SSO の設定

SSO の設定は、貴社と Deque の間で SAML メタデータを交換することです。どちらの側も相手のシステムにアクセスする必要はありません。

前提条件

始める前に以下を確認してください:

• 貴社のアイデンティティプロバイダーへの管理者アクセス
• 対象となる Deque 製品のリスト
• ユーザーがサインインするすべてのメールドメイン、サブドメインを含む
• 貴社のアイデンティティプロバイダーに既に存在するテストユーザー
• SAML の設定と接続テストができる技術的な担当者

設定プロセス

設定は 3 つのフェーズで進行します。IdP イニシエートログインの場合、プロセスは各 Deque 製品ごとに繰り返されます。

SSO の依頼

helpdesk@deque.com または貴社の Deque 担当者に以下をお知らせください:

• 貴社の組織名
• 対象となるすべてのメールドメイン
• 対象の Deque 製品
• 貴社のアイデンティティプロバイダー
• SP イニシエートまたは IdP イニシエートのログインを希望するかどうか
• 貴社の技術的な担当者

その後、Deque は各製品に対して サービスプロバイダーエンティティID および SP メタデータ (XML) を送信します。IdP イニシエートセットアップの場合、各製品ごとに 1 つのエンティティ ID を受け取ることができます。

ログインフローの選択

Deque は 2 つの SSO ログインフローをサポートしています。貴社のアイデンティティプロバイダーの機能に基づいて選択してください:

どちらのフローも安全で、SAML 2.0 に準拠しています。以下で選択したセクションに進みます。

SP開始フロー設定

SP開始のログインの場合、Dequeがサービスプロバイダーの設定を管理します。あなたの役割は、Dequeのメタデータをアイデンティティプロバイダーにインポートすることです。

SP開始ログイン用SAML設定

組織ごとにユニークなSAML設定は1つだけです。

メタデータのインポート

Dequeから提供されたSPメタデータ（XMLファイルまたはURL）をインポートしてください。

• あなたのアイデンティティプロバイダーに「メタデータインポート」または「メタデータURL」のオプションがある場合、DequeのメタデータURLを直接使用してください。
• そうでなければ、XMLファイルをダウンロードして、アイデンティティプロバイダーにアップロードしてください。
• あなたのIdPはほとんどの設定を自動で入力します。追加のSAML設定は不要です。

Dequeのメタデータをインポートした後、以下のテストに進んでください。

IdP開始フロー設定

IdP開始のログインの場合、あなたはDequeのメタデータを使用してアイデンティティプロバイダーにSAMLアプリケーションを手動で設定します。

エンティティID値の選択

エンティティIDはDequeから提供されたメタデータファイル内のmd:EntityDescriptor要素のentityID属性です。その値は/clients/<client name>で終わります。例：

https://auth.deque.com/.../axe.<your-domain>/endpoint/clients/axe-login-idp

この一つの値は、エンティティIDと返信URL（またはACS URL）の2か所で使用されます。両方のフィールドに同じ値を入力してください。

IdP開始ログイン用SAML設定

これらの設定はIdPのログインに対するすべてのアイデンティティプロバイダーに適用されます。

属性マッピング

最初のサインインで名前と姓がインポートされるように、以下の属性を送信してください。

属性名の形式はプロバイダーによって異なります。OktaとMicrosoft Entra IDはUnspecifiedを使用し、PingFederateはurn:oasis:names:tc:SAML:2.0:attrname-format:uriを使用します。形式が間違って設定されていると、名前がインポートされず、初回のサインインで入力を求められます。

ユーザーの割り当て

アクセス権を持つべきユーザーとグループを割り当てます。ほとんどのアイデンティティプロバイダーは、割り当てられていないユーザーのサインインをブロックします。割り当ては認証できるユーザーの制御をしますが、Deque製品へのアクセスを付与するものではありません。

プロバイダー固有の設定

あなたのアイデンティティプロバイダー向けのガイドに沿ってください。

• Okta
• Microsoft Entra ID
• PingFederate

他のSAML 2.0に準拠したプロバイダーもサポートされています。上記のSAML設定を使用し、各フィールドの場所についてはプロバイダーのドキュメントを参照してください。

Dequeへメタデータを送信する

IDプロバイダーの設定後、メタデータをDequeに送信してください。メタデータURLまたはエクスポートされたXMLファイルのいずれかを送信します。どちらもDequeが必要とする値を含んでいます:

IdPによって開始されたログイン専用: IdP開始URL

メタデータに加えて、DequeにIdPによって開始された開始URLを送信してください。この値はメタデータに含まれておらず、別途送信する必要があります:

DequeはあなたのSSO URLと証明書をインポートし、署名検証を有効にし、接続がテスト準備完了であることを確認します。接続は本稼働まで無効のままなので、既存のユーザーのサインインには影響しません。

テスト

以下を確認してください:

1. ユーザーがサインインページに到達し、多要素認証を含めて認証されること。
2. ユーザーがDequeに戻り、製品に到達すること。
3. ユーザーの名前とメールアドレスがDequeのプロフィールに正しく表示されること。
4. 既存のDequeアカウントを持たないユーザーが正しく作成されること。
5. 既存のDequeアカウントを持つユーザーがアカウントリンクを正常に完了すること。

アカウントリンク

すでにDequeのログインを持っているユーザーは、最初のSSOサインイン時にDequeアカウントとIDプロバイダーのリンクを確認する必要があります。Dequeは確認メールを送り、ユーザーはプロセスを完了するためのリンクを選択します。これはユーザーごとに一度行われます。

本稼働

テストが成功し、ユーザーに通知したら、Dequeに接続を永久に有効化する時期を伝えてください。その時点から、有効化されたドメインのすべてのユーザーはIDプロバイダーを通じてサインインします。

ベースURL

地域または専用インスタンスのベースURLを使用してください。