SAML認証を使用したシングルサインオンを構成する（LINE WORKS編）
コラボフローはSAML 2.0プロトコルによる外部認証を利用することができます。コラボフローがサービスプロバイダー（SAML SP）となります。
この記事では、コラボフローとLINE WORKS（SAML IdP）とを連携する例を掲載します。
※ご注意※
動作確認が完了したIdPについて設定手順を順次公開しております。
他のIdPとも連携できるかと思われますが、その設定方法やトラブル解決のご案内が出来ない場合がございます。
この記事のサンプルについて
この記事では下記のサンプル環境を例とした説明文や画面ショットを掲載しております。
環境に合わせて適宜お読み変えください。
コラボフローのトップアドレス | https://cloud.collaboflow.com/example/ |
LINE WORKSテナント名 | example |
前提条件
LINE WORKSとコラボフローのユーザーIDは、一致している必要があります。
コラボフローへアクセスする際は、コラボフローのURLからアクセスしてください。 ※IdP起点のSAML認証（IdP-Initiated SSO）には対応しておりません。
ユーザーの作成
ユーザーIDをid@domain (ライトプランの場合は id@group) の形式にして、ユーザーを作成します。
ユーザーIDについて
LINE WORKSからは、id@domain (ライトプランの場合は id@group) の形式でユーザー情報が渡されます。
【ステップ１】Webサーバーを構成する
※コラボフロー クラウド版では操作不要です。
WebサーバーにSSL証明書をインストールし、IISで暗号化通信（https）を利用できるように構成します。
【ステップ２】アプリケーションIDを確認する
SAML認証で用いるアプリケーションIDを確認します。
1. コラボフローにログインし、歯車アイコンからシステム管理エリアに移動します。
2. 環境設定を開きます。
3. 「SAML2.0認証」欄にある「アプリケーションID(URI)」と「応答URL」をメモしておきます。 後の手順で、このURLをLINE WORKSに設定します。
【ステップ３】LINE WORKS側の設定
1. LINE WORKS Developer Console にログインします。
2. 画面左の［Console］メニューから［SSO］ > ［WORKS as IdP］ にアクセスし、［追加］をクリックしてSAMLアプリの設定画面を開きます。
3. Application Nameに英字と数字のみで「Collaboflow」などわかりやすい名称を入力します。またDescriptionにも「コラボフロー」などのわかりやすい説明を入力し、任意のロゴを指定します。
4. Service Provider情報の「ACS URL」にコラボフローSAML2.0認証画面の「応答URL」を入力します。
5. Service Provider情報の「SP Issuer(Entity Id) 」にコラボフローSAML2.0認証画面の「アプリケーションID(URI)」を入力します。
6. ［次へ］をクリックすると、SAMLアプリの登録が行われます。
7. ［OK］をクリックすると、登録されたSAMLアプリが表示されます。
8. この時点では、登録したSAMLアプリは無効の状態ですので、［変更］をクリックして［使用状態と適用範囲］を「有効」に設定します。これでLINE WORKS側の設定は完了です。
9. 設定後、［LINE WORKS Identity Provider情報］をクリックします。
10. 「SSO URL」をメモし、［Certificate］をダウンロードしておきます。後の手順で、このURLと証明書をコラボフローに設定します。
【ステップ４】コラボフロー側の設定
LINE WORKSで確認したURLを、コラボフローに設定します。
1. コラボフローにログインし、システム管理エリアの環境設定を開きます。
2. 「SAML2.0認証を有効にする」を"ON"にします。
3. 「サインオンURL」に、【ステップ３】LINE WORKS側の設定 - 手順10 の「SSO URL」を入力します。
4. 「ポータルURL」に、コラボフローからログアウトした後に表示するサイトのアドレスを入力します。 例： https://auth.worksmobile.com/login/login?accessUrl=https://home.worksmobile.com/
5. 【ステップ３】LINE WORKS側の設定 - 手順10でダウンロードした証明書ファイルをメモ帳で開き、テキストをコピーして「IDプロバイダーの証明書」に貼り付けます。
6. 設定を保存します。
設定後のアクセスに関して
設定後の新規アクセスよりSAML2.0認証が有効になります。
ログイン中のユーザーは引き続きアクセスできますが、ログアウト後からSAML2.0認証に切り替わります。
補足
一時的にコラボフローで認証する場合
SAMLの認証を一時的に無効化し、コラボフロー内のアカウントで認証をおこなうことができます。
詳細は、「 シングルサインオンを利用せず、コラボフローにログインするには？ 」をご確認ください。
ただし上記方法は、システム管理エリア＞環境設定＞SAML2.0認証＞「SAML2.0認証を必須にする」がONの場合には利用できませんので、ご注意ください。
注意点
SAMLの証明書の有効期限が切れると、コラボフローにシングルサインオンできなくなります。
証明書の有効期限が切れる前に新しい証明書を発行し、コラボフローの「IDプロバイダーの証明書」を更新してください。
対応方法の詳細は、以下の記事をご参照ください。