メインコンテンツへスキップ
すべてのドキュメント

フェデレーションプロトコルとプロビジョニング

アプリケーションまたはテナントに登録されたフェデレーション／プロビジョニングのインターフェースだけを選択して運用します。

ワークフロー
  1. インターフェースを特定するブラウザーのサインイン、API認可、ディレクトリのプロビジョニング、エージェント通信を区別します。
  2. 登録を確認するテナント、ライフサイクル、プロバイダーのメタデータ、リダイレクト先、有効な保証レベルのプロファイルを確認します。
  3. 値を受け渡す登録済みのメタデータと生成された管理API仕様を使用します。
  4. 動作をテストするテスト用IDで認証、マッピング、テナントメンバーシップ、ログアウト、プロビジョニングを確認します。
  5. 設定を維持する認証情報をローテーションし、同期を監視して、古い登録をライフサイクル管理から無効化します。

OIDC、OAuth、PKCE

登録済みOIDCクライアントでは、設定に応じてブラウザー認可、アカウント選択、同意、利用規約の確認を行います。デバイス認可は独立したインターフェースであり、クライアント登録の代わりにはなりません。PKCEや高い保証レベルのオプションが利用できるかは、クライアントとテナントのポリシーによります。PAR、private-key JWT、mTLS、DPoP、FAPIプロファイルは条件付きの機能です。ソースコードに存在するだけでは有効化されているとは限りません。

  1. クライアントに正確なissuer、リダイレクト先、応答設定を登録します。
  2. 同意とアカウント選択を完了し、IDとaudienceを検証します。
  3. PKCEや保証レベルの対応状況をポリシーで確認します。拒否を解消するために検証を弱めないでください。

SAMLとリモートログアウト

SAMLのサービスプロバイダーおよびIDプロバイダールートでは、メタデータとブラウザーのアサーションフローを利用できます。接続はSAML管理画面で設定してください。連携先とissuer、audience、応答先、署名、時刻条件を検証します。ログアウトは別の処理です。ローカルで失効させても、すべてのサービス提供先のCookieやセッションが消去されたことにはなりません。

  1. 接続メタデータ、署名鍵、エンドポイントを連携先の設定と照合します。
  2. 署名済みアサーションをテストし、テナント、subject、メンバーシップ、有効期限を検証します。
  3. サポート対象のログアウト操作を使い、ローカルでの失効とリモートログアウトを区別します。

SCIMとディレクトリ同期

プロビジョニングは対話型フェデレーションとは別の仕組みです。SCIMスキーマと照合処理に加えて、登録済みの顧客側エージェントを使うディレクトリコネクターがあります。インポートではテナントの由来情報を保持し、競合を隔離します。メールアドレスだけでアカウントを紐付けることはありません。サーバーには顧客側エージェントのバイナリは含まれていません。

  1. テナントの接続先を登録し、対応属性と不変のIDキーをマッピングします。
  2. 管理された同期を実行して結果を確認し、競合の隔離はテナントの手順で解消します。
  3. コネクターの処理をキューに登録する前に、対応エージェントを別途配置して登録します。

CAS、WS-Federation、RADIUS

CASを使うには明示的な有効化が必要です。WS-FederationとWS-Trustは、許可された登録またはポリシーで有効にしない限り無効です。realm、audience、応答先、メンバーシップ、署名、有効期限の検証は常に必要です。RADIUSは任意の署名付きエージェントを使い、サイト上のリスナーではありません。保守対象の仕様ではTLSまたはDTLS上のRADIUS/1.1を推奨します。従来型UDPはプライベートネットワーク内での互換用途に限られます。

  1. CASまたはWS-Federationをテストする前に、プロトコルの有効化とクライアント登録を確認します。
  2. RADIUSでは、顧客側エージェント、テナントコネクター、許可された転送方式を確認します。
  3. 無効または未登録の場合は、ポリシーを回避するためにプロトコルを切り替えず、必要な設定を行います。

登録と認証情報

クライアント登録は、所有するテナントとアプリケーションの範囲内に保つ必要があります。動的登録、private-key JWT、mTLS、FAPIに関する記述は条件付きの仕様であり、すべての環境で有効とは限りません。秘密鍵は所有者が管理し、該当する管理機能から認証情報をローテーションまたは失効させてください。エージェントキーはOAuthクライアント認証情報とは別物です。

  1. 所有者、テナント、リダイレクト先またはメタデータ、スコープ、認証情報の種類を確認します。
  2. 返されたシークレットは安全に保存し、管理画面からローテーションまたは失効させます。
  3. エージェント登録では顧客側で秘密鍵を生成し、そのCSRを送信します。

仕様とトラブルシューティング

現在の管理操作、フィールド、セキュリティ要件は /api/auth/management/openapi.json で確認してください。保守対象のプロトコル資料には、コネクターや保証レベルに関する詳細が記載されています。よくある原因には、テナントの誤り、未登録のリダイレクト先、古いメタデータや証明書、無効なプロファイル、署名エラー、SCIMの隔離、失効済みエージェントがあります。検証を無効にせず、該当する信頼境界を修正してください。

  1. OpenAPIスキーマで対象操作の入力項目とセキュリティ要件を確認します。
  2. 機密情報を除いたエラー詳細と登録済みの値を、最新のプロバイダーメタデータと照合します。
  3. 管理されたフローを再テストし、展開前にIDまたは同期状態を確認します。

よくある質問

DPoPやFAPIの記述があれば有効化済みですか？

いいえ。高保証プロファイルを使うには、明示的な有効化とクライアントの完全な設定が必要です。

顧客側エージェントは同梱されていますか？

いいえ。対応エージェントを別途配置し、登録済みで最新の状態であることを確認してください。

SAMLログアウトですべてのセッションが終了しますか？

いいえ。ローカルでの失効とリモートログアウト、連携先でのセッション削除は別の処理です。

SCIMはメールアドレスでユーザーを紐付けますか？

いいえ。テナント、issuer、不変のsubjectをマッピングし、競合は隔離レビューで解決します。

RADIUSをサイトへ直接接続できますか？

いいえ。RADIUSは任意の署名付きエージェント用インターフェースであり、ブラウザー向けエンドポイントではありません。

APIの正確なフィールドはどこで確認できますか？

/api/auth/management/openapi.json を参照してください。サンプルはSDK仕様の全項目を示すものではありません。

関連ページ