---
title: "SAMLシングルサインオンの設定"
slug: "configure-saml-single-sign-on"
abstract: "Sitecore Cloud Portalでセキュリティアサーションマークアップ言語(SAML)SSOプロバイダーを準備・設定し、その後接続をテスト・検証してから有効化する方法。"
---
# SAMLシングルサインオンの設定

セキュリティアサーションマークアップ言語(SAML)は、認証とアクセスを管理するためのオープンセキュリティ標準です。シングルサインオン用のSAMLは、既存のSAMLアイデンティティプロバイダーを使ってSitecore Cloud Portalにログインできるようにします。

Sitecoreは *サービスプロバイダー(SP)主導のSAML*をサポートしています。

> !重要Sitecoreはジャストインタイム(JIT)プロビジョニング、シングルログアウト(SLO)、リクエスト署名、レスポンス暗号化をサポートしていません。

SAMLシングルサインオンセットアップ(SSO)には主に2つのエンティティがあります。

-   *Service provider* (SP) - ユーザーがアクセスしたいアプリやウェブサイト。私たちの場合は、Sitecore Cloud PortalがSPです。
-   *Identity provider* (IdP) - ユーザー情報や認証情報を保存し、認証を提供する組織です。代表的なIdPには [、Microsoft、Entra](https://learn.microsoft.com/en-us/entra/architecture/auth-saml) 、 [Okta](https://help.okta.com/oie/en-us/content/topics/apps/apps-about-saml.htm)があります。

SAMLアイデンティティプロバイダーを使ってログインできるようにするには、SAMLのSSOを設定する必要があります。SAML証明書は時間とともに期限切れになるため、アクセスが途切れないようにアイデンティティプロバイダーで更新・ [更新](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on/update-a-saml-certificate.html "Update a SAML certificate") する必要があります。

> !ヒントSAMLとは異なり、[オープンID Connect(OIDC)接続](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configuring-openid-connect--oidc-.html "Configuring OpenID Connect (OIDC)") は一時証明書に依存しません。証明書の更新を避けたい場合は、OIDCの使用を検討してください。

SAML SSOを設定する際は、IdPの設定にはSPメタデータ、SSO接続の設定にはIdPメタデータが必要です。Sitecoreは新しい接続を追加するとSPメタデータを生成します。Sitecore Cloud Portalを登録するためにSAMLアプリを作成すると、通常必要なメタデータはIdPが生成します。

> !警告SSO接続を有効にする前に、[SSOを有効にしたときに何が起こるか](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/single-sign-on--sso-.html#UUID-ef17d465-08c0-d1e7-5ddf-415134bd2607_section-idm4661349863516833684732279403 "Enabling an SSO connection")を必ずお読みください。

このウォークスルーでは、以下の方法を説明します:

:::攻略

1.  [Sitecore Cloud PortalでSSO接続を追加してください](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#add-an-sso-connection-in-sitecore-cloud-portal)
2.  [Sitecore Cloud PortalをSAMLアイデンティティプロバイダーに登録してください](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#register-sitecore-cloud-portal-with-your-saml-identity-provider)
3.  [SSO接続の設定をしてください](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#configure-your-sso-connection)
4.  [Sitecoreの属性をあなたのアイデンティティプロバイダーのSAML属性にマッピングします](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#map-sitecore-attributes-to-your-identity-providers-saml-attributes)
5.  [SSO接続のテスト](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#test-the-sso-connection)
6.  [ドメインの確認](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#verify-the-domains)
7.  [SSO接続を有効にしてください](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#enable-the-sso-connection):::

> !注**始める前に**
> 
> -   Sitecore Cloud Portal組織の*Organization Admin*または*Organization Owner*でなければなりません。
>     
> -   Sitecore Cloud PortalをIDプロバイダー(IdP)に登録する能力が必要です。
>     
> -   ドメインホストでTXTレコードを作成する能力が必要です。
>     
> -   あなたのIdPはSAML 1.1またはSAML 2.0をサポートしている必要があります。
>     

## Sitecore Cloud PortalでSSO接続を追加してください

SAML SSOを設定するには、Sitecore Cloud Portalで新しいSSO接続を作成する必要があります。SAML SSO接続を追加すると、Sitecoreはメタデータを生成し、それを使ってSitecore Cloud PortalをSAMLアイデンティティプロバイダーに登録します。

