--- title: "OpenID Connect(OIDC)の設定" slug: "configuring-openid-connect--oidc-" abstract: "Sitecore Cloud PortalでOpenID Connect(OIDC)SSOプロバイダーを準備・設定し、その後接続をテスト・検証してから有効化する方法を説明します。" --- # OpenID Connect(OIDC)の設定 OpenID Connect(OIDC)は、OAuth 2.0プロトコルの上に構築されたアイデンティティ層です。これにより、クライアントアプリケーションはOpenID Connectプロバイダーによる認証に依存してユーザーの身元を検証できます。 SSOを設定するには、*Organization Admin*または*Organization Owner*ロールが必要です。また、アイデンティティプロバイダー(IdP)でSitecore Cloud Portal登録し、ドメインホストでTXTレコードを作成する機能も必要です。 ユーザーがOIDCのアイデンティティプロバイダーでログインできるようにするには、OpenID Connectの設定が必要です。 > !警告SSO接続を有効にする前に、[SSOを有効にしたときに何が起こる](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-.html#UUID-ef17d465-08c0-d1e7-5ddf-415134bd2607_section-idm4661349863516833684732279403 "Enabling an SSO connection")かを強くお勧めします。 このウォークスルーでは、以下の方法を説明します: :::攻略 1. [Sitecore Cloud PortalをOIDCアイデンティティプロバイダーに登録してください](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configuring-openid-connect--oidc-.html#register-sitecore-cloud-portal-with-your-oidc-identity-provider) 2. [Sitecore Cloud PortalでOIDC接続を追加する](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configuring-openid-connect--oidc-.html#add-an-oidc-connection-in-sitecore-cloud-portal) 3. [接続のテスト](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configuring-openid-connect--oidc-.html#test-the-connection) 4. [ドメインの確認](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configuring-openid-connect--oidc-.html#verify-the-domains) 5. [接続を有効にする](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/configuring-openid-connect--oidc-.html#enable-the-connection)::: > !注SSO接続のテスト前後でドメインを検証できます。 > !注**始める前に** > > - Sitecore Cloud Portal組織の*Organization Admin*または*Organization Owner*でなければなりません。 > > - Sitecore Cloud PortalをIDプロバイダー(IdP)に登録する能力が必要です。 > > - ドメインホストでTXTレコードを作成する能力が必要です。 > ## Sitecore Cloud PortalをOIDCアイデンティティプロバイダーに登録してください SSO接続を追加する前に、アイデンティティプロバイダーにSitecore Cloud Portal登録する必要があります。このプロセスはアイデンティティプロバイダーによって異なりますが、一般的にはアプリケーション(一部のプロバイダーは *アプリインテグ* レーションや *クライアント*と呼ぶ)を作成し、client IDとclient secretを受け取る必要があります。 アプリケーションを作成する際に、許可されたコールバックURLとしてhttps://auth.sitecorecloud.io/login/callback登録する必要があるかもしれません(プロバイダーによっては *リダイレクトURI*と呼ぶ場合もあります)。 以下は、一般的なOpenID Connectのアイデンティティプロバイダーの設定ガイドです: - [Microsoft Entra ID (旧称Azure Active Directory)](https://learn.microsoft.com/en-us/azure/active-directory/fundamentals/auth-oidc) - [オクタ](https://help.okta.com/en-us/Content/Topics/Apps/Apps_App_Integration_Wizard_OIDC.htm) - [Auth0](https://auth0.com/docs/get-started/auth0-overview/create-applications) ## Sitecore Cloud PortalでOIDC接続を追加する IDプロバイダーでSitecore Cloud Portalを登録した今、IDプロバイダーの情報を使ってOIDC接続を作成する必要があります。 > !重要Sitecore Cloud Portalは、同じメールドメインを複数のSSO接続で使用することはできません。特定のドメインを接続に追加したい場合は、現在そのドメインを使用している接続を削除しなければなりません。 OIDC接続を追加するには: 1. [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、「**SSO接続を追加**」をクリックします。 2. ドロップダウンメニューで「 **OpenID Connect**」をクリックします。 3. 「 **SSO接続を追加** 」ダイアログで、接続の詳細を入力してから **「保存**」をクリックします。後で[SSO接続の設定を編集](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/edit-or-delete-an-sso-connection.html#UUID-c290052c-e805-5bb5-005a-db8bc4ba64fe_section-idm4506609962417633684684181902 "Edit an SSO connection") できます。 フィールド 概要 メールドメイン このSSO接続には最大50のメールドメインが関連付けられています。 アイデンティティプロバイダーで認証するユーザーのメールアドレスは指定されたメールドメインのいずれかに属していなければならず、そうでなければ認証が失敗します。 