セルフサービスシングルサインオン

セルフサービスシングルサインオン（SSO）は、ツールを提供して、B2Bの顧客が独自のエンタープライズ顧客にSSOのセットアップを委任できるようにします。このタスクを委任することで、オンボーディングプロセスを円滑化し、顧客がより自主的に自らのサインオンエクスペリエンスを管理できるようになります。また、カスタマーベース全体でのSSO管理に関連する時間と費用を削減できます。

セルフサービスSSOは、Auth0テナントでの構成を最小限に抑える一方で、顧客には有効化プロセスをガイドするセットアップアシスタントが提供されます。顧客がセットアップを完了すると、SSO統合がエンタープライズ接続としてお客様のテナントに自動的に追加されます。

サポートされているプロバイダー

早期アクセス期間中、セルフサービスSSOは以下のIDプロバイダーをサポートします。

• Okta Workforce Identity Cloud（OIDCを使用）

• Entra ID

• Google Workspace（OIDCを使用）

• Keycloak

• Microsoft Active Directory Federation Services (ADFS)

• PingFederate

• Generic OIDC

• Generic SAML

セルフサービスSSOは、以下のコンポーネントを使用してセットアップを顧客に委任します。

• セルフサービスプロファイル：SSOに使用するIDプロバイダーや、メールアドレスなどの取得が必要なユーザー属性など、顧客のSSO実装の主要な要素を定義します。

• セルフサービスアクセスチケット：SSOセットアップアシスタントへのアクセス権を顧客の管理者に付与し、結果として得られるSSO統合の具体的な詳細を設定します。

• SSOセットアップアシスタント：SSOセットアッププロセスについて顧客の管理者をガイドします。

セルフサービスSSOワークフローには、以下のタスクが含まれます。

1. お客様（Auth0のご利用者）が、Auth0 DashboardまたはManagement APIを使用してお客様のテナントでセルフサービスプロファイルを作成します。

2. 次に、Management APIを使用して、顧客の管理者がSSOを構成できるようにするセルフサービスアクセスチケットを作成します。

3. 手順2で作成したアセットからチケットURLを取得して、このリンクを顧客の管理者に送信します。

4. 顧客の管理者はSSOセットアップアシスタントを起動して、表示される手順に従い、自身のIDプロバイダーを使ってアプリケーションを作成します。

5. 顧客のアプリケーションをポイントする新たなエンタープライズ接続がお客様のAuth0テナントに追加されます。

図を選択すると表示が拡大されます。

以下のセクションでは、セルフサービスプロファイルの構成および顧客の管理者と共有するセルフサービスアクセスチケットの生成の手順について詳しく説明します。

セルフサービスプロファイルは、Auth0 DashboardまたはManagement APIを使用して作成できます。セルフサービスプロファイルは、以下を含む顧客実装の主要な要素を決定するために使用されます。

• 顧客の管理者がSSOに使用できるIDプロバイダー

• メールアドレスや姓など、SSOを通して取得する必要があるユーザー属性

• SSOセットアップアシスタントの外観をカスタマイズするブランディングオプション

異なる顧客やセグメントに対応するために、プロファイルは必要に応じて最大20まで作成できます。

{
  "name": "Example Profile",
  "description": "An example profile for all customers",
  "allowed_strategies": ["okta","adfs","google-apps"],
  "user_attributes": [
    {
      "name": "email",
      "description": "User's email",
      "is_optional": false,
    }
  ],
  "branding": {
     "logo_url": "https://example.com/logo.png",
     "colors": {
       "primary": "#334455"
     }
  }
}

PUT /api/v2/self-service-profiles/ssp_1234567890/custom-text/en/get-started

{
  introduction: "Welcome! With <b>only a few steps</b>, you'll be able to setup your new connection. For assistance, contact <a href="https://www.examplesupportsite.com"> our support team </a>." 
}

{
  introduction: "Welcome! With <b>only a few steps</b>, you'll be able to setup your new connection. For assistance, contact <a href="https://www.examplesupportsite.com"> our support team </a>." 
}

セルフサービスプロファイルを少なくとも1つ作成したら、Management APIを使用してセルフサービスアクセスチケットを生成できます。セルフサービスアクセスチケットは、主に2つの役目を果たします。

