SaaS版でのシングルサインオンの有効化
はじめに
お使いのSaaSサービスプランに規定されている場合、シングルサインオンセクションでは、SAMLを使用したサードパーティ認証を有効にすることができ、ユーザーがポータルにアクセスする際により迅速で簡単かつ安全な方法を提供します。
一般に、シングルサインオン技術は、ユーザーが一度サインインするだけで、複数のアプリケーション/サービスに再認証なしでアクセスできるようにします。例えば、ウェブポータルにフォーラム、チャット、ブログなどの複数の大規模な独立したセクションが含まれている場合、ユーザーはサービスの1つで認証手続きを行うことで、複数回の資格情報入力なしに他のすべてのサービスに自動的にアクセスできます。
ONLYOFFICEサービスプロバイダーにおけるアイデンティティプロバイダーの登録
アイデンティティプロバイダー（IdP）は、ユーザーのアイデンティティ情報を作成、維持、管理し、フェデレーション内の他のサービスプロバイダーにユーザー認証を提供するサービスです。OneLogin、ADFSなどのサービスがアイデンティティプロバイダーとして機能します。サービスプロバイダー（SP）は、ウェブサービスを提供し、ユーザー認証のために信頼されたアイデンティティプロバイダーに依存するエンティティです。この場合、サービスプロバイダーはONLYOFFICEです。
アイデンティティプロバイダーとサービスプロバイダー間の認証/認可データ交換のために、SAMLに基づくSSOを有効にできます。
- SAML（Security Assertion Markup Language）- アイデンティティプロバイダーとサービスプロバイダー間でユーザー認証/認可データをセキュリティトークンを介して伝送するためのXML標準です。
オンラインオフィスがユーザーパスワードを保存しないことで、セキュリティが強化されます。代わりに、アイデンティティプロバイダー側での認証結果を使用します。必要なユーザー情報は認証トークンを介して伝送されます。アイデンティティプロバイダー側でユーザー情報が変更された場合、次回のSSO認証時にポータルで自動的に更新されます（データはアイデンティティプロバイダーからオンラインオフィスへの一方向のみで同期されることに注意してください）。
アイデンティティプロバイダーとオンラインオフィスがSSOを確保するために相互に設定された後、ユーザーのSSO認証プロセスはアイデンティティプロバイダー側で実行されます。オンラインオフィスはアイデンティティプロバイダーから認証トークン（SAML）を受け取ります。トークンが検証されると（デジタル署名とトークンの有効期間を使用して）、オンラインオフィスはユーザーがポータルにアクセスすることを許可します。
SSOの有効化
ポータルのSSO認証を有効化および設定するには、次の手順に従います。
アイデンティティプロバイダーの設定を確認してから、サービスプロバイダーを調整してください。
- ポータルの設定ページに移動します。右上の角にある
アイコンをクリックします。 - 左のサイドバーにある統合セクションで、シングルサインオンリンクをクリックします。
- シングルサインオン認証を有効にするスイッチをシングルサインオンキャプションの下でオンにします。
- ONLYOFFICE SP設定セクションで必要なフィールドに入力します。必要な情報は、いくつかの異なる方法で指定できます。
- メタデータファイルへのURLアドレスを入力します。IdPメタデータが外部からリンクでアクセス可能な場合、IdPメタデータXMLへのURLフィールドにリンクを挿入し、矢印ボタンをクリックしてデータを読み込みます。データが読み込まれると、すべての必要なパラメータが拡張フォームに自動的に表示されます。
- メタデータファイルをアップロードします。IdPがメタデータファイルを提供する場合、ファイルを選択ボタンを使用して、ローカルマシンに保存されているファイルを参照します。ファイルがアップロードされると、すべての必要なパラメータが拡張フォームに自動的に表示されます。
- 必要なパラメータを手動で指定します。メタデータファイルが利用できない場合、必要なパラメータを手動で入力します。必要な値を取得するには、IdP管理者にお問い合わせください。
以下のパラメータが利用可能です。
- IdPエンティティID（必須フィールド） - サービスプロバイダーがIdPを一意に識別するために使用するアイデンティティプロバイダーの識別子またはURLアドレス。
例：https://example.com/idp/shibboleth
ここで、example.comはSSOサービスのドメイン名です。
- IdPシングルサインオンエンドポイントURL（必須フィールド） - アイデンティティプロバイダー側でのシングルサインオンに使用されるURL。これは、SPが認証要求を送信するIdPのエンドポイントアドレスです。
必要なバインディングタイプを対応するラジオボタンの1つを選択して設定します。バインディングは、IdPとSP間で認証要求と応答が基礎となるトランスポートプロトコルを介して送信される方法を指定します：HTTP POSTまたはHTTP リダイレクトバインディングを使用します。
