G Suite (Google Workspace) の設定
Google WorkspaceとのKeeperオンプレミスSSOコネクト連携設定
G Suiteは、Keeperと以下の統合に対応しています。
SAML 2.0を使用したSSO認証
SCIMを使用した自動プロビジョニング
SSO、SSO+SCIM、SSOを使用しないSCIMを設定できます。
G Suiteの設定
G Suite管理コンソールにアクセスするには、https://gsuite.google.comにログインします。
[アプリ] 画面にアクセスします。
[ウェブアプリとモバイルアプリ] をクリックします。
右下の (+) ボタンをクリックして、SAMLアプリを作成します。
Keeperアプリを設定
Keeperを検索して、アプリケーションを選択します。
IdP情報
[Google ID プロバイダの詳細] 画面で、IdPメタデータをダウンロードして、コンピュータに保存します (注意: これはKeeper SSOコネクト画面にドラッグ&ドロップする必要があるファイルです)。
サービスプロバイダの詳細
[サービス プロバイダの詳細] 画面には、入力フィールドがいくつかあります。 {host name} と {port} は、SSOコネクトインスタンスで使用する予定の値に置き換えます。
[ACS の URL]、[エンティティ ID] を入力し、 [署名付きレスポンス] を選択します。たとえば、以下の設定では、sso2.lurey.comがホスト名、8443がポート番号です。
属性マッピング
[属性のマッピング] 画面で、下に表示されているとおりに3つのマッピングがあることを確認します。下に表示されているように、First、Last、Email の各フィールドを [名]、 [姓]、 [メインのメールアドレス] に設定します。
カスタムアプリを選択した場合は、 [マッピングを追加] をクリックして、以下の3つのフィールドを作成する必要があります。First、Last、Email。スペルは正確に入力する必要があります。
[完了] を選択して、G Suiteの設定は完了です。ただし、Keeper SSOコネクトでIDPデータをインポートする必要があることが通知されます。
SSOコネクトを有効化
ユーザーに対してKeeper SSOコネクトを有効にするには、アプリの [ユーザー アクセス] でサービスをオンにします。
または、Keeper SAMLアプリをクリックしてサービスを編集し、アクセスできる特定のグループを設定できます。
G Suiteメタデータをインポート
Keeper SSOコネクトアプリケーションの設定画面に戻り、メタデータファイルをKeeper SSOコネクトの [SAMLメタデータ] セクションにドラッグアンドドロップします。
[保存] を選択して、すべてのパラメータがG SuiteのSAML接続画面と一致することを確認します。
保存すると、SSL証明書とその他のパラメータは設定済みであると見なして、Keeper SSOコネクトインスタンスが完全に動作可能とステータス画面に表示されるはずです。
Google G Suiteのシングルログアウト (SLO) 設定に関する注意
現時点で、G Suiteはアプリケーションレベルで「シングルログアウト」に対応していません。つまり、Keeperから明示的にログアウトしたユーザーは、他のGoogleサービスからもログアウトされることを意味します。シングルログアウト (SLO) は、多くのIDプロバイダで提供されている機能で、特定のアプリケーションからユーザーをログアウトさせます。残念ながら、Googleはまだこの機能に対応していません。
すべてのSAMLアプリからの完全なSAMLログアウトを防止したい場合は、前の手順でIDPタイプを [デフォルト] に変更する必要があります。Googleには設定しないでください。Googleに設定すると、SAMLログアウト時にGmailおよびその他すべてのGoogleアプリからログアウトしてしまいます。
SSOの設定が完了しました。
これでKeeper SSOコネクトとG Suiteの設定は完了です。以下の手順に従い、Googleアカウントを使用してKeeperにログインできるようになりました。
Keeperボルトを開き、 [法人SSOログイン] をクリックします。
SSOの設定時にKeeper管理コンソールに指定した企業ドメインを入力します。SSOコネクトのステータス画面では [SSOコネクトドメイン] という名前になっています。
[接続] をクリックし、G Suiteのクレデンシャルでログインします。
エンドユーザーの操作手順 (Keeperが起点となるログインフロー) については、こちらのガイドをご参照ください。\
SSOユーザー用のエンドユーザー向けビデオツアーはこちらです。\
