Larkのシングルサインオン設定

概要

Access Controlで、LarkとシングルサインオンをするためのHENNGE One側とLark側の設定手順を説明します。

注意事項

1. 本記事の内容は、作成時点で弊社が実施した検証結果に基づくものであり、サービスのアップデート等により予告なく変更される場合があります。
   弊社は、本記事の正確性、有用性の確保につき可能な限り努めておりますが、その内容の網羅性、正確性、完全性、最新性、適時性、特定目的適合性その他内容の一切について、いかなる保証も行うものではありません。
2. 本記事は、サービスを提供するベンダー様による公式の監修または認定を受けているものではありません。
3. Email DLP / Secure Browser の動作検証は行っておりません。

連携仕様

Larkの連携仕様は以下のとおりです。

• 連携キー：メールアドレス
• Lark側の設定：お客様にて実施
• アカウントプロビジョニング：プロビジョニングあり（HENNGE Oneにて管理可能）
• アクセス方法：SP-Initiatedのみ対応
  ※IdP-Initiatedは非対応です。
• デバイス証明書対応状況：ブラウザ

手順

1. HENNGE OneのサービスプロバイダーのACS URLおよびSP Issuerを設定します。法人ドメインに応じて以下の設定値を使用してください。以下の記事を参照してください。
   記事1：SAML 接続時の HENNGE One 側方法（カスタムでの登録の場合）

   記事2：管理者｜SAML 2.0 認証による SSO ログインを設定する（Microsoft Entra ID を例に）
   
   法人ドメインが「xxx.larksuite.com」の場合

   • ACS URL：https://www.larksuite.com/suite/passport/authentication/idp/saml/call_back
   • SP Issuer：https://www.larksuite.com

   法人ドメインが「xxx.jp.larksuite.com」の場合

   • ACS URL：https://www-jp.larksuite.com/suite/passport/authentication/idp/saml/call_back
   • SP Issuer：https://www-jp.larksuite.com

   法人ドメインが「xxx.sg.larksuite.com」の場合

   • ACS URL：https://www.sg.larksuite.com/suite/passport/authentication/idp/saml/call_back
   • SP Issuer：https://www.sg.larksuite.com

   HENNGE OneのサービスプロバイダーのName IDおよび追加属性を以下のとおり設定します。

   • Name ID：email または UserPrincipalName (UPN)
   • Name IDフォーマット：email
   • 署名方式：レスポンス
   • 追加属性
     • 属性：email　値：EmailまたはUserPrincipalName(UPN)
2. 手順4の作業実施後に表示される画面にて、以下の値を取得のうえ[変更する]をクリックします。
   • IdP Issuer
   • シングルサインオンURL
   • SAML署名証明書（「-----BEGIN CERTIFICATE-----」と「-----END CERTIFICATE-----」の間のテキストを控えます）
     
3. シングルサインオンにてLarkにアクセスするためには、アクセス許可を設定する必要があります。以下の記事をもとに設定を行います。
   記事：[Access Control] アクセスポリシーグループの作成 / 編集
4. Larkの管理コンソールに管理者アカウントでログインを行い、[セキュリティ]ー[アカウントセキュリティ]ー[SSOログイン]をクリックします。
   
5. SSOログインの画面で[編集]をクリックします。
   
6. 認証方式で[SAML認証]をクリックし、以下の情報を設定します。
   • SAML 2.0 エンドポイント：手順2で取得したシングルサインオンURL
   • IdP 発行者：手順2で取得したIdP Issuer
   • SAML 証明書：手順2で取得したX.509証明書情報
     
7. [高度な設定]を開き、[レスポンス署名]を選択し、[認証して保存]をクリックします。
   
8. HENNGEの認証画面でAccess Control上のLark管理者アカウントでログインを行います。
9. SSOログインの画面でSSOを有効化します。
   

10. Larkにアクセスし、SSO連携が無事に完了していることを確認します。LarkにはSP-Initiated方式にてアクセスが可能です。

    SP-Initiatedのみ対応のサービスはログインURLにシングルサインオン用のURLを設定することでAccess Control ユーザーポータルからもアクセスできるようになります。
    [Access Control] サービスからのアクセスのみが可能なサービスへHENNGEからアクセスする手順