クラウドSSO証明書の更新
SSO証明書更新に関する説明
Keeper SSO Connect Cloudを特定のIDプロバイダと組み合わせて利用している法人のお客様に影響する内容ですので、本ドキュメントをご確認ください。
注: Keeper側では何も変更する必要はありません。Keeper SSO設定の再構成や削除は行わないでください。唯一必要なアクションは、IDプロバイダ上でKeeperの証明書を更新することです。
Keeperでは、SAMLリクエストの署名に使用されるクラウドSSO証明書 (サービスプロバイダ (SP) 証明書。IdP証明書ではありません) を毎年更新しています。
現在の証明書の有効期限が切れる前に、新しいサービスプロバイダ (SP) 証明書を公開しています。証明書はXMLメタデータファイルに含まれているほか、Keeper管理コンソールの「SP証明書のエクスポート」から直接ダウンロードすることもできます。
影響を受けないお客様
Azure、Okta、Googleの基本設定を使用しているお客様は影響を受けません。
KeeperオートメーターをクラウドSSOと一緒に使用している場合、影響を受けません。
また、オートメーターに追加した証明書によって処理されるため、証明書を更新する必要はありません。 オンプレミスSSOを使用している場合は、影響を受けません。
影響を受ける可能性があるお客様
IDプロバイダ側でKeeperの証明書を使用してSAMLアサーションを暗号化している構成の場合、証明書の有効期限切れ後にIDプロバイダが暗号化を拒否すると影響を受けます。
オートメーターを使用せずにADFSとクラウドSSOコネクトを利用している場合は、影響を受けます。
オートメーターを使用せずにPing Identityを利用している場合は、影響を受けます。詳細は以下の手順をご確認ください。
OktaでSLO (シングルログアウト) を有効にしている場合は、影響を受けます。詳細は以下の手順をご確認ください。
オートメーターを使用せずにJumpCloudを利用している場合は、影響を受けます。詳細は以下の手順をご確認ください。
サービスプロバイダ起点のSLO (シングルログアウト) を利用している場合は、影響を受けます。
その他のIDプロバイダでも、証明書の有効期限切れ後にリクエストが拒否される場合があります。
対応方法
IDプロバイダ側でサービスプロバイダ (SP) 証明書を更新してください。Keeperのサービスプロバイダ (SP) メタデータまたはサービスプロバイダ (SP) 証明書をアップロードすることで更新できます。この作業はすぐに実施できます。
SPメタデータおよびSP証明書は、以下のようにKeeper管理コンソールから取得できます。
準備
重要: SSO が利用できない、または有効期限切れの証明書の影響を受ける場合に備えて、SSOノードの外部に存在するアカウントとマスターパスワードで管理コンソールにログインできるようにしておいてください。
証明書の更新はわずか数分で済みます。
ADFSの手順
ADFSのサービスプロバイダ証明書を更新するには、以下の手順に従ってください。
Keeper管理コンソールにログインしてください。
管理 > SSOノード > プロビジョニングに移動し、SSOクラウド設定を表示します。
「SP認証エクスポート」をクリックし、証明書ファイルを保存します。
AD FS管理コンソールでKeeper Cloud SSO Relying Party Trustプロパティを選択します。
「暗号化」タブで、古い証明書を新しい証明書に置き換えます。
「署名」タブで、新しいSP証明書をこの新しい証明書で追加/置換します。
Azureをご利用の場合
Azureは証明書の有効期限の影響を受けないようですが、メタデータの更新は簡単です。
Azure Portal > Enterprise Applications > Keeper Password Manager > Single Sign-Onにアクセスします。
一番上の「メタデータファイルをアップロード」をクリックします。
Keeperからダウンロードしたメタデータxmlファイルを選択します。
「保存」をクリックします。
Oktaをご利用の場合
Oktaでシングルログアウトを有効にしている場合にのみ実施してください。
Keeper管理コンソールにログインします。
管理 > SSOノード > プロビジョニングに移動し、SSOクラウド設定を表示します。
「SP認証エクスポート」をクリックし、証明書ファイルを保存します。
Okta管理コンソール > アプリケーション > Keeper > サインオンタブに移動します。
「シングルログアウトを有効にする」を有効にしている場合...
