概要
Access Controlで、SAP Cloud Identity Servicesとシングルサインオンを行う手順を説明します。
注意事項
- 本記事の内容は、作成時点で弊社が実施した検証結果に基づくものであり、サービスのアップデート等により予告なく変更される場合があります。弊社は、本記事の正確性、有用性の確保につき可能な限り努めておりますが、その内容の網羅性、正確性、完全性、最新性、適時性、特定目的適合性その他内容の一切について、いかなる保証も行うものではありません。
- 本記事は、サービスを提供するベンダー様による公式の監修または認定を受けているものではありません。
- Email DLP / Secure Browser の動作検証は行っておりません。
連携仕様
SAP Cloud Identity Servicesの連携仕様は以下のとおりです。
- 連携キー：メールアドレス
- SAP Cloud Identity Services側の設定：お客様にて実施
- アカウントプロビジョニング：プロビジョニングなし
※各サービスにてアカウントを作成する必要があります。 - アクセス方法：SP-Initiatedのみ対応
※IdP-Initiatedは非対応です。 - デバイス証明書対応状況：ブラウザ
手順
- SAP Cloud Identity Servicesの管理者画面へアクセスし、画面上部のメニューから[Applications & Resources]ー[Tenant Settings]をクリックします。
- [Single Sign-On]ー[SAML 2.0 Configuration]をクリックします。
-
[Name]を[https://<tenantID>.accounts.ondemand.com]に切り替えます。次に[Save]をクリックして保存します。その後[Download Metadata File]をクリックしてメタデータを取得します。
※元々Nameが[https://<tenantID>.accounts.ondemand.com]に設定されている場合、本手順は不要です。
※<tenantID>には、お客様個別のSAP用テナントIDの値が入ります。
-
HENNGE Oneのサービスプロバイダーの設定を行います。下記の記事をもとに設定を行ってください。
記事：SAML 接続時の HENNGE One 側設定方法（メタデータ登録の場合）
- Name ID：email または UserPrincipalName (UPN)
- 署名方式：アサーション
- Name IDフォーマット：email
-
シングルサインオンにてSAP Cloud Identity Servicesにアクセスするためには、アクセス許可を設定する必要があります。以下の記事をもとに設定を行います。
- SAP Cloud Identity Servicesの管理者画面へアクセスし、画面上部のメニューから[Identity Providers]をクリックします。次に[Corporate Identity Providers]をクリックします。
- [Create]をクリックします。表示された[Create Identity Provider]の画面で、[Display Name]に任意の名前を入力します。その後[Save]をクリックします。
- [SAML 2.0 Configuration]をクリックします。
- [Metadata File]本記事の手順4で取得したIdPメタデータをアップロードします。
- [Single Logout Endpoint]の項目で、[Add URL]をクリックします。[Binding]に[HTTP-Redirect]を選択し、[URL]に本記事の手順4で取得したサインアウトURLを入力します。その後[Save]をクリックします。
- [Name ID Policy]をクリックします。
- [Name ID Format]には[Email]を選択し、[Save]をクリックします。
- [Identity Federation]をクリックします。
- [Use Identity Authentication user store]のトグルを ON に切り替えます。
- 画面上部のメニューから[Applications & Resources]ー[Applications]をクリックします。
- 左側メニューより[User Profile]をクリックします。右側に表示されるメニューより[Conditional Authentication]をクリックします。
- [Default Identity Provider]で、作成した Identity Provider を選択し、[Save]をクリックします。こちらの設定が完了次第、システム・アプリケーションであるUser Profileのシングルサインオンが有効になります。
-
SAP Cloud Identity Servicesにアクセスし、SSO連携が無事に完了していることを確認します。SAP Cloud Identity ServicesにはSP-Initiated方式にてアクセスが可能です。
SP-Initiatedのみ対応のサービスはログインURLにシングルサインオン用のURLを設定することでHENNGE Access Control ユーザーポータルからもアクセスできるようになります。