SSO(Entra ID)設定マニュアル¶

1. 概要¶

本書は、IDApex IAM へのシングルサインオン（SSO）環境を構築するため、以下の認証連携（フェデレーション）を設定する手順を解説したものです。

Entra ID ⇔ IDApex IAM の連携
Entra IDはIdP（アイデンティティ・プロバイダー）、IDApex IAM はサービスプロバイダ(SP)の役割を担っています。そのため、ユーザーはEntra IDの認証情報を用いて、IAM 画面にセキュアにアクセスできます。

本書での作業を開始するための前提条件です。

前提条件	備考
各システムの管理者権限	IDApex IAM（realm-admin）、Entra ID（クラウドアプリケーション管理者、アプリケーション管理者、またはサービスプリンシパルの所有者）の各権限が必要です。
『IAM_基本設定マニュアル』の設定が完了していること	日本語化やクライアントの基本設定が完了している必要があります。
ユーザー情報の同期完了	Entra ID、IAM の間で、ユーザーを一意に識別するための属性（メールアドレス等）が正しく同期・登録されている必要があります。
ネットワークの疎通確認	各システム間（ブラウザを含む）で、OIDC 連携に必要なエンドポイントにアクセス可能である必要があります。
証明書とメタデータ	各連携においてやり取りするメタデータ XML ファイル、または信頼設定に必要な公開鍵証明書が必要です。
インターネット接続環境	IDApex IAM はインターネットを通じて操作を行います。

本 SSO 連携は、以下のステップで設定を行います。

Entra ID 側で IAM をアプリとして登録する設定を行います。

IDApex IAM 側で Entra ID を IdP （アイデンティティ・プロバイダー）として登録し、 OIDC の設定を行います。

Entra ID 経由で IAM へログインした際に、IAM に登録されていないユーザーは IAM に新規登録させないための設定を行います。

IAM へ Entra ID 経由でログインできることを確認します。

IAM 未登録ユーザーでEntra ID 経由でログインした際に IAM ユーザーが新規作成されないことを確認します。

本セクションでは、1.3章「全体の流れ」に示した各ステップに基づき、各システム間でシングルサインオン（SSO）を実現するための具体的な設定手順を説明します。

アプリケーションの登録画面に遷移します。以下の内容を入力または選択して「登録」ボタンを押下します。

項目	値	備考
名前	IDApex IAM OIDC
サポートされているアカウントの種類	シングルテナントのみ
プロトコル	Web
URL	https://auth.pre.id-apex.com/auth/realms/{realm-name}/broker/entraid-oidc/endpoint	{realm-name}はお客様の環境のものに置き換えてください。

以下の表 2-2と図 2-8を参考に設定を行い、「追加」ボタンを押下します。

項目	値	備考
リダイレクトURI	https://auth.idlifecycle.dev.canday-town.com/auth/realms/{realm-name} /broker/entraid-oidc/endpoint	自動入力されます。
エイリアス	entraid-oidc	表 2-1　URLのendpointと合わせる必要があります。
名前	Entra ID	任意の名前です。ログイン画面に表示される値となります。空欄の場合はエイリアスが表示されます
Use discovery endpoint	オン
リモートIDPディスカバリー・ディスクリプターよりメタデータをインポートします。	https://login.microsoftonline.com/{ディレクトリ (テナント) ID } /v2.0/.well-known/openid-configuration
クライアントID	アプリの登録4 の手順で取得したアプリケーション (クライアント) ID
クライアント・シークレット	アプリの登録7 の手順で取得した「値」