> !重要Sitecore Cloud Portalは、同じメールドメインを複数のSSO接続で使用することはできません。特定のドメインを接続に追加したい場合は、現在そのドメインを使用している接続を削除しなければなりません。

SSO接続を追加するには:

1.  [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、「**SSO接続を追加**」をクリックします。
    
2.  ドロップダウンメニューで「 **SAML」**をクリックしてください。
    
3.  「 **SAML接続を追加する** 」ダイアログで、接続用のメールドメインを最大50個まで入力し、「 **追加」と設定**をクリックしてください。
    
    > !注SSO接続に関連付けられたメールドメインの変更はできません。接続を削除し、新しい接続を追加する必要があります。
    
4.  **サービスプロバイダー(SP)メタデータURL**、**オーディエンスURI、****アサーションコンシューマーサービス(ACS)URL**フィールドの値をコピーしてください。アイデンティティプロバイダーによっては、Sitecore Cloud Portalを登録する際にこれらのデータが必要になるでしょう。
    

## Sitecore Cloud PortalをSAMLアイデンティティプロバイダーに登録してください

SAMLのSSO接続を追加した後、Sitecore Cloud Portalをあなたのアイデンティティプロバイダーに登録する必要があります。

このプロセスはアイデンティティ提供者によって異なりますが、一般的には以下の条件を満たす必要があります:

1.  IDP内でSAMLアプリを作成します(プロバイダーによっては *アプリ統合*、*クライアント*、または*SAML profile*と呼びます)。
    
    こちらがPing識別を使った例です。
    
2.  新しいSSO接続を追加した際にコピーしたサービスプロバイダー(SP)メタデータを使ってSAMLアプリを設定してください。
    
    あなたのIDPは以下のいずれかを求めています:
    
    -   *サービスプロバイダーのメタデータURL*。
    -   *Audience URI* (サービスプロバイダーのサインオンコールバック、ポストバックURL、コールバックURLとも呼ばれる)および *アサーション消費者サービスURL* (サービスプロバイダーエンティティIDやオーディエンス制限とも呼ばれる)です。

## SSO接続の設定をしてください

Sitecore Cloud Portalをアイデンティティプロバイダーに登録した後、IDPメタデータを見つけて、以前作成したSSO接続に追加する必要があります。

SSO接続の設定:

1.  IDプロバイダーからIdPメタデータをコピーしてください。
    
    Ping Identityを使った例を紹介します。
    
2.  [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、先ほど作成したSSO接続を見つけて「**Configure**」をクリックします。
    
3.  **ステップ2では、アイデンティティプロバイダーのメタデータを追加**し、メタデータタイプを選択し、指定された欄にIdPメタデータを貼り付けます。
    
    > !重要SAML証明書は時間とともに期限切れになります。接続の継続的な利用を確保するために、必ず [証明書の更新と更新](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on/update-a-saml-certificate.html "Update a SAML certificate") をしてください。
    
4.  **「保存**」をクリックします。
    

## Sitecoreの属性をあなたのアイデンティティプロバイダーのSAML属性にマッピングします

> !注もしあなたのIdentityプロバイダーのSAMLレスポンスに [*メール*、*family\_name*、*given\_name*](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on.html#UUID-353e48b4-7e46-eac2-9f54-1eeedd874312_N1707730363698)が含まれているなら、追加の設定は不要で、今すぐSSO接続をテストできます。

ユーザーがログインしようとすると、Sitecore Cloud PortalはIdPのSAML応答に *メール*、*given\_name*、*family\_name*属性を期待します。属性は大文字を区別します。

Sitecore属性

IdP属性名へのマッピング

優先順位

*メール*

ユーザーのメールアドレスです。

必須

*given\_name*

ユーザーの本名またはファーストネーム。

オプション

*family\_name*

ユーザーの姓または姓。

アイデンティティプロバイダーはこれらの属性に異なる名前を付けていたり、デフォルトで提供しなかったりします。

-   もしIdPのSAMLレスポンスに *メール* 属性が含まれていなければ、SSO接続は失敗します。
-   SAMLの応答に *family\_name* と *given\_name*が含まれていない場合、ユーザーにSitecore Cloud Portalに詳細が欠落している可能性があります。