- IdPシングルログアウトエンドポイントURL - サービスプロバイダー側でのシングルログアウトに使用されるURL。これは、SPがログアウト要求/応答を送信するIdPのエンドポイントアドレスです。
必要なバインディングタイプを対応するラジオボタンの1つを選択して設定します。バインディングは、IdPとSP間でログアウト要求と応答が基礎となるトランスポートプロトコルを介して送信される方法を指定します：HTTP POSTまたはHTTP リダイレクトバインディングを使用します。
- NameIdフォーマット - NameIDパラメータはSPがユーザーを識別するのに役立ちます。リストから利用可能なフォーマットの1つを選択します。
IdPおよびSPの証明書を追加することもできます。
ONLYOFFICEを信頼されたサービスプロバイダーとしてIDプロバイダーに登録する
次に、ONLYOFFICEを信頼されたサービスプロバイダーとしてIDPアカウントに追加し、IDP内でONLYOFFICE SPメタデータを指定する必要があります。
必要なデータを受け取るには、SSOページのONLYOFFICE SP メタデータセクションを参照してください。SPデータが公開されていることを確認します。そのためには、SPメタデータXMLをダウンロードボタンをクリックします。XMLファイルの内容が新しいブラウザタブに表示されます。データをXMLファイルとして保存し、IDPにアップロードできるようにします。
または、対応するフィールドでクリップボードにコピーボタンをクリックして個別のパラメータを手動でコピーすることもできます。
以下のパラメータが利用可能です：
- SPエンティティID（メタデータXMLへのリンク） - サービスプロバイダーXMLのURLアドレスで、IDプロバイダーがSPを一意に識別するためにダウンロードして使用できます。デフォルトでは、ファイルは次のアドレスにあります：http://example.com/sso/metadata、ここでexample.comはあなたのONLYOFFICEポータルのドメイン名または公開IPです。
- SPアサーションコンシューマーURL（POSTおよびリダイレクトバインディングをサポート） - サービスプロバイダーがIDプロバイダーからのアサーションを受信して処理するURLアドレスです。デフォルトでは、次のアドレスが使用されます：http://example.com/sso/acs、ここでexample.comはあなたのONLYOFFICEポータルのドメイン名または公開IPです。
- SPシングルログアウトURL（POSTおよびリダイレクトバインディングをサポート） - IDプロバイダー側でのシングルログアウトに使用されるURLです。これは、IDプロバイダーからのログアウト要求/応答を受信して処理するSPのエンドポイントアドレスです。デフォルトでは、次のアドレスが使用されます：http://example.com/sso/slo/callback、ここでexample.comはあなたのONLYOFFICEポータルのドメイン名または公開IPです。
ONLYOFFICE SPへのログイン
SSOが有効化され、設定された後、ログインプロセスは次のように行われます：
- ユーザーがONLYOFFICEポータルの認証ページでシングルサインオンボタン（ONLYOFFICE SPの設定時に独自のテキストを指定した場合、キャプションが異なる場合があります）をクリックしてONLYOFFICEへのアクセスを要求します（SP開始のSSO）。
- IDPとSPの設定がすべて正しく設定されている場合、ONLYOFFICEは認証要求をIDPに送信し、ユーザーをIDPページにリダイレクトし、そこで資格情報を求められます。
- ユーザーがまだIDPにログインしていない場合、IDPで資格情報を提供します。
- IDPはユーザーデータを含む認証応答を作成し、それをONLYOFFICEに送信します。
- ONLYOFFICEはIDプロバイダーからの認証応答を受信し、それを検証します。
- 応答が検証されると、ONLYOFFICEはユーザーのログインを許可します（ユーザーが存在しない場合は自動的に作成され、IDPで変更された場合はデータが更新されます）。
IDプロバイダー側のサインインページ（IDP開始のSSO）を使用して資格情報を入力し、その後再認証なしでONLYOFFICEポータルにアクセスすることも可能です。
ONLYOFFICE SPからのログアウト
ログアウトは2つの方法で行うことができます：
- ONLYOFFICEポータルからサインアウトメニューを使用して（この場合、ログアウトのための要求がIDPから送信されます）。ユーザーが以前にSSO認証を介してアクセスした他のすべてのアプリケーションからログアウトした場合、IDPからも自動的にログアウトされる必要があります。
- IDPのログアウトページから。
SSOを使用して作成されたユーザープロファイルの編集
SSO認証を使用して作成されたユーザーは、ポータル管理者のユーザーリストにSSOアイコンでマークされています。
Peopleモジュールでそのようなユーザープロファイルを編集する可能性は制限されています。SSO認証を使用して作成されたユーザープロファイルフィールドは、Peopleモジュールから編集できません。ユーザーデータはIDP側でのみ変更可能です。