SAML シングルサインオン

SAML シングルサインオン（SSO）により、組織メンバーは企業のアイデンティティプロバイダーを通じて VeloDB Cloud コンソールにサインインできます。VeloDB Cloud は SAML サービスプロバイダー（SP）として機能し、あなたのアイデンティティプロバイダーはアイデンティティプロバイダー（IdP）として機能します。

SAML SSOは1つの組織のコンソールアクセスに適用されます。ウェアハウスユーザー、SQLクライアント、またはManagement APIリクエストの認証は行いません。

サポートされているアイデンティティプロバイダー

VeloDB Cloud は以下のアイデンティティプロバイダーとの SAML 2.0 統合をサポートしています：

アイデンティティプロバイダー	セットアップガイド
Okta	Okta で SAML SSO を設定する
Google Workspace	Google Workspace で SAML SSO を設定する
Microsoft Entra ID	Microsoft Entra ID で SAML SSO を設定する
Cisco Duo	Cisco Duo で SAML SSO を設定する

前提条件

SAML SSO を設定する前に、以下を確認してください：

• あなたの組織が Premium プランを使用している。
• あなたが VeloDB Cloud の Organization Admin である。
• アイデンティティプロバイダーで SAML アプリケーションを作成し割り当てることができる。
• 少なくとも一つの企業メールドメインに対して DNS TXT レコードを作成できる。
• あなたのアイデンティティプロバイダーがパブリックにアクセス可能な HTTPS SAML メタデータ URL を提供している。
• アイデンティティプロバイダーで必要な MFA ポリシーを設定済みである。
• SSO の設定とテストを行っている間、少なくとも一人の Organization Admin がアクセスを維持している。

設定ワークフロー

SAML SSO セットアップウィザードには5つのステップがあります：

1. アプリケーション追加：VeloDB Cloud のシングルサインオン URL とサービスプロバイダーエンティティ ID をアイデンティティプロバイダーにコピーします。
2. アイデンティティプロバイダー設定：アイデンティティプロバイダーの HTTPS SAML メタデータ URL をインポートします。
3. ドメイン検証：企業メールドメインを検証し、デフォルトロールを選択し、JIT プロビジョニングを設定します。
4. SSO ログインテスト：アイデンティティプロバイダー経由でのテストサインインを完了します。
5. SSO 有効化：他のサインイン方法を維持しながら SSO を有効化します。

ウィザードを開始するには：

1. Organization Admin として VeloDB Cloud にサインインします。
2. コンソール左下のプロフィールエリアをクリックしてアカウントメニューを開き、Authentication を選択します。
3. SAML Single Sign-on をオンにします。

この設定をオンにするとセットアップウィザードが開きます。ウィザードを完了してEnable SSO を選択するまで、メンバーは SSO を利用できません。

検証済みドメイン

SAML SSO を有効化する前に、少なくとも一つの企業メールドメインを検証する必要があります。ドメイン検証により、あなたの組織が SSO メンバーが使用するメールドメインを管理していることが証明されます。

Verify Domain ステップで：

1. Add Domain を選択し、@ なしでドメインを入力します（例：example.com）。
2. DNS プロバイダーで、VeloDB Cloud が表示するTXT Record Name とRecord Value を使用して TXT レコードを作成します。
3. DNS 変更が伝播するまで待ちます。
4. VeloDB Cloud で、ドメインに対してVerify を選択します。

gmail.com や outlook.com などのパブリックメールドメインは、検証済みドメインとして使用できません。

JIT プロビジョニング

Just-in-time（JIT）プロビジョニングは、SAML サインインが成功した後に VeloDB Cloud がユーザーと組織メンバーシップを作成するかどうかを制御します。

ポリシー	動作
Verified domain only	メールアドレスが検証済みドメインに属するユーザーのみを作成します。これが推奨ポリシーです。
Allow All SSO Users	メールドメインに関係なく、アイデンティティプロバイダーが認証を許可するユーザーを作成します。
Disable Automatic Provisioning	既存のアクティブな組織メンバーのみが SAML でサインインできます。

JIT プロビジョニングで作成された新しいメンバーは、セットアップ時に選択されたDefault Role を受け取ります。新しいメンバーに必要な最小権限のロールを選択してください。SAML グループ属性は VeloDB Cloud のロールを変更または割り当てません。

注意 Allow All SSO Users では、アイデンティティプロバイダーが認証を許可するすべてのユーザーが組織にプロビジョニングされる可能性があります。このポリシーを選択する前に、アイデンティティプロバイダーでアプリケーション割り当てを制限してください。

SSO テスト

組織で SSO を有効化する前にテストしてください。テストでは、新しいメンバーの作成や永続的な組織 SSO セッションを作成することなく、SAML リクエスト、レスポンス、証明書、Entity ID、ACS URL、およびユーザーメールを検証します。

テストを実行するには：

1. Test SSO Login ステップで、Test SSO Login を選択します。
2. SAML アプリケーションに割り当てられたアカウントを使用してアイデンティティプロバイダー経由でサインインします。
3. VeloDB Cloud がSSO Test Successful を報告することを確認します。

アイデンティティプロバイダーのメタデータ URL を変更する場合、SSO を再度有効化する前に別の成功テストが必要です。

SSO の有効化と強制

VeloDB Cloud は2つのアクセスポリシーを提供