次に、SCIMを使用してユーザープロビジョニングを設定する方法をご紹介します。
SCIMを使用したユーザープロビジョニング
ユーザープロビジョニングには、ライフサイクル管理のための機能がいくつか用意されています。
G Suiteに追加された新規ユーザーには、Keeperボルトを設定するための招待メールが送信されます。
ユーザーは、ユーザーまたはチーム単位でKeeperに割り当てることができます。
ユーザーがプロビジョニング解除されると、Keeperアカウントは自動的にロックされます。
Googleは、Keeperチームに対するグループプロビジョニングに対応していません。この機能が実装されれば、G SuiteとKeeper間で同期されているチームにKeeperユーザーを配置できるようになります。
Keeper管理コンソールから、G Suiteノードの [プロビジョニング] タブに移動し、 [メソッドを追加] をクリックします。
SCIMを選択し、 [次へ] をクリックします。
[プロビジョニングトークンを作成] をクリックします。
続く画面に表示されるURLとトークンは、G Suite管理コンソールでGoogleに送信されます。URLとトークンを一時的にどこかのファイルに保存して、 [保存] をクリックします。
G Suite管理コンソールに戻り、 [アプリ] > [ウェブアプリとモバイルアプリ] に移動して、設定したKeeperアプリの [自動プロビジョニング オン] というテキストをクリックします。
[自動プロビジョニングを設定] をクリックします。
上記で保存したプロビジョニングトークンを続く画面に貼り付けて、 [続行] をクリックします。
上記で保存したURLを [エンドポイント URL] フィールドに貼り付けて、 [続行] をクリックします。
[属性マッピング] はデフォルト設定のままにして、 [続行] をクリックします。
Keeperを特定のグループに割り当てたい場合は、続く画面でプロビジョニングスコープを設定できます。SSOをご使用の場合は、プロビジョニングアクセス権を持つグループにKeeper SSOアクセス権も割り当てるようにしてください。完了したら、 [完了] をクリックします。
以下のエラーメッセージは無視してください。これはGoogleのバグです。
次に、プロビジョニングを有効化できます。
[自動プロビジョニング] をオンにし、必要に応じて [オンにする] をクリックして確定します。
[自動プロビジョニング] の表示がオン (アクティブ) になります。
ユーザープロビジョニングの設定が完了しました。今後、G SuiteでKeeperを使用するよう設定され、プロビジョニングスコープの定義に含まれる新規ユーザーは、Keeperへの招待状を受け取り、G Suiteで管理されます。
SSOを使用しないユーザープロビジョニング
G Suite SCIMプロビジョニングを使用して、ユーザーをKeeperにプロビジョニングしたいが、SSOを使用してユーザーを認証したく「ない」場合は、以下の手順に従ってください。
このガイドを使用し、SSO設定の手順に従って、管理するドメイン名を指すSSO urlとエンティティIDを使用しますが、実際には実行中のSSO Connectインスタンスではありません (例: null.mycompany.com)。
G SuiteでKeeperアプリケーションを設定したら、このドキュメントに記載された自動プロビジョニングメソッドをオンにします。
Google証明書の更新
SAMLアサーションに署名するためのGoogleのIdP x.509証明書は、5年後に失効するように設定されています。Google Workspaceの [証明書を管理] セクションで、有効期限をメモし、今後のカレンダーにアラートを設定してサービスが停止しないようにしておく必要があります。
証明書の有効期限が近い場合、または証明書が失効してしまった場合は、以下の手順に従ってください。
Google Workspace管理コンソール (https://admin.google.com) にログインします
[アプリ] をクリックし、 [ウェブアプリとモバイルアプリ] を選択します
Keeperアプリを選択します
[サービス提供者の詳細] を展開します
[証明書を管理] をクリックします
[別の証明書を追加] をクリックします
IdPメタデータをダウンロードします
メタデータファイルを保存します。これがIdPのメタデータです。
Keeper管理コンソールにログインします
該当するSSOノードの [プロビジョニング] に移動し、SSOコネクト / プロビジョニングメソッドを編集します
Google IdPメタデータをKeeperにアップロードします
このトピックの詳細は、以下のGoogleサポートページをご参照ください。
最終更新