SSO連携 - Google Workspace 設定マニュアル¶

1. 概要¶

1.1 目的¶

本書は、IDApex IAMをIdP（Identity Provider）として利用し、Google WorkspaceをSP（Service Provider）としてSAML 2.0連携するための設定手順をまとめたマニュアルです。

Google Workspace側のSSO設定と、IDApex IAM側のSAMLクライアント設定を相互に対応付けることで、Googleサービスへのシングルサインオンを実現します。

1.2 前提条件¶

本書での作業を開始するための前提条件です。

前提条件	備考
Google Workspace管理コンソールへアクセス可能であること	スーパー管理者または同等の権限が必要です。
SAML 2.0連携を利用すること	本手順はSAML連携を前提とします。

1.3 全体の流れ¶

本書では、以下の流れで設定を行います。

IDApex IAM側でSAMLクライアントを作成し、署名設定とメタデータ情報を準備します。
Google Workspace側でサードパーティIdPのSSOプロファイルを作成します。
Google Workspaceから払い出されるSP情報（Entity ID / ACS URL）をIDApex IAM側へ反映し、最終調整を行います。

2. IDApex IAM側設定（IdP）¶

2.1 SAMLクライアントの作成¶

IDApex IAMの管理コンソールへアクセスします。
左メニューの「クライアント」を選択します。
「Create Client」を押下します。

以下の内容で入力し、「次へ」ボタンを押下します。

項目	設定値
クライアントタイプ	SAML
クライアントID	google-workspace（任意）
クライアント・スコープの名前	GoogleWorkSpace（任意）
常にコンソールに表示	オフ

「Login settings」については後ほど設定を行うため、変更せずに「保存」ボタンを押下します。

2.2 クライアント設定¶

「クライアント」→ 対象クライアント（例：google-workspace）を開き、以下を設定します。

2.2.1 設定タブ¶

General settings

項目	設定値
クライアントID	google-workspace（任意）
クライアント・スコープの名前	GoogleWorkSpace（任意）
常にコンソールに表示	オフ

Access settings

項目	設定値
ルートURL	空欄
認証サーバーがクライアントへのリダイレクトまたは戻るリンクを必要とする際に使用するデフォルトURLを設定します。	https://accounts.google.com/login
有効なリダイレクトURI	https://accounts.google.com/samlrp/example/acs
Valid post logout redirect URIs	空欄
IDP Initiated SSOを行う際にクライアントを参照するためのURLフラグメント名を設定します。	空欄
IDP Initiated SSOのRelayState	空欄
SAMLを処理するマスターURL	空欄

有効なリダイレクトURIは後続のGoogle Workspace設定後に、払い出された正式なACS URLへ更新します。

SAML capabilities

項目	設定値
Name IDフォーマット	email
Name IDフォーマットを強制	オン
POSTバインディングを強制	オン
Force artifact binding	オフ
AuthnStatementを含める	オン
OneTimeUse条件を含める	オフ
REDIRECT署名鍵検索の最適化	オフ
Allow ECP flow	オフ

Signature and Encryption

項目	設定値
ドキュメントを署名する	オン
アサーションに署名	オフ
ドキュメントの署名に使用する署名アルゴリズムです。	RSA_SHA256
SAML署名鍵名	NONE
正規化方式	EXCLUSIVE

Login settings
デフォルト値のままにしてください。

Logout settings デフォルト値のままにしてください。

設定後、「保存」を押下します。

2.2.2 鍵タブ¶

項目	設定値
クライアント署名が必須	オフ
アサーションを暗号化する	オフ

2.2.3 Advancedタブ¶

Advanced settings

項目	設定値
アサーションの有効期限	10分

そのほかの項目はデフォルト値のままにしてください。

設定後、「保存」ボタンを押下します。

2.3 IdPメタデータURLの取得¶

「レルム設定」→「一般」を開きます。
画面下部の「SAML 2.0アイデンティティー・プロバイダー・メタデータ」のURLをメモします。

2.4 署名証明書（公開鍵）の取得¶

「レルム設定」→「鍵」を開きます。
タイプ「RSA」→「証明書」を表示します。
表示内容をコピーし、以下の形式でファイル名を idapex-iam.pem として保存します。

-----BEGIN CERTIFICATE-----
（ここにIDApex IAMからコピーした証明書本文を貼り付け）
-----END CERTIFICATE-----

3. Google Workspace側設定（SP）¶

3.1 SSOプロファイル作成¶

Google 管理コンソールにアクセスします。
検索窓で「SSO」を検索し、「サードパーティの IdP による SSO」を開きます。

「SAMLプロファイルを追加」を選択し、以下を設定します。

項目	設定値
SSOプロファイル名	IDApex-SAML
IdPエンティティID	https://auth.id-apex.com/auth/realms/レルム名
ログインページのURL	https://auth.id-apex.com/auth/realms/レルム名/protocol/saml
証明書をアップロード	2.4で保存した証明書（`idapex-iam.pem`）

※"レルム名"は IDApex IAM管理画面 > レルムの設定 > Realm name を参照して置き換えてください

「保存」ボタンを押下します。
作成後、SPの詳細画面から以下をメモします。

項目用途

エンティティID IDApex IAMのクライアントIDへ反映

ACSのURL IDApex IAMのリダイレクトURI / ACS URLへ反映

3.2 プロファイル割り当て¶

「サードパーティの IdP による SSO」画面下部の「SSO プロファイルの割り当てを管理する」を開きます。
対象の組織部門（例：G Suiteユーザー）を選択します。
「サードパーティの SSO プロファイル」をオンにし、作成した「IDApex-SAML」を選択します。
「保存」ボタンを押下します。

4. IDApex IAM側の最終調整¶

Google Workspaceで取得したSP情報を、対象クライアント（例：google-workspace）に反映します。

「クライアント」→「google-workspace」を開きます。
以下を設定し、「保存」ボタンを押下します。

設定タブ

項目	設定値
クライアントID	Google WorkspaceのSP詳細で表示されたエンティティID
有効なリダイレクトURI	Google WorkspaceのSP詳細で表示されたACSのURL

Advancedタブ

項目	設定値
アサーション・コンシューマー・サービスのPOSTバインディングURL	Google WorkspaceのSP詳細で表示されたACSのURL

5. 注意事項¶

IDApex IAMを再構築した場合、署名証明書（公開鍵）が更新されます。
証明書が変更された場合は、Google Workspace側のSSOプロファイルに登録済み証明書を必ず差し替えてください。

項目	用途
エンティティID	IDApex IAMのクライアントIDへ反映
ACSのURL	IDApex IAMのリダイレクトURI / ACS URLへ反映