G Suite (Google Workspace) の設定
Google WorkspaceとのKeeperオンプレミスSSOコネクト連携設定
Google Workspaceとの完全なクラウドベースの統合については、KeeperクラウドSSOコネクトをご参照ください
G Suiteは、Keeperと以下の統合に対応しています。
SAML 2.0を使用したSSO認証
SCIMを使用した自動プロビジョニング
SSO、SSO+SCIM、SSOを使用しないSCIMを設定できます。
G Suiteの設定
G Suite管理コンソールにアクセスするには、https://gsuite.google.comにログインします。
アプリ画面にアクセスします。
SAMLアプリをクリックします。
右下の (+) ボタンをクリックして、SAMLアプリを作成します。
Keeperアプリを設定
Keeperを検索して、アプリケーションを選択します。
IdP情報
[Google IdP情報] 画面で、IDPメタデータをダウンロードして、コンピュータに保存します (注意: これはKeeper SSOコネクト画面にドラッグ&ドロップする必要があるファイルです)。
サービスプロバイダの詳細
サービスプロバイダの詳細画面には、入力フィールドがいくつかあります。 {ホスト名 (host name)}と{ポート (port)}は、SSOコネクトインスタンスで使用する予定の値に置き換えます。
ACS URL、エンティティID (Entity ID) を入力し、「[署名付きレスポンス]」 を選択します。 たとえば、以下の設定では、sso2.lurey.comがホスト名、8443がポート番号です。
****[署名付きレスポンス]のチェックボックスもオンにする必要があります。
属性マッピング
属性マッピング (Attribute Mapping) 画面で、下に表示されているとおりに3つのマッピングがあることを確認します。 下に表示されているように、名 (First)、姓 (Last)、メール (Email) の各フィールドを**[ファーストネーム]、[ラストネーム]、[プライマリメール]**に設定します。
カスタムアプリを選択した場合は、[新規マッピングを追加] をクリックして、以下の3つのフィールドを作成する必要があります。名 (First)、姓 (Last)、メール (Email)。スペルは正確に入力する必要があります。
[完了] を選択して、G Suiteの設定は完了です。ただし、Keeper SSOコネクトでIDPデータをインポートする必要があることが通知されます。
SSOコネクトを有効化
ユーザーに対して、Keeper SSOコネクトを有効にするには、[詳細] ボタンを選択して有効にします。
または、Keeper SAMLアプリをクリックしてサービスを編集し、アクセスできる特定のグループを設定できます。
G Suiteメタデータをインポート
Keeper SSOコネクトアプリケーションの設定画面に戻り、メタデータファイルをKeeper SSOコネクトの**[SAMLメタデータ]** セクションにドラッグアンドドロップします。
[保存] を選択して、すべてのパラメータがG SuiteのSAML接続画面と一致することを確認します。
保存すると、SSL証明書とその他のパラメータは設定済みであると見なして、Keeper SSOコネクトインスタンスが完全に動作可能とステータス (Status) 画面に表示されるはずです。
Google G Suiteのシングルログアウト (SLO) 設定に関する注意
現時点で、G Suiteはアプリケーションレベルで「シングルログアウト」に対応していません。 つまり、Keeperから明示的にログアウトしたユーザーは、他のGoogleサービスからもログアウトされることを意味します。 シングルログアウト (SLO) は、多くのIDプロバイダで提供されている機能で、特定のアプリケーションからユーザーをログアウトさせます。 残念ながら、Googleはまだこの機能に対応していません。
すべてのSAMLアプリからの完全なSAMLログアウトを防止したい場合は、前の手順でIDPタイプを**[デフォルト]** に変更する必要があります。Googleには設定しないでください。Googleに設定すると、SAMLログアウト時にGmailおよびその他すべてのGoogleアプリからログアウトしてしまいます。
Keeperの**[ログアウト]をクリックしてもGoogleからログアウトしないようにしたい場合は、SSOコネクトの設定を変更して、ドロップダウンでGoogleではなく「[デフォルト]**」プロバイダを選択するだけです。ただし、セキュリティ面の影響に注意する必要があります。
Keeperのセッションはログアウトされますが、ブラウザのGoogleセッションがアクティブな間は、ボルトに再度ログインしても、Googleのログインクレデンシャルの再入力は求められません。
ユーザーの観点からは、流れが中断しにくいため、使い勝手がよくなります。
セキュリティの観点からは、Googleアカウントがユーザーのブラウザ上のKeeperボルトのセッション処理を制御していることにご注意ください。
SSOの設定が完了しました。
これでKeeper SSOコネクトとG Suiteの設定は完了です。 以下の手順に従い、Googleアカウントを使用してKeeperにログインできるようになりました。
Keeperボルトを開き、**[法人SSOログイン]**をクリックします。
SSOの設定時にKeeper管理コンソールに指定した企業ドメインを入力します。 SSOコネクトのステータス画面では [SSOコネクトドメイン] という名前になっています。
