SAML認証を使用したシングルサインオンを構成する(Google Workspace編)

コラボフローはSAML 2.0プロトコルによる外部認証を利用することができます。コラボフローがサービスプロバイダー（SAML SP）となります。
この記事では、コラボフローとGoogle Workspace（SAML IdP）とを連携する例を掲載します。

※ご注意※
動作確認が完了したIdPについて設定手順を順次公開しております。
他のIdPとも連携できるかと思われますが、その設定方法やトラブル解決のご案内が出来ない場合がございます。

この記事のサンプルについて

この記事では下記のサンプル環境を例とした説明文や画面ショットを掲載しております。
環境に合わせて適宜お読み変えください。

コラボフローのトップアドレス	https://cloud.collaboflow.com/example/
Google Workspace契約ドメイン	example.jp

前提条件

• コラボフローのユーザーIDと、Googleアカウントは、一致している必要があります。
• コラボフローへアクセスする際は、コラボフローのURLからアクセスしてください。
  ※IdP起点のSAML認証（IdP-Initiated SSO）には対応しておりません。

【ステップ１】Webサーバーを構成する

※コラボフロー クラウド版では操作不要です。

WebサーバーにSSL証明書をインストールし、IISで暗号化通信（https）を利用できるように構成しておきます。

【ステップ２】アプリケーションIDを確認する

SAML認証で用いるアプリケーションIDを確認します。

1. コラボフローにログインし、歯車アイコンからシステム管理エリアに移動します。
2. 環境設定を開きます。
3. 「SAML2.0認証」欄にある「アプリケーションID(URI)」と「応答URL」をメモしておきます。
   後の手順で、このURLをGoogle Workspaceに設定します。
   

【ステップ３】Google Workspace側の設定

SAMLアプリに、コラボフローを追加します。

1. Google 管理コンソール にログインし、[アプリ] > [SAMLアプリ] にアクセスします。

2. [カスタム SAML アプリの追加] をクリックします。
   

3. アプリ名に「collaboflow」などわかりやすい名称を設定し、続行をクリックします。
   

4. 表示される「SSOのURL」「証明書」を後の手順で使用するため控えて、続行をクリックします。
   

5. 「ACSのURL」に、コラボフローSAML2.0認証画面の「応答URL」を入力します。

6. 「エンティティID」に、コラボフローSAML2.0認証画面の「アプリケーションID(URI)」を入力します。

7. 「名前ID」で、コラボフローのユーザーIDと紐づける項目を選択し、続行をクリックします。
   ※カスタム属性の設定を行うことで、Google Workspaceのメールアドレス以外をコラボフローのユーザーIDと紐づけることができます。詳細はページ下部の補足を参照ください。
   

8. 何も入力せず、完了をクリックします。
   

9. SAMLアプリ一覧に「collaboflow」の設定が表示されたら、ユーザーアクセスの下三角をクリックします。
   

10. 「オン(すべてのユーザー)」を選択し、保存をクリックします。
    
    ※設定の反映に、最大24時間かかる可能性があります。

【ステップ４】コラボフロー側の設定

Google Workspaceで確認したURLを、コラボフローに設定します。

1. コラボフローにログインし、システム管理エリアの環境設定を開きます。
2. 「SAML2.0認証を有効にする」を“ON”にします。
3. 「サインオンURL」に、Google Workspaceの「SSOのURL」を入力します。
4. 「ポータルURL」に、コラボフローからログアウトした後に表示するサイトのアドレスを入力します。
   　　　　例：https://accounts.google.com/Logout
5. ダウンロードした証明書ファイルをメモ帳で開き、テキストをコピーして「証明書」に貼り付けます。
   
6. 設定を保存します。

設定後のアクセスに関して

設定後の新規アクセスよりSAML2.0認証が有効になります。

ログイン中のユーザーは引き続きアクセスできますが、ログアウト後からSAML2.0認証に切り替わります。

【ステップ５】ユーザーの作成

コラボフロー側のユーザーIDと、Googleアカウントが一致するようユーザーを作成します。

※ステップ３-7でカスタム属性を選択した場合
既に登録されているコラボフロー側のユーザーと紐づけることができるため、必要に応じて新規にユーザーを作成してください。

補足

一時的にコラボフローで認証する場合

SAMLの認証を一時的に無効化し、コラボフロー内のアカウントで認証を行う事ができます。
詳細は、「シングルサインオンを利用せず、コラボフローにログインするには」をご確認ください。

Google Workspaceのメールアドレス以外をコラボフローと紐づける場合

Google Workspace側でカスタム属性の設定を行うことで、Google Workspaceに登録された「Primary email」以外をコラボフローのユーザーIDと紐づけることができます。

以下は、既に登録されたコラボフローのユーザーIDをGoogle Workspaceのカスタム属性に登録することで、コラボフロー上に新たにユーザーを作成せずに連携する手順です。

1. Google Workspace上でカスタム属性を作成します。
2. Google Workspaceのユーザー編集画面で、1で作成したカスタム属性にコラボフローのユーザーIDを入力・保存します。
3. ステップ3-7の「名前ID」欄で「Basic Information > Primary email」から作成したカスタム属性に変更します。

詳細はGoogle Workspace 管理者ヘルプの「ユーザー プロフィールのカスタム属性を作成する 」を参照ください。