファイルの詳細を含む id_token を返します。
• これにより、応答で認証コードと状態パラメータが返されます。
• トークンエンドポイント [ https://<your-company-name>.xecurify.com/moas/rest/oauth/token ]
• このエンドポイントは次を返します。
• IDトークン 提供された公開証明書で検証する必要があるユーザー属性と署名が含まれます。

ISS	発行者を示す https URI
以下	発行者のユーザーの識別子
AUD	要求元クライアントの client_id
使節	クライアントから受信した nonce パラメータ値
EXP	このトークンの有効期限
イート	このトークンが発行された時刻
認証時間	認証が行われた時刻
ハッシュ	アクセストークンのハッシュの前半

• アクセストークン: 有効期間は 1 時間で、有効期限が切れるまではユーザー情報やその他のエンドポイントにアクセスするために使用できます。
• このエンドポイントは、リクエストで次のパラメータを受け取ります。
• クライアントID: 前の手順で構成されたアプリケーションの client_id。
• クライアントシークレット: 前の手順で構成されたアプリケーションの client_secret。
• リダイレクトURL: 応答が投稿されるコールバック URL。
• コード： 認可エンドポイントから受信した認可コード。
• 付与の種類: リクエストに使用する OAuth 許可。
• ユーザー情報エンドポイント [ https://<your-domain>.xecurify.com/moas/api/oauth/getuserinfo ] OAuthのみの場合に必須
• この API を使用すると、ユーザーに割り当てられたアクセス トークンを使用してユーザー プロファイル情報を取得できます。GET リクエストがユーザー情報エンドポイントに送信されます。
• ユーザーの詳細を受け取るには、認証ヘッダーでアクセス トークンを送信する必要があります。
• OpenID シングルログアウトエンドポイント [ https://<your-domain>.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri ]：
• このエンドポイントは、miniOrange IDP からアクティブなユーザー セッションを削除し、post_logout_url パラメータに指定された URL にユーザーをリダイレクトします。

• アプリケーションの選択で、 JWT 全てのアプリ ドロップダウン。



• リストからアプリケーションを検索します。アプリケーションが見つからない場合は、 jwt アプリの設定は JWTアプリ.



• アプリケーションでは次の詳細を設定できます。

  表示名	入力する 表示名 （つまり、このアプリケーションの名前）
  リダイレクトURL	入力する リダイレクトURL （つまり、JWTトークンを送信/投稿するエンドポイント）。複数のリダイレクトURLを追加する場合は、「;」で区切ります。例：abc.com;xyz.com
  顧客ID	その 顧客ID 下のフィールドに表示されます。クリップボードアイコンをクリックしてコピーしてください。
  クライアントシークレット	クライアントシークレット デフォルトでは非表示になっています。目のアイコンをクリックすると表示され、クリップボードアイコンを使用してコピーできます。これは、HS256署名アルゴリズムで署名を生成するために使用されます。
  説明（オプション）	必要に応じて説明を追加します。
  アプリロゴをアップロードする（オプション）	アプリのロゴをアップロードします（オプション）。アプリは、ここで設定したロゴとともにエンドユーザーダッシュボードに表示されます。




• 詳しくはこちら Save.
• あなたはあなたにリダイレクトされます 政策 のセクションから無料でダウンロードできます。



• 以下を行うには、 グループの割り当て ボタン。 新しい グループ割り当てを構成する モーダルタブが開きます。
  • グループの割り当て: アプリケーションにリンクするグループを選択します。一度に最大20グループまで選択できます。
  
  
  
  • 新しいグループを作成する必要がある場合は、 新しいグループを追加
  • グループ名を入力してクリック グループを作成.
  
  
  
  • ソフトウェアの制限をクリック 次へ.
  • ポリシーの割り当て: 選択したグループに必要なポリシーを追加します。以下の詳細を入力してください。
  • 第一の要因: ドロップダウンからログイン方法を選択します。
  • 選択した場合 パスワード ログイン方法として、 2要素認証（MFA） (NAIST) と 適応認証、 必要に応じて。
  • 選択した場合 パスワードなし ログイン方法として、 2要素認証（MFA） 必要に応じて。



• ソフトウェアの制限をクリック Save選択したすべてのグループに対してポリシーが作成されます。
• ポリシーが正常に追加されると、そのポリシーがリストに表示されます。