[接続] をクリックし、G Suiteのクレデンシャルでログインします。
エンドユーザーの操作手順 (Keeperが起点となるログインフロー) については、こちらのガイドをご参照ください。\
SSOユーザー用のエンドユーザー向けビデオツアーはこちらです。\
次に、SCIMを使用してユーザープロビジョニングを設定する方法をご紹介します。
SCIMを使用したユーザープロビジョニング
ユーザープロビジョニングには、ライフサイクル管理のための機能がいくつか用意されています。
G Suiteに追加された新規ユーザーには、Keeperボルトを設定するための招待メールが送信されます。
ユーザーは、ユーザーまたはチーム単位でKeeperに割り当てることができます。
ユーザーがプロビジョニング解除されると、Keeperアカウントは自動的にロックされます。
Googleは、Keeperチームに対するグループプロビジョニングに対応していません。 この機能が実装されれば、G SuiteとKeeper間で同期されているチームにKeeperユーザーを配置できるようになります。
Keeper管理コンソールから、G Suiteノードのプロビジョニング (Provisioning) タブに移動し、メソッドを追加 (Add Method) をクリックします。
SCIMを選択し、次へ (Next) をクリックします。
**[プロビジョニングトークンを作成]**をクリックします。
続く画面に表示されるURLとトークンは、G Suite管理コンソールでGoogleに送信されます。 URLとトークンを一時的にどこかのファイルに保存して、保存 (Save) をクリックします。
これら2つのパラメータ (URLとトークン) を必ず保存してから、保存 (Save) をクリックしてください。そうしないと、プロビジョニングが失敗します。
G Suite管理コンソールに戻り、ホーム (Home) > アプリ (Apps) > SAMLアプリ (SAML Apps) に移動して、設定したKeeperアプリの**[プロビジョニング可能]**というテキストをクリックします。
[ユーザープロビジョニングを設定] をクリックします。
上記で保存したプロビジョニングトークンを続く画面に貼り付けて、[次へ] をクリックします。
上記で保存したURLをエンドポイントURLフィールドに貼り付けて、[次へ] をクリックします。
マップ属性 (Map attributes) はデフォルト設定のままにして、次へ (Next) をクリックします。
Keeperを特定のグループに割り当てたい場合は、続く画面でプロビジョニングスコープを設定できます。 SSOをご使用の場合は、プロビジョニングアクセス権を持つグループにKeeper SSOアクセス権も割り当てるようにしてください。 完了したら、完了 (Finish) をクリックします。
以下のエラーメッセージは無視してください。これはGoogleのバグです。
次に、プロビジョニングを有効化できます。
**[プロビジョニングを有効化]**をクリックしてオンにする必要がある場合があります。
ユーザープロビジョニング (User Provisioning) の表示が**[オン]** になります。
ユーザープロビジョニングの設定が完了しました。 今後、G SuiteでKeeperを使用するよう設定され、プロビジョニングスコープの定義に含まれる新規ユーザーは、Keeperへの招待状を受け取り、G Suiteで管理されます。
SSOを使用しないユーザープロビジョニング
G Suite SCIMプロビジョニングを使用して、ユーザーをKeeperにプロビジョニングしたいが、SSOを使用してユーザーを認証したく「ない」場合は、以下の手順に従ってください。
このガイドを使用し、SSO設定の手順に従って、管理するドメイン名を指すSSO urlとエンティティIDを使用しますが、実際には実行中のSSO Connectインスタンスではありません (例: null.mycompany.com)。
G SuiteでKeeperアプリケーションを設定したら、このドキュメントに記載された自動プロビジョニングメソッドをオンにします。
Google証明書の更新
SAMLアサーションに署名するためのGoogleのIdP x.509証明書は、5年後に失効するように設定されています。Google Workspaceの証明書を管理 (Manage Certificates) セクションで、有効期限をメモし、今後のカレンダーにアラートを設定してサービスが停止しないようにしておく必要があります。
証明書の有効期限が近い場合、または証明書が失効してしまった場合は、以下の手順に従ってください。
Google Workspace管理コンソール (https://admin.Google.com) にログインします
アプリ (Apps) をクリックし、ウェブアプリとモバイルアプリ (Web and Mobile Apps) を選択します
Keeperアプリを選択します
サービスプロバイダを展開します
**[証明書を管理]**をクリックします
**[証明書を追加]**をクリックします
**[メタデータをダウンロード]**をクリックします
メタデータファイルを保存します。 これがIdPのメタデータです。
Keeper管理コンソールにログインします
管理者 (Admin) > SSOノード (SSO Node) > プロビジョニング (Provisioning) > SSOクラウドプロビジョニングメソッドを編集 (Edit SSO Cloud provisioning method) に移動します
Google IdPメタデータをKeeperにアップロードします
このトピックの詳細は、以下のGoogleサポートページをご参照ください。
最終更新