SAMLサービスプロバイダーとしてのAuth0の構成

Auth0をSAMLフェデレーションのサービスプロバイダー(SP)として構成するために、Auth0でエンタープライズ接続を作成し、接続するメタデータでSAML IDプロバイダー(IdP)を更新する必要があります。

Auth0は、SAML 1.1またはSAML 2.0プロトコルに準拠する構成でAuth0をSPとして使用することをサポートしています。

Auth0で接続を作成するには、IdPから複数の構成メタデータを収集する必要があります。

Auth0 DashboardまたはAuth0 Management APIを使用してSAMLエンタープライズ接続を作成できます。

{
	"strategy": "samlp",
	"name": "example-samlp-connection",
	"options": {
		"signingCert": "{X509_CERTIFICATE_IN_BASE64}",
		"signInEndpoint": "https://example.com/samlp/login",
		"disableSignout": false,
		"signOutEndpoint": "https://example.com/samlp/logout",
		"fieldsMap": {
			"email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
			"user_id": [
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
				"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
			],
			"given_name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
			"address_name": "http://schemas.auth0.com/address_name",
			"address_street_address": "http://schemas.auth0.com/address_street_address"
		},
		"user_id_attribute": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
		"idpinitiated": {
			"enabled": true,
			"client_id": "{DEFAULT_APPLICATION_CLIENT_ID}",
			"client_protocol": "oauth2",
			"client_authorizequery": "response_type=code&scope=openid email profile"
		},
		"signSAMLRequest": true,
		"signatureAlgorithm": "rsa-sha256",
		"digestAlgorithm": "sha256",
		"protocolBinding": "urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect",
		"debug": true
	}
}

プロキシゲートウェイの背後にAuth0がある場合は、それに応じてSAML接続のdestinationUrlフィールドとrecipientUrlフィールドを構成する必要があります。

1. Management API接続を取得エンドポイントを使用してSAML接続の現在の構成を取得します。

2. 返された応答からoptionsオブジェクトの値をコピーします。

3. optionsオブジェクトに次のフィールドを追加します。

   フィールド	タイプ	値
   destinationUrl	文字列	プロキシゲートウェイのURL。
   recipientUrl	文字列	プロキシゲートウェイのURL。

4. 要求本文内の更新されたoptionsブジェクト全体を使用してManagement API接続の更新エンドポイントを呼び出します。

Auth0がIdPに認証要求を送信すると、要求本文にAuthnRequestオブジェクトが含まれます。このオブジェクトに使用されるテンプレートをカスタマイズできます。

1. ［Dashboard］>［Authentication（認証）］>［Enterprise（エンタープライズ）］>［SAML］に移動し、接続を選択します。

2. ［Settings（設定）］ビューに切り替えて、［Request Template（テンプレート要求）］フィールドを見つけます。

3. テンプレートを修正します。

4. ［Save Changes（変更の保存）］を選択します。

変数は、@@VariableName@@構文を使用してAuthnRequestテンプレートに配置できます。次の変数を使用できます。

SAML IDプロバイダーの構成設定に移動して、IdPに提供する必要のあるメタデータを見つけます。

Auth0は、SAML 1.1またはSAML 2.0プロトコルに準拠する構成ですべてのSAML IdPをサポートしています。特定のプロバイダーを設定するための詳細な手順は次のとおりです。

• ADFS

• Okta

• OneLogin

• Ping

• Salesforce

• SiteMinder

• SSOCircle

Dashboardで接続をテストするには：

1. ［Dashboard］>［Authentication（認証）］>［Enterprise（エンタープライズ）］>［SAML］に移動します。

2. 作成した接続を見つけて、...（3つのドット）メニュー アイコンを選択し、［Try（試す）］を選択します。

3. ユニバーサルログインページが表示され、資格情報の入力を求められます。

4. IdPに存在するユーザーのメール アドレスを入力します。ホーム領域検出を構成した場合は、指定されたドメインのいずれかを使用するメールアドレスを入力してください。

5. IdPのログイン画面にリダイレクトされたら、通常どおりログインします。

6. IdPからAuth0に送信された認証アサーションの内容を表示するAuth0のページにリダイレクトされます。

接続が期待どおりに機能しない場合は、次の手順を試してください。

• 各テストの前にブラウザの履歴、クッキー、キャッシュをクリアしてください。そうしないと、ブラウザが最新の構成情報を取得できなかったり、実行に影響する古いクッキーが残る可能性があります。

• ブラウザでクッキーが許可され、JavaScriptが有効になっていることを確認してください。

• トランザクションのHARファイルをキャプチャし、Auth0 SAMLツールを使用してSAMLアサーションをデコードし、そのコンテンツを確認します。

• SAMLアサーションをカスタマイズする
• SAML要求の署名と暗号化
• SAML構成のトラブルシューティング
• SAMLエラーのトラブルシューティング