コンソールでメタデータを提供する

IBM Cloud UI からアプリケーションにログインするには、以下の手順に従います。

1. App ID ダッシュボードの**「SAML 2.0」**タブに移動します。

2. 「プロバイダー名」 を追加します。 デフォルト名は SAML です。

3. ID プロバイダーから取得した以下のメタデータを**「SAML IdP からのメタデータの提供 (Provide Metadata from SAML IdP)」**セクションに入力します。

   App IDに提供しなければならない情報。

   変数	説明
   Sign-in URL	認証のためにユーザーがリダイレクトされる URL。 これは SAML ID プロバイダーによってホストされます。
   Entity ID	SAML ID プロバイダーのグローバルな固有名。
   Primary certificate	SAML ID プロバイダーによって発行された証明書。 SAML アサーションの署名と検証のために使用されます。 プロバイダーごとに異なりますが、署名証明書を ID プロバイダーからダウンロードできる可能性があります。 証明書は .pem 形式でなければなりません。

4. オプション: 1 次証明書で署名検証に失敗した場合に使用される**「2 次証明書 (Secondary certificate)」**を入力します。 同じ署名鍵をそのまま使用する場合、証明書の認証が期限切れを理由に App ID でブロックされることはありません。

5. 保存 をクリックします。

認証コンテキストを設定する必要がありますか? API を使用して行うことができます。

コンソールで IdP-initiated ログインを設定する

オプションとして、ID プロバイダーの UI からIBM Cloud上のアプリケーションにログインしたい場合は、IdP-initiatedlogin を有効にします。

コンソールでメタデータを提供する 」セクションのステップ1～4に従ってください。 そして、以下のプロセスを完了させる。

5. IdP 開始ログインを有効にします。
6. IdP リダイレクト URL を入力する。
7. 保存 をクリックします。

APIでメタデータを提供する

1. /saml API エンドポイントに GET 要求して、認証コンテキストや証明書など、現在の SAML 構成を表示する。

   サンプル・コード:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   出力例:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 次の例の値をプロバイダーの情報に置き換えて、SAML 構成を作成します。 この例に示している値は必須ですが、表に示すように、より多くの情報を含めることもできます。

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"}
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 構成変数

   変数	説明
   signInUrl	認証のためにユーザーがリダイレクトされる URL。 これは SAML ID プロバイダーによってホストされます。
   entityID	SAML ID プロバイダーのグローバルな固有名。
   displayName	SAML 構成に割り当てる名前。
   primary-certificate-example-pem-format	SAML ID プロバイダーによって発行された証明書。 SAML アサーションの署名と検証のために使用されます。 プロバイダーごとに異なりますが、署名証明書を ID プロバイダーからダウンロードできる可能性があります。 証明書は .pem 形式でなければなりません。
   オプション : secondary-certificate-example-pem-format	SAML ID プロバイダーによって発行されたバックアップ証明書。 1 次証明書で署名検証に失敗した場合に使用されます。 注: 同じ署名鍵をそのまま使用する場合、証明書の期限切れを理由に認証がApp ID によってブロックされることはありません。
   オプション : authnContext	認証コンテキストは、認証および SAML アサーションの品質を検証するために使用されます。 認証コンテキストを追加するには、クラス配列と比較ストリングをコードに追加します。 class パラメーターと comparison パラメーターの両方を、適切な値で更新してください。 例えば、class パラメーターは urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue のようになります。
   オプション : signRequest	signRequest フラグを指定すると、テナントの SAML 署名秘密鍵を使用して署名した SAML 要求を ID プロバイダーに送信できます。 署名された要求を受け取るように SAML ID プロバイダーを構成するためには、ダウンロードできるメタデータ・ファイルの KeyDescriptor use="signing" フィールドにある署名証明書が必要です。 デフォルトでは、要求の署名は off に設定されます。
   オプション : encryptResponse	encryptResponse フラグを指定すると、認証要求の一部として、暗号化された応答を ID プロバイダーから受け取ることができます。 暗号化された応答を送信するように SAML ID プロバイダーを構成するためには、メタデータ・ファイルの KeyDescriptor use="encryption" フィールドにある暗号化証明書が必要です。 デフォルトでは、応答の暗号化は off に設定されます。

3. /saml APIエンドポイントに PUTリクエストを行い、ステップ2で作成した設定を App ID に提供する。 次の例を参照して、どのような要求になるかを確認してください。

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "primary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      }
   }
   

APIによるIdP-initiatedログインの設定

IdP-initiated ログインを設定するには、以下の手順を実行する。

1. /saml API エンドポイントに GET 要求して、認証コンテキストや証明書など、現在の SAML 構成を表示する。

   サンプル・コード:

   curl --request GET \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json`
   

   出力例:

   {
      "isActive": true,
      "config": {
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
         "certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "authnContext": {
         "class": [
            "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
         ],
         "comparison": "exact"
      }
      }
   }
   