もしIdPのSAML応答に期待される属性が含まれていなかったり、誤った情報を提供する属性がある場合:

-   アイデンティティプロバイダーのSAML応答を修正し、アイデンティティプロバイダー内で属性マッピングを設定して、期待される属性を含めるようにしてください。
    
    例: [Okta](https://support.okta.com/help/s/article/How-to-define-and-configure-a-custom-SAML-attribute-statement)
    

もしあなたのIdPが属性マッピングをサポートしておらず、同じ情報に対して異なる属性名(例えば*メール*の代わりに*emailAddress*)を使っている場合:

-   SSO接続設定の **属性マッピング** セクションを使って、Sitecore属性に一致するIdP SAML属性を定義してください。

## SSO接続のテスト

> !注SSO接続に複数のドメインがある場合は、すべてのドメインでこれらの手順を繰り返してください。

SSO接続のテストは任意ですが、接続が正常に動作するか確認するために強く推奨します。IDプロバイダーを使ってサインインを試みることで、いつでもSSO接続をテストできます。

接続のテスト:

1.  [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、テストしたい接続の「**テスト**」をクリックしてください。
2.  **テストSSO接続**ダイアログで「**テスト開始**」をクリックします。
3.  開いたタブで、あなたのアイデンティティプロバイダーを使ってサインインしてください。

SSO接続テストが失敗した場合は、再度試すかSSO接続設定が正しいか確認してください。

## ドメインの確認

> !注SSO接続のテスト前後でドメインを検証できます。

他の誰もあなたのドメインを使ってSSO接続を作成させないようにするには、ドメイン所有権を検証するために、ドメイン **のDNS**レコードに「ドメイン確認」ダイアログのTXTレコードを追加する必要があります。

ドメインの検証:

1.  [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、確認したい接続については「**ドメインの確認**」をクリックしてください。
    
2.  ドメイン **検証** ダイアログで、各TXTレコードをコピーし、ドメインのDNSレコードに追加します。
    
    TXTレコードの追加方法はドメインホストによって異なります。
    
    一般的には:
    
    -   ドメイン登録業者に、購入時に使ったアカウントとパスワードでサインインしてください。
    -   ドメインのTXTレコードを更新できるセクションに行ってください。これは通常、DNS設定、DNS管理、または詳細設定と呼ばれます。
    -   新しいTXTレコードを作成します。
    
    いくつかの例については、[多くの人気ドメインレジストラ向けのGoogleのカスタム指示](https://support.google.com/a/topic/1409901)を参照してください。
    
3.  「 **ドメインの確認**」をクリックします。
    
    > !注ドメイン認証は通常数秒で終わります。しかし、ドメインホストがTXTレコードを公開するのに最大72時間かかることがあります。ドメイン検証後はTXTレコードを削除できます。
    

## SSO接続を有効にしてください

ドメインの認証と(任意で)SSO接続のテストが終わったら、それを有効にすることができます。

SSO接続を有効にするには:

-   [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、有効にしたいSSO接続を見つけて「**Enable**」をクリックします。

SSO接続を有効にすると、その接続が有効なメールドメインを持つユーザーは、自分のアイデンティティプロバイダーを使ってログインできます。

SSO接続を有効にした後、以下のことができます:

-   [ユーザーをあなたのSitecore Cloud Portal組織に招待](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/invite-users-to-your-sitecore-cloud-portal-organization.html "Invite users to your Sitecore Cloud Portal organization")しましょう。
-   [請求マッピング](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/claims-mapping.html "Claims mapping")を設定し、[SSOを使って組織にログインするユーザーに自動的にSitecoreAIの役割を割り当て](https://doc.sitecore.com/xmc/en/developers/xm-cloud/en/assign-sitecoreai-roles-with-claims-mapping.html)ます。

> !重要SAML接続でのアクセスが途切れないよう、必要に応じて期限切れまたは期限切れの証明書を [更新・更新](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configure-saml-single-sign-on/update-a-saml-certificate.html "Update a SAML certificate") してください。