• 顧客の管理者にSSOセットアップアシスタントへのアクセス権を付与します。顧客の管理者はこれを通して新規のSSO接続を構成したり、既存の接続を修正したりできます。

• 新規接続で有効にするアプリケーションや組織など、顧客の管理者が構成する新規SSO接続の主な詳細情報および動作を事前定義します。

セルフサービスアクセスチケットを生成するには以下を行います。

1. セルフサービスプロファイル取得エンドポイントを通して、アクセスチケットに関連付けるセルフサービスプロファイルのIDを取得します。

2. 適切なセルフサービスプロファイルのIDを使用して、SSOアクセスチケットエンドポイントを呼び出します：

POST  /api/v2/self-service-profiles/{id}/sso-ticket

要求本文で、以下の表で説明されているパラメーターを指定します。

要求本文の例

{
   "connection_config":{
      "name":"string",
      "display_name":"string",
      "is_domain_connection":true,
      "show_as_button":true,
      "metadata":{
         "key1":"value1",
         "key2":"value2"
      },
      "options":{
         "icon_url":"string",
         "domain_aliases":[
            "acme.corp",
            "okta.com"
         ],
         "idpinitiated": { 
            "enabled": true, 
            "client_id": "string", 
            "client_protocol": "string", 
            "client_authorizequery": "string" 
        }
      }
   },
   "enabled_clients":[
      "string"
   ],
   "enabled_organizations":[
      {
         "organization_id":"string",
         "assign_membership_on_login":true,
         "show_as_button":true
      }
   ],
   "ttl_sec":0,
   "domain_aliases_config": {
       "domain_verification": "string"
    }
}

応答で、セルフサービスアクセスチケットへのURLを受け取ります。

{
  "ticket": "https://{domain}/self-service/connections-flow?ticket={id}"
}

チケットURLを受け取ったら、顧客の管理者にそのリンクを共有して、SSOセットアップアシスタントへのアクセス権を付与します。後はセットアップアシスタントがSSO接続の構成についてガイドしてくれます。

アクセスチケット生成を独自のセルフサービスポータルにラップするか、チケットURLをメール、チャット、その他のコミュニケーションチャネルを通して直接顧客の管理者に送信することができます。

デフォルトでは、アクセスチケットURLは5日間有効です。顧客の管理者は、URLにアクセスしたら5時間以内にセットアップを完了する必要があります。必要に応じて、この有効期限の前にアクセスチケットを取り消すことができます。たとえば、アクセスチケットが誤ったオーディエンスと共有されてしまった場合、SSOセットアップアシスタントへの不正アクセスを防ぐためにチケットを取り消すことができます。

アクセスチケットが取り消されると、そのURLは直ちに無効になり、関連セッションがすべて終了されます。URLを共有した顧客の管理者は、SSOセットアップアシスタントにアクセスできなくなります。その後、必要に応じて新しいアクセスチケットを生成して共有することができます。

アクセスチケットを取り消すには以下を行います。

1. セルフサービスプロファイル取得エンドポイントを使用して、アクセスチケットに関連付けられているセルフサービスプロファイルのIDを取得します。

2. 取り消すアクセスチケットのIDを見つけます。IDは、アクセスチケットURLの末尾にあります。

3. 適切なIDを使用してアクセスチケット取り消しエンドポイントを呼び出します：

POST  /api/v2/self-service-profiles/{id}/sso-ticket/{id}/revoke

応答で、202 Acceptedが返されます。

セルフサービスSSOの管理には、以下のManagement APIエンドポイントが使用できます。

• セルフサービスプロファイル取得

• セルフサービスプロファイル作成

• IDでセルフサービスプロファイル取得

• IDでセルフサービスプロファイル削除

• セルフサービスプロファイル更新

• セルフサービスプロファイルのカスタムテキスト取得

• セルフサービスプロファイルのカスタムテキスト設定

• セルフサービスSSOフロー開始のSSOアクセスチケット作成

• SSOアクセスチケット失効

セルフサービスSSOの使用では、以下のレート制限が適用されます。