接続タイプ 識別プロバイダーの認証サーバー(IdP)が認証エンドポイントから結果パラメータをどのように返すかを決定します。 どの選択肢を選ぶべきかについては、IDPの書類を確認してください。 **バックチャネル** ([認証コードフロー](https://developer.okta.com/docs/guides/implement-grant-type/authcode/main/))は response\_type=codeを使用します。JSONウェブトークン(JWT)はサーバー間通信で転送されるため、トークンの露出リスクを低減します。これはほとんどのアプリケーションで推奨される方法です。 **フロントチャネル** ([暗黙](https://developer.okta.com/docs/guides/implement-grant-type/implicit/main/)フロー)は response\_mode=form\_post と response\_type=id\_tokenを使用します。JSONウェブトークンはブラウザ経由で転送され、トークンが公開されます。この方法は安全性が低く、IdPが認証コードフローをサポートしていない場合のみ使用すべきです。 ディスカバリーURL 接続したいアイデンティティプロバイダーのディスカバリードキュメントのURL(一部のプロバイダーは *これをメタデータアドレス*と呼びます)。正しいURLがないかIdPのドキュメントを確認してください。 Auth0の例: https://{YOUR\_DOMAIN}/.well-known/openid-configuration スコープ OpenID Connect スコープパラメータを通じて要求するスコープのスペース分離リスト。必要なスコープとemailクレームを返すスコープがopenidされます。 また、以下の請求を返すスコープも含めることを推奨しました: name、 given\_name、 family\_name、 nickname。 各スコープ値で返されるクレームは、あなたのIdPによって異なります。例えば、IdPがAuth0またはEntra ID Microsoft場合、以下のスコープを入力します: openid profile email。 クライアントID 申請書の client ID は、あなたがIDプロバイダーにSitecore Cloud Portalを登録した際に作成されたものです。 クライアントの秘密 Sitecore Cloud Portalをアイデンティティプロバイダーに登録した際に作成されたアプリケーションの client secret です。このフィールドはバックチャネル(認証コードフロー)を使用する場合に必要です。 コールバックURL アイデンティティプロバイダーが認証応答を送信する場所です。Sitecore Cloud Portalをアイデンティティプロバイダーに登録する際に、このURL(一部のプロバイダーは *リダイレクトURI*と呼ぶ)を追加する必要があるかもしれません。 ## 接続のテスト OIDC接続のテストは任意ですが、接続が正常に動作するか確認するために強く推奨します。IDプロバイダーを使ってサインインを試みることで、いつでもSSO接続をテストできます。 > !注SSO接続に複数のドメインがある場合は、すべてのドメインでこれらの手順を繰り返してください。 接続のテスト: 1. [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動し、テストしたい接続の「**テスト**」をクリックしてください。 2. **テストSSO接続**ダイアログで「**テスト開始**」をクリックします。 3. 開いたタブで、あなたのアイデンティティプロバイダーを使ってサインインしてください。 テストが失敗した場合は、SSO接続設定が正しいか確認してから再度試してください。 ## ドメインの確認 他の誰もあなたのドメインを使ってSSO接続を作成させないようにするには、ドメイン所有権を検証するために、ドメイン **のDNS**レコードに「ドメイン確認」ダイアログのTXTレコードを追加する必要があります。 > !注SSO接続のテスト前後でドメインを検証できます。 ドメインの検証: 1. [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動します。 2. 確認したい接続については **「ドメイン確認**」をクリックしてください。 3. ドメイン **検証** ダイアログで、各TXTレコードをコピーし、ドメインのDNSレコードに追加します。 TXTレコードを追加する方法はドメインホストによって異なります。 一般的には: - ドメイン登録業者に、購入時に使ったアカウントとパスワードでサインインしてください。 - ドメインのTXTレコードを更新できるセクションに行ってください。これは通常、 **DNS設定**、 **DNS管理**、 **または詳細設定**と呼ばれます。 - 新しいTXTレコードを作成します。 いくつかの例については、[多くの人気ドメインレジストラ向けのGoogleのカスタム指示](https://support.google.com/a/topic/1409901)を参照してください。 4. 「 **ドメインの確認**」をクリックします。 > !注ドメイン認証は通常数秒で終わります。しかし、ドメインホストがTXTレコードを公開するのに最大72時間かかることがあります。ドメイン検証後はTXTレコードを削除できます。 ## 接続を有効にする ドメインの認証と(任意で)SSO接続のテストが終わったら、それを有効にすることができます。 接続を有効にするには: 1. [Sitecore Cloud PortalのSSOページ](https://portal.sitecorecloud.io/admin/sso)に移動します。 2. 選択したSSO接続の横で「 **Enable**」をクリックします。 SSO接続を有効にすると、その接続が有効なメールドメインを持つユーザーは、自分のアイデンティティプロバイダーを使ってログインできます。 SSO接続を有効にした後、以下のことができます: - [ユーザーをあなたのSitecore Cloud Portal組織に招待](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/invite-users-to-your-sitecore-cloud-portal-organization.html "Invite users to your Sitecore Cloud Portal organization")しましょう。 - [請求マッピング](https://doc.sitecore.com/portal/ja/developers/sitecore-cloud-portal/portal-administration/authentication/single-sign-on--sso-/claims-mapping.html "Claims mapping")を設定し、[SSOを使って組織にログインするユーザーに自動的にSitecoreAIの役割を割り当て](https://doc.sitecore.com/xmc/en/developers/xm-cloud/en/assign-sitecoreai-roles-with-claims-mapping.html)ます。