SAML認証について
SAML（Security Assertion Markup Language）は、異なるシステム間でユーザーの認証情報を安全にやり取りするための業界標準規格です。ZUNDA IDでは、ビルトインのログイン方式（Google認証、Microsoft認証、メール認証）に加えて、SAML 2.0に準拠した外部のIdP（Identity Provider／IDプロバイダー）を組み合わせてご利用いただけます。
SAML認証を導入することで、組織で既に運用しているIdP（Google Workspace、Microsoft Entra ID、Oktaなど）と連携してZUNDA IDへシングルサインオン（SSO）でログインできるようになります。
動作確認済みのIdP
以下のIdPについては、弊社で動作確認を行っております。各IdPごとに固有の設定手順がありますので、ご利用のIdPに対応する下記ページの手順に従って設定を進めてください。
一覧にないIdPであっても、SAML 2.0に準拠したIdPであれば、ACSのURL、エンティティID、IdPメタデータなどの必要なパラメータを設定いただくことでご利用いただけます。その場合は、各IdPのドキュメントとZUNDA ID側の設定項目を照らし合わせながら設定してください。
サポートされている機能
ZUNDA IDのSAML認証では、以下の機能をサポートしています。
-
各種ユーザー情報の取り込み
IdPから送信されるSAMLアサーションをもとに、メールアドレス、名前（姓・名）、表示名を取り込むことができます。JIT（Just-In-Time）サインアップと組み合わせることで、ユーザーが初回ログインした際に自動的にZUNDA ID側にアカウントが作成されるため、事前にユーザーを一括登録する必要はありません。
-
SP Initiated loginおよびIdP Initiated login
ZUNDA IDのログイン画面からSAMLログインを開始する「SP Initiated login」と、IdP側のダッシュボード（Google Workspaceのアプリ一覧、Microsoft Myapps、Oktaのダッシュボードなど）からアプリを起動する「IdP Initiated login」の両方に対応しております。
-
AuthnRequestへの署名
ZUNDA IDからIdPへ送信する認証リクエスト（AuthnRequest）にデジタル署名を付与することで、リクエストの改ざんを検出できます。IdPが署名検証を要求する場合は、ZUNDA ID側で発行されるSP証明書をIdPに登録してください。
-
IdP証明書およびIdP側でのSP証明書の検証
IdPから送信されるSAMLレスポンスの署名を、登録されたIdP証明書で検証します。同様に、IdP側でもZUNDA IDから送信される署名を検証できます。これによりなりすましや改ざんを防止します。
設定の全体的な流れ
SAML認証を導入する際は、以下の順序で進めることを強く推奨します。
-
ログイン方法のリカバリー設定（最初に必ず実施）
SAML認証の設定を始める前に、必ずリカバリーキーを発行・保管してください。設定不備やIdP側の障害でログインできなくなった場合の備えとなります。
-
SAMLプロバイダーの作成と動作確認
ご利用のIdPに応じた設定手順に従って、ZUNDA IDとIdPの双方で必要な設定を行い、ログインテストを実施してください。
-
作成したSAMLプロバイダーをログイン方法として有効化
テストが成功したら、ドメインに対してSAMLプロバイダーを紐づけることで、実際のユーザーログインに利用できるようになります。
ログイン方法のリカバリー設定
設定したログイン方法（SAML認証、Google認証、Microsoft認証など）が、IdP側の障害、設定ミス、証明書の失効などの理由で利用できなくなった場合、アカウントがロックアウトされてしまう可能性があります。これを防ぐため、SAML認証を有効化する前に、必ずリカバリーキーを発行し、安全な場所に保管してください。
リカバリーキーはオフラインで発行でき、SAML認証が利用できない状態でも、リカバリーキーを使って管理者がZUNDA IDにログインし、設定を修正することができます。
のページを参照し、SAML認証の設定をする前に準備をすることをおすすめいたします。
作成したSAMLプロバイダーをログイン方法として利用する方法
SAMLプロバイダーの作成とテストが完了したら、それを実際のログイン方法として有効化する必要があります。ZUNDA IDではドメイン単位でログイン方法を紐づけることができるため、対象のドメインに対して作成したSAMLプロバイダーを設定してください。
作成したSAMLプロバイダーをログイン方法として利用する方法
のページを参照し、設定を進めてください。