[Access Control] シングルサインオンにおけるトラブルシューティング – HENNGE One ヘルプセンター

概要

クラウドサービスと Access Control の SAML シングルサインオン（SSO）連携でトラブルが発生している場合に確認する、症状別のチェック項目および解決策を記載します。設定マニュアル通りに進めてもサインインできない場合は、まず本記事をご確認ください。

用語について
- SP（Service Provider）は、連携先サービスを指します。
- SP Initiated は SP を起点とした SSO を指します。
- IdP Initiated は Access Control のユーザーポータルを起点とした SSO を指します。
Access Control の認証が成功しているにもかかわらず SSO に失敗する場合、原因が SP 側の設定にある可能性があります。あわせて、サービス側のエラーログも確認してください。

症状別に、以下のトラブルシュートおよび回避方法をお試しください。

SAML SSO の設定を完了したにもかかわらず、SSO の接続確認でエラーが発生する場合の切り分け手順です。

1. 接続設定に起因する場合
以下を Access Control 側・SP 側の両方で確認してください。

Access Control 側

［サービスプロバイダー設定］で、対象 SP の設定が有効になっているかを確認します。
参考：[Access Control] サービスプロバイダー設定の編集

SP にアクセスする Access Control ユーザーに対して、SP へのアクセス許可設定が行われているか確認します。
参考：SP サービスへのアクセス許可設定
ACS URL、SP Issuer（Entity ID）に設定されている値が、SP 側から取得した値と完全に一致しているか・不要なスペースや記号が含まれていないか確認します。
属性のマッピングで、SP が要求する属性（NameID）が正しく設定されているか確認します。通常は、SP 側のログイン ID に対応する Access Control の属性を設定します。
NameID フォーマットの設定値（email/unspecified/persistent）が、SP 側の要件に基づいた設定値となっているかを確認します。
属性の設定に必要な追加属性が正しく設定されているかを確認します。
※SP によっては IdP 側で属性の追加を必要とする場合があります。この場合は、必要に応じて「属性」および「値」に SP 側で指定された値を設定してください。

SP 側

Access Control のメタデータ（エンドポイント URL・証明書）が正しく登録されているか確認します。
※Access Control のメタデータは、Access Control 側のサービスプロバイダー設定の編集画面右上［メタデータ］より確認できます。
SP 側の SSO 設定が「有効」になっているか確認します。

2. ネットワーク・環境に起因する場合

ファイアウォールやプロキシ環境では、Access Control、SP、ユーザー端末間の通信がブロックされることがあります。

Access Control や SP への通信が許可されているか確認します。
※Access Control への通信を許可するために必要な情報は後述の「HENNGE One 動作環境」のヘルプ記事内［ネットワーク］－［サービスのFQDN（URL）］の表内「Access Control」を参照してください。
SP へアクセス時に使用するブラウザの同じウィンドウ上で既に別の Access Control ユーザーでログインしていないか確認します。
※例として、SSO 接続設定のために Access Control 管理者アカウントでログイン中のウィンドウ上で SSO 接続テストを試みた場合、SSO 接続テストを行う SP 側のアカウントに紐づく Access Control ユーザーと競合し、エラーとなる場合があります。
ネットワークを変更して事象が再現するか確認します。
ブラウザのキャッシュ・Cookie をクリアして再試行します。

以下を確認してください。

原因 1：対象サービスが IdP Initiated に対応していない

一部のサービスでは、IdP Initiated によるログイン方式に対応していない場合があります。この場合、Access Control のユーザーポータルやブックマーク URL から対象サービスへアクセスすると、認証後に正しい画面へ遷移しない、または SSO に失敗することがあります。

確認事項

対象サービスが IdP Initiated に対応しているか、サービス側の仕様を確認します。対象サービスが SP Initiated のみ対応している場合は、サービス側のログイン URL から SSO を開始します。

原因 2：RelayState が SP に返却されていない

SSO 方式によって、RelayState の動作は以下のとおりです。

SSO 方式	RelayState の動作
SP Initiated	Access Control のサービスプロバイダー設定の RelayState が空欄の場合、SP からの SAML リクエストに含まれる RelayState をそのまま SP に返します。
IdP Initiated	Access Control のサービスプロバイダー設定の RelayState に設定された値へリダイレクトします。SP 側が RelayState を付与していない場合、認証後の遷移先は SP 側の仕様に依存します。

確認事項

Access Control 管理画面のサービスプロバイダー設定で、RelayState を確認します。
Access Control で RelayState が空欄にも関わらず SP 側で意図した画面へ遷移しない場合は、SP 側の設定または仕様を確認してください。

上記の手順で解決しない場合は、以下の情報を整理のうえ、HENNGE One Technical Support へ連絡してください。