「編集」をクリックし、KeeperからSP認証をアップロードし、「保存」をクリックします。
シングルログアウトを有効にしていない場合は、対応は不要です。
JumpCloudをご利用の場合
Keeper管理コンソールにログインします。
管理 > SSOノード > プロビジョニングに移動し、SSOクラウド設定を表示します。
「SP認証エクスポート」をクリックし、証明書ファイルを保存します。
JumpCloud管理ポータルに移動し、SSOに移動します。
Keeperアプリケーション > SSOタブを開きます。
「SP証明書の置き換え」をクリックし、新しいSP証明書ファイルを選択します (IdP証明書ではなく、SP証明書を選択してください。)。
Ping Identityをご利用の場合
Keeper管理コンソールにログインします。
管理 > SSOノード > プロビジョニングに移動し、SSOクラウド設定を表示します。
「SP認証エクスポート」をクリックし、証明書ファイルを保存します。
Ping Identityポータルにログインします。
Ping Identityポータルの通知センターで、有効期限が近づいている証明書を確認します。
Ping Identityポータルで、Keeperアプリケーションを開きます。
「検証証明書」と「暗号化証明書」を更新します。
または、新しいKeeperメタデータをアップロードしてください。
その他のIDプロバイダをご利用の場合
Keeper管理コンソールにログインします。
管理 > SSOノード > プロビジョニングに移動し、SSOクラウド設定を表示します。
「SP認証エクスポート」をクリックし、証明書ファイルを保存します。
「メタデータのエクスポート」をクリックし、証明書を含むメタデータファイルを保存します。
IDプロバイダの管理ポータルにログインし、KeeperのSSO設定を開きます。
IDプロバイダの手順に従って、KeeperのSP証明書ファイル (または必要に応じてメタデータファイル) をアップロードし、SP証明書を更新して保存します。
サポートが必要な場合
管理コンソールにログインできない場合は、サポートケースを作成してください。お客様のIDプロバイダやご利用環境に関する情報をあわせてご提供ください。
サポートが必要な場合は、以下のリンクをご参照ください。
よくあるご質問
Q: 更新されるのはどの証明書ですか？
A: クラウドSSOログインで使用されるKeeperのSAML署名証明書です。この証明書は、SAMLリクエストへの署名、シングルログアウト (SLO) リクエストの送信、および (そのように構成されている場合は) IDプロバイダから送信されるSAMLアサーションの暗号化に使用されます。
Q: 自社環境は影響を受けますか？
A: 本ドキュメントの「影響を受ける可能性があるお客様」のセクションをご確認ください。判断が難しい場合は、現在の証明書がまだ有効なうちに証明書を更新することをおすすめします。
Q: 証明書の鍵 (キー) は変更されますか？
A: いいえ。証明書の鍵は変更されません。現在の証明書を更新するだけであり、公開鍵は変わらず、有効期限のみ更新されます。
Q: なぜ証明書の更新が必要なのですか？
A: すべての証明書は毎年更新する必要があります。2020年以降、公開認証局 (CA) では、複数年の証明書を購入した場合でも、証明書を年1回更新することが義務付けられています。
Q: オンプレミスSSOコネクトは影響を受けますか？
A: いいえ、影響を受けるのはクラウドSSOコネクトをご利用のお客様のみです。
Q: オートメーターを利用している場合は、なぜ影響を受けないのですか？
A: オートメーターを設定すると、署名に使用される証明書はKeeperの証明書ではなく、オートメーターの設定で指定した証明書が使用されるためです。
Q: オートメーターはどのように設定すればよいですか？
A: Keeperオートメーターサービスの詳細については、こちらをご参照ください。なお、オートメーターで使用する証明書についても年1回の更新が必要です。ただし、KeeperクラウドSSOの証明書とは更新時期が異なります。
最終更新