Entra ID (Azure AD)
KeeperクラウドSSOコネクトをMicrosoft Entra ID (旧Azure AD) に連携させて、スムーズで安全なSAML 2.0認証を実現
概要
Keeperは、Microsoft Azure AD / Entra ID環境でSAML 2.0認証および自動プロビジョニングに利用できます。
Keeperアプリケーション (ウェブボルト、ブラウザ拡張機能、デスクトップアプリ、iOS/Androidアプリなど) は、条件付きアクセスポリシーに対応しています。
商用環境 (portal.azure.com) と Azure Government (portal.azure.us) の両方で利用できます。
Azureの設定
AzureへのクラウドSSOコネクト設定の概要については、以下の動画をご覧ください。
以下の手順を実行します。
Keeper Enterpriseアプリケーションを追加
https://portal.azure.com からAzure管理アカウントに移動し、[Azure Active Directory] > [Enterprise Applications] をクリックします。SCIMプロビジョニング用にKeeperアプリケーションがすでに設定されている場合は、既存のアプリケーションを編集します。
[New Application] をクリックし、Keeperを検索してKeeper Password Manager & Digital Vaultを選択します。
[Create] をクリックしてアプリケーションを作成します。
[Set up single sign on] をクリックしてから [SAML] をクリックします。
Keeper管理コンソールを開き、[管理者] 画面に移動します。
対象ノードを選択し、[プロビジョニング] タブをクリックします。
[クラウドSSOコネクト] を選択して [次へ] をクリックします。
必要な構成情報を入力し、[次へ] をクリックします。
[メタデータのエクスポート] ボタンが表示され、ダウンロードできるようになります。
[Upload metadata file] を選択し、Keeper管理コンソールからダウンロードしたファイルを選択します。
[Add] をクリックしてAzureにメタデータファイルをアップロードします。
AzureのSAML設定画面が表示されます。
エラーを解消するには、管理コンソールのクラウドSSOコネクト表示画面で [IDP起点のログインエンドポイント] のURLをコピーし、[Sign on URL] 欄に貼り付けます。
シングルログアウトサービスエンドポイント (SLO)
KeeperのURLエンドポイントで、IDプロバイダからのログアウトリクエストの送信先となります。シングルログアウトは任意で、IDプロバイダ側で設定します。
IDプロバイダを使用したKeeper起点のシングルログアウトの制御については、こちらをご参照ください。
デフォルトでは、ログアウト後にEntra/Azureからも強制的にログアウトされます。この動作を無効にしたい場合は、AzureメタデータファイルをKeeperにアップロードする前に編集し、SingleLogoutServiceの行を削除します。セキュリティ上の理由から、この行はそのまま含めておくことを推奨します。
[Save] をクリックしてSAML設定ウィンドウを閉じます。
保存後、設定のテストを求められますが、テストは行わず、数秒待ってからウェブブラウザでAzureポータルページを更新します。[SAML Signing Certificate] セクションに証明書の項目が表示されます。
[Federation Metadata XML] の [Download] をクリックします。
メタデータファイルをKeeper管理コンソールにアップロードします。
管理コンソールで [IDPタイプ] にAzureを選択し、手順8でダウンロードしたフェデレーションメタデータファイルをインポートします。
[User Attributes & Claims] を編集します。
[User Attributes] セクションでは、AzureがユーザーID、名、姓、メールに対する要求を自動的に作成します。
[Additional claims] セクションの4つの要求は不要なため、削除してください。
ForceAuthnの設定
Keeper管理コンソールでは、IDプロバイダとの新しいログインセッションを強制するオプションを利用できます。SAMLリクエストで ForceAuthn="true" が設定されている場合、ユーザーがすでに認証されていても、サービスプロバイダ (Keeper) はIDプロバイダに新しい認証済みセッションを要求します。セキュリティポリシーやエンドユーザー環境によっては、この動作が望ましい場合があります。
証明書更新のリマインダ
Entra ID / Azure ADのSAML署名証明書は1年後に失効します。
証明書の更新手順については、こちらのページをご参照ください。
ユーザープロビジョニング
手動または自動のプロビジョニングを使用して、AzureポータルからKeeperにユーザーをプロビジョニングできます。
手動
Keeperパスワードマネージャに特定のユーザーまたはグループのみを割り当てる場合は、以下の設定を変更します。Azureコンソールで、[Azure Active Directory] > [Enterprise Applications] > Keeper Password Manager & Digital Vault へ進み、[Properties] を選択します。
[User assignment required] を [Yes] に変更して保存します。これにより、アプリケーションに割り当てられたユーザーとグループのみが利用できます。
[Users and groups] で、Keeperアプリケーションにプロビジョニングするユーザーまたはグループを選択します。
SCIMを使用した自動プロビジョニング
既存のユーザー/初期管理者をSSO認証に移行
ルートノード (最上位) で作成されたユーザーは、SSO連携が設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスするときにマスターパスワードの入力を求められます。
メールでのボルトへのログイン
ジャストインタイムプロビジョニングが有効になっている予約済みドメインの場合、ボルトへのログイン画面でメールアドレスを入力するだけで正しいSSOプロバイダにルーティングされます。ここからボルトを作成するか、既存のボルトにログインできます。
法人ドメインでボルトへのログイン
ドメインが予約されていない場合、最初に [法人SSOログイン] を選択し、SSO統合で設定した法人ドメインを入力してKeeperボルトにログインします。ユーザーが最近非SSOノードからSSOノードに移動した場合、マスターパスワードの入力を求められることがあります。
ユーザーがSSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。
メールアドレスを入力して [次へ] をクリックしても目的のSSOにルーティングされない場合は、KeeperのSSO設定でジャストインタイムプロビジョニングが有効になっていることを確認し、メールドメインがKeeperによって予約されていることを確認してください。ルーティングとドメイン予約について詳しくは、こちらをご参照ください。
IdP起点のログイン
Keeperは、AzureのIdP起点ログインに対応しています。以下のURLからアプリケーションダッシュボードに移動します。
https://myapplications.microsoft.com/ これにより、割り当てられたKeeperのアプリケーションがロードされ、アイコンをクリックできるようになります。
最終更新