SAML 2.0認証によるシングルサインオン(SAML2 SSO)は、エンタープライズプランでのみ利用できる機能です。
設定方法
オーナーまたは管理者が、「設定」の「シングルサインオン」からSAML2 SSOを有効にできます。SAML2 SSOを有効にすると一度すべてのユーザのセッションが無効化されて再認証が必要になります。
-
IDプロバイダの設定
まず、IDプロバイダ(IdP)の設定が必要です。
IdPから提供される識別子(Entity ID、Issuer)、ログインURL (Login URL、Sign-in URL)、証明書(Certificate)を入力してください。その途中サービスプロバイダ(SP)の情報が必要であれば、設定画面の「サービスプロバイダ」を参照してください。
IdPは、SAML 2.0に準拠したサービスを利用できます。
Kibelaで動作確認済みのIdPは以下のとおりです。 - 接続テスト
IdPの設定を保存したら、「保存」ボタンの隣の「テスト」ボタンで接続テストを行ってください。接続テストに成功すると、SAML2 SSOを有効にできるようになります。
- SAML2 SSOの有効化
SAML2 SSOを有効にするにあたっては、「移行モード」と「SAML2によるSSOのみ有効」の2つのモードがあります。
但し、「SAML2 SSOのみ有効」時にも管理者(役割が「管理者」および「オーナー」)は非常用にパスワード認証が可能です。
「移行モード」はそれまで利用していた認証方法とSAML2 SSOの両方で認証できるモードです。接続確認やIdPの障害時に「移行モード」での運用をする想定ですが、運用時は「SAML2によるSSOのみ有効」にすることを奨励いたします。
設定は以上となります。
SAML2 SSO利用時のIdPとのアカウント情報の同期
SAML2 SSO利用時に、KibelaからはIdP側でアカウントが無効にされたことをを検出できません。
このため、IdP側でアカウントを無効にしたときは、Kibelaチームのオーナーまたは管理者が対応するKibelaアカウントを無効にしてください。
なお、SAML2 SSOを有効にすると、IdPとのアカウント情報同期のためセッションの持続時間が最大で24時間になります。このときIdPのアカウントが無効であれば、Kibelaへのログインはできません。
したがって、IdPのアカウントを無効にしたあとKibelaアカウントを無効にしなかったとしても、最大で24時間後にはKibelaへアクセスできなくなります。
カスタムアトリビュートによる「役割」の設定
SAML2のカスタムアトリビュート(<saml2:Attribute/>)を設定することで、Kibelaユーザーの「役割」をIdPで管理できます。
IdPでアトリビュート名をkibela.user.role、値を次のいずれかに設定してください。
- owner - オーナー
- admin - 管理者
- full_member - フルメンバー
- guest - ゲスト
- read_only - 閲覧ユーザー
アトリビュートを設定すると、メンバーがSSOするたびにIdPの情報で役割が上書きされます。設定しない場合はなにも起こりません。
それぞれの役割についてはユーザーの役割を参照してください。