2. 次の例の値をプロバイダーの情報に置き換えて、SAML 構成を作成します。 この例に示している値は必須ですが、表に示すように、より多くの情報を含めることもできます。

   "config": {
      "authnContext": {
      "class": [
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue",
         "urn:oasis:names:tc:SAML:2.0:ac:classes:YourOtherChosenClassValue"
      ],
      "comparison": "sampleComparisonValue"
      },
      "idpInitEnabled": true,
      "idpRedirectUrl": "https://example.com/redirect/endpoint",
      "entityID": "https://example.com/saml2/metadata/706634",
      "signInUrl": "https://example.com/saml2/sso-redirect/706634",
      "certificates": [
      "primary-certificate-example-pem-format"
      "secondary-certificate-example-pem-format"
      ],
      "displayName": "my saml example",
      "signRequest": true ,
      "encryptResponse": true
   }
   

   SAML 構成変数

   変数	説明
   signInUrl	認証のためにユーザーがリダイレクトされる URL。 これは SAML ID プロバイダーによってホストされます。
   entityID	SAML ID プロバイダーのグローバルな固有名。
   displayName	SAML 構成に割り当てる名前。
   primary-certificate-example-pem-format	SAML ID プロバイダーによって発行された証明書。 SAML アサーションの署名と検証のために使用されます。 プロバイダーごとに異なりますが、署名証明書を ID プロバイダーからダウンロードできる可能性があります。 証明書は .pem 形式でなければなりません。
   DefaultRelayState	RelayState の初期値。 この変数は、ID プロバイダーの設定で構成されます。 この変数は、ID プロバイダからの SAML リクエスト時に idpRedirectUrl の代わりに URL のリダイレクトに使用できる。 両方の変数を設定すると、 DefaultRelayState の値が優先されます。 これらの変数のいずれかを設定しないと、IdP-initiatedのログインは失敗する。
   idpInitEnabled	IdP 開始ログインを有効にするかどうかを示すブール値。
   idpRedirectUrl	このフィールドの値は、 null、空の文字列、または有効なhttpまたはhttpsリダイレクト URL。 注 ：このフィールドの値がNULLの場合、 DefaultRelayState をリダイレクト URL として設定する必要があります。 両方の変数を設定すると、 DefaultRelayState の値が優先されます。 これらの変数のいずれかを設定しないと、IdP-initiatedのログインは失敗する。
   オプション : secondary-certificate-example-pem-format	SAML ID プロバイダーによって発行されたバックアップ証明書。 1 次証明書で署名検証に失敗した場合に使用されます。 注: 同じ署名鍵をそのまま使用する場合、証明書の期限切れを理由に認証がApp ID によってブロックされることはありません。
   オプション : authnContext	認証コンテキストは、認証および SAML アサーションの品質を検証するために使用されます。 認証コンテキストを追加するには、クラス配列と比較ストリングをコードに追加します。 class パラメーターと comparison パラメーターの両方を、適切な値で更新してください。 例えば、class パラメーターは urn:oasis:names:tc:SAML:2.0:ac:classes:YourChosenClassValue のようになります。
   オプション : signRequest	signRequest フラグを指定すると、テナントの SAML 署名秘密鍵を使用して署名した SAML 要求を ID プロバイダーに送信できます。 署名された要求を受け取るように SAML ID プロバイダーを構成するためには、ダウンロードできるメタデータ・ファイルの KeyDescriptor use="signing" フィールドにある署名証明書が必要です。 デフォルトでは、要求の署名は off に設定されます。
   オプション : encryptResponse	encryptResponse フラグを指定すると、認証要求の一部として、暗号化された応答を ID プロバイダーから受け取ることができます。 暗号化された応答を送信するように SAML ID プロバイダーを構成するためには、メタデータ・ファイルの KeyDescriptor use="encryption" フィールドにある暗号化証明書が必要です。 デフォルトでは、応答の暗号化は off に設定されます。

3. /saml APIエンドポイントに PUTリクエストを行い、ステップ2で作成した設定を App ID に提供する。 次の例を参照して、どのような要求になるかを確認してください。

   curl --request PUT \
   https://us-south.appid.cloud.ibm.com/management/v4/<tenantID>/config/idps/saml \
   --header `Accept: application/json` \
   --data \
      {
        "isActive": true,
        "config": {
            "entityID": "https://example.com/saml2/metadata/706634",
            "signInUrl": "https://example.com/saml2/sso-redirect/706634",
            "certificates": [
            "certificate-example-pem-format"
            ],
            "displayName": "my saml example",
            "authnContext": {
                "class": [
                    "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport"
                ],
            "comparison": "exact"
            },
            "idpInitEnabled": true,
            "idpRedirectUrl": "https://example.com/redirect/endpoint",
        }
   }