Amazon AWS

KeeperクラウドSSOコネクトをAmazon AWS SSOと連携させて、スムーズで安全なSAML 2.0認証を実現

最初に管理コンソールの設定の手順を完了してください。

AWS SSO

AWSにログインし、[AWS Single Sign-On] を選択します。

SSOダッシュボードで、[Configure SSO access to your cloud applications] を選択します。

[Applications] メニューで、[Add a new application] を選択します。

Keeper Security を選択して [Add] をクリックします。

KeeperとAWSでアプリケーションコネクタを共同開発中です。

[Details] セクションで [Display name] と [Description] (任意) を入力します。

[AWS SSO metadata] セクションで [Download] を選択し、AWS SSO SAMLメタデータファイルをエクスポートします。このファイルは、設定画面の [SSO Connect IdP Metadata] セクションにインポートします。

このファイルをKeeper管理コンソールにアップロードします。ファイルを参照するか、設定画面の [SAML Metadata] エリアにドラッグアンドドロップして、KeeperクラウドSSOコネクトの画面に取り込みます。

続いて、Keeperのメタデータファイルをダウンロードし、AWSアプリケーションのメタデータにアップロードします。KeeperクラウドSSOコネクトのプロビジョニング画面で [表示] を開きます。

[メタデータをエクスポート] ボタンをクリックして、config.xmlファイルをダウンロードします。

AWS SSOの [Application metadata] セクションに戻り、[Browse...] を選択して、上記の手順でダウンロードした config.xml を選択します。

[Save changes] をクリックすると、「Configuration for Keeper Password Manager has been saved」 (Keeperパスワードマネージャの設定が保存されました) というメッセージが表示されます。

Keeper SSL証明書は2048Kを超えることはできません。超えると、以下のエラーが表示されます。

より小さいSSL証明書を生成する、メタデータファイルを再エクスポートしてインポートする、AWS SSOの設定でACS URLとAudience URLを手動設定する、のいずれかを行ってください。

AWS SSOにマッピングするKeeperの属性が正しいことを確認します (デフォルトで設定されています)。[Attribute mappings] タブを選択します。 AWSの文字列値を ${user:subject} に、形式を空白または unspecified (未指定) にします。 Keeper属性は以下のとおり設定します。

Keeper属性

AWS SSO文字列値

形式

Email (メール)

${user:email}

unspecified (未指定)

First (名)

${user:givenName}

unspecified (未指定)

Last (姓)

${user:familyName}

unspecified (未指定)

AWSのメール属性がAD UPNにマッピングされている場合 (ユーザーの実際のメールアドレスではない可能性があります) は、ユーザーのADプロファイルに関連付けられたメールアドレスに再マッピングできます。

この変更を行うには、AWS SSOページの [Connected Directory] へ移動します。

[Edit attribute mappings] を選択します。

AWS SSOの email 属性を ${dir:windowsUpn} から ${dir:email} に変更します。

[Assigned users] タブを選択し、[Assign users] をクリックして、アプリケーションを割り当てるユーザーまたはグループを選択します。

[Assign users] ウィンドウでは、以下の操作を行います。

グループまたはユーザーを選択
グループまたはユーザーの名前を入力
[Search connected directory] を選択して検索

ディレクトリ検索の結果は、検索ウィンドウの下に表示されます。

アプリケーションへのアクセスが必要なユーザーまたはグループを選択し、[Assign users] をクリックします。

Keeper SSOコネクトは、SAMLレスポンスが署名されていることを前提としています。IDプロバイダがSAMLレスポンスに署名するよう設定されていることを確認してください。

これでKeeper SSOコネクトの設定は完了です。

既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSOが設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスする際にマスターパスワードの入力を求められます。

管理者は、SSOが有効になっているノードに自分自身を移動できません。この操作を行うには別の管理者が必要となります。

ユーザーがSSO対応ノードに移動した後、最初に [法人SSOログイン] のプルダウンからSSO統合で設定した法人ドメインを入力し、Keeperボルトにログインする必要があります。また、マスターパスワード入力による確認を求められる場合があります。

SSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

法人ドメインの入力は不要です。メールアドレスを入力して [次へ] をクリックしても目的のSSOにルーティングされない場合は、Keeper SSO設定でジャストインタイムプロビジョニングが有効になっていることと、メールドメインがKeeperによって予約されていることを確認してください。ルーティングとドメイン予約について詳しくは、こちらをご参照ください。

前へSSO IDプロバイダ

次へAuth0

最終更新 2 か月前