• ソフトウェアの制限をクリック 高機能 タブには何も表示されないことに注意してください。
• 必要に応じて次の詳細を入力します。

  アクセストークン	ユーザーがログインした後にリダイレクト URL に送信されるアクセス トークンを入力します。このトークンにより、アプリはユーザーが特定の機能にアクセスできることを認識できます。
  IDトークンの有効期限（分）	IDトークンの有効期間（分単位）を設定します。この期間を過ぎると、ユーザーは新しいトークンを取得するために再度ログインする必要があります。
  件名	トークン内でユーザーを識別するために使用する情報（メールアドレスなど）を選択します。これにより、アプリはどのユーザーがログインしているかを認識できるようになります。
  署名アルゴリズム	ドロップダウンから署名アルゴリズムを選択します。
  アプリケーションのログアウトURL	ユーザーがログアウトした後に送信される Web アドレスを入力します。
  共有IDを有効にする	この機能を使用すると、特定のアプリケーションに共有ユーザーがアクセスできるかどうかを制御できます。




• JWT の署名アルゴリズム

RSA-SHA256

• 非対称では、秘密鍵と公開鍵のセットを使用して、JWT トークンに含まれる署名を生成および検証します。
• 秘密鍵は、IDP 側で署名を生成するために使用されます。
• 公開鍵は SP 側で署名を検証するために使用されます。
• このための公開鍵を提供します。



HS256

• 対称型では、同じ秘密鍵を使用して署名を生成し検証します。
• この場合の秘密キーは、アプリ構成ページから構成できます。
• 切り替える ログインオプション タブには何も表示されないことに注意してください。

  プライマリ ID プロバイダー	アプリケーションのデフォルトのIDソースをドロップダウンから選択します。選択されていない場合は、デフォルトのログイン画面が表示され、ユーザーは独自のIDPを選択できます。（この場合はminiOrangeを選択します。）
  認証を強制する	このオプションを有効にすると、セッションが既に存在する場合でも、ユーザーは毎回ログインする必要があります。
  ユーザーマッピングを有効にする	アプリが応答するときにどのユーザーがサインインしているかを表示する場合は、このオプションを有効にします。
  エンドユーザーダッシュボードに表示	このアプリをエンドユーザー ダッシュボードに表示する場合は、このオプションを有効にします。




• 切り替える Attributes タブには何も表示されないことに注意してください。
• 複数値属性オプションを有効にする:



• このオプションを有効にすると、カンマ（,）とセミコロン（;）の両方が区切り文字として扱われます。これらの文字を含む属性は、位置に基づいて自動的に分割され、複数値属性に変換されます。
• この機能により、複数の値を持つ属性が 構造化されたフォーマット 単一の連結された文字列としてではなく。
• 具体的な例を挙げますと、以下の通りです。 このオプションを有効にすると、属性は次のようなリストとして表示されます。 ロール = ['管理者', '編集者', '閲覧者'] 次のような単一の文字列の代わりに 役割 = "管理者;編集者;閲覧者".
• このオプションがオンの場合、 無効カンマ (,) とセミコロン (;) で連結された単一の文字列として保存される属性は、構造化されたリストではなく、保存されている方法で処理されます。
• この場合、カンマ (,) とセミコロン (;) は区切り文字として扱われないため、値は 1 つの文字列に結合されたままになります。
• MFAデバイスに移動する Endpoints 次の詳細をコピーします。



• シングルサインオンURL:
  • この URL は、JWT トークンを取得するためにユーザー認証を開始するために使用されます。
  • クエリパラメータの 1 つとして redirect_uri を使用します。
  • IDP 側で認証が成功すると、IDP にアクティブなユーザー セッションが作成され、ユーザーは JWT トークンを使用して redirect_uri にリダイレクトされます。
• シングルログアウト URL:
  • この URL は、アクティブなユーザー セッションを削除して、ユーザーを IDP からログアウトするために使用されます。
  • クエリパラメータの 1 つとして redirect_uri を使用します。
  • アクティブなユーザー セッションを削除した後、IDP はユーザーを redirect_uri にリダイレクトします。
• IdP が開始したログアウトの返信 URL:
  • このURLは、JWTユーザーログインがIDPによって開始された場合にログアウトを開始するために使用されます[ダッシュボードにログインしたユーザー
    最初にダッシュボードからアプリへのログインを開始しました。
  • ユーザーが IDP からログアウトすると、IDP ダッシュボードのログイン ページにリダイレクトされます。

外部参照

• アイデンティティブローカーとは何ですか?
• SSO について詳しく見る