シングルサインオン (SSO)
SAML 2.0 シングルサインオン、ログインフロー、およびプロビジョニングオプションに関する情報
シングルサインオン (SSO) により、組織のアイデンティティプロバイダーを使用してユーザーが Deque 製品にサインインできるようになります。
メリット
- アイデンティティプロバイダーを通じた集中ユーザー管理
- Deque 製品のパスワード管理に関する負担の排除
- 組織の認証ポリシーへの準拠
- アイデンティティプロバイダー経由の多要素認証 (MFA) サポート
- 従業員が退職した際のユーザーの簡素なオフボーディング
機能概要
| 機能 | サポート |
|---|---|
| プロトコル | SAML 2.0 のみ (OpenID Connect と WS-Federation は利用不可) |
| ログインフロー | SP-initiated (ユーザーは Deque から開始) および IdP-initiated (ユーザーはアプリケーションポータルから開始) |
| アイデンティティプロバイダー | Okta、Microsoft Entra ID、PingFederate、および SAML 2.0 準拠のプロバイダー |
| ユーザー属性 | メール、名、姓 |
| 多要素認証 | サポートあり (ポリシーはアイデンティティプロバイダーによって管理される) |
| 証明書 | 自己署名または CA 発行の両方をサポート |
| ホスティングオプション | SaaS (米国、EU、オーストラリア、フランクフルト)、プライベートクラウド、オンプレミス |
| ユーザー プロビジョニング | 手動、ジャストインタイム (新規ユーザー自動作成)、または SCIM 2.0 |
ログインフロー
SP-Initiated (サービスプロバイダー開始)
ユーザーは Deque 製品のサインインページから開始し、「組織のアカウントでサインイン」を選択します。ユーザーは認証のためにアイデンティティプロバイダーにリダイレクトされ、その後 Deque に戻ります。
利点: すべてのアイデンティティプロバイダーで動作。 プロバイダー固有の設定不要 標準的な SAML 設定以外は不要。
IdP-Initiated (アイデンティティプロバイダー開始)
ユーザーはあなたのアプリケーションポータルから開始し、Deque 製品のタイルを選択すると、認証後にすぐにその製品に送信されます。
利点: 組織のアプリケーションエコシステム内でシームレスなユーザー体験。 要件: 各 Deque 製品のための別個の接続、プロバイダー固有の設定が必要 (Okta、Microsoft Entra ID、PingFederate 参照)。
メールドメイン
接続は @ 記号に続くメールドメインで照合されます。各ドメインにはそれぞれの接続が必要であり、サブドメインは親ドメインとは別に設定されます。
例: @acme.com および @dev.acme.com にユーザーを持つ企業は、2 つの別々の SSO 接続が必要です。
すべての接続は同じアイデンティティプロバイダーを指すことができます。
ユーザープロビジョニング
手動プロビジョニング
管理者がユーザーの最初の SSO サインイン前に Deque にユーザーアカウントを作成します。すべてのセットアップタイプで動作します。
ジャストインタイム (JIT) プロビジョニング
ユーザーが初めてSSOでサインインするとき、DequeはSAMLアサーションの情報を使用して自動的にアカウントを作成します。IDプロバイダーが送信する場合、ユーザーの名と姓がインポートされます。
SCIM 2.0 プロビジョニング
あなたのIDプロバイダーはDequeユーザーアカウントを自動的に作成、更新、削除し、ディレクトリグループのメンバーシップに基づいて製品をユーザーに割り当てることができます。これには別途設定ステップが必要です。詳細は自動ユーザープロビジョニング (SCIM)を参照してください。
制限事項と考慮事項
有効なドメインのすべてのユーザーはSSOを使用する必要があります
ドメインに対してSSOが有効になると、そのドメインのメールアドレスを持つすべてのユーザーはIDプロバイダーを通じてサインインします。彼らにはパスワードサインインは利用できなくなります。
既存のユーザーは一度限りのアカウントリンクを完了します
すでにDequeのログインを持っているユーザーは、初めてSSOでサインインするときにDequeアカウントとIDプロバイダーのリンクを確認する必要があります。彼らは確認メールを受け取り、プロセスを完了するためのリンクを選択します。
プロトコルとフォーマットの制約
- SAML 2.0 のみ
- Name ID フォーマット：
Email、Subject NameID を使用 - メールアドレスは識別子であり、一意で安定していなければなりません
- グループメンバーシップのクレームは製品アクセスには使用されません。グループベースのアクセス制御が必要な場合はSCIMを使用してください
証明書と信頼
SSOの信頼は、御社とDequeの間の直接のメタデータ交換を通じて確立され、公的な証明書機関のチェーンを介するものではありません。それぞれが相手によって提供される証明書を明示的に信頼します。
重要なポイント
- 自己署名証明書がサポートされています。 CA発行の証明書は必要ありません。
- エンティティIDは正確に一致する必要があります。 エンティティIDは識別子であり、URLではありません。両者で文字単位で同一でなければならず、末尾のスラッシュも含みます。たった1つの違いがあると、アサーションは拒否されます。
- 証明書は定期的に有効期限切れになります。 署名証明書は通常1年から3年ごとに有効期限が切れます。
署名証明書が期限切れまたはローテーションされたとき、ドメインのすべてのユーザーに対してSSOが機能しなくなります。
あなたが証明書をローテーションするhelpdesk@deque.com事前に、新しい証明書を事前に送信してください。これは、突然の完全なSSO障害の最も一般的な原因であり、完全に避けられます。設定完了時に更新リマインダーを追加してください。
次のステップ
SSOを設定するには、SSOの設定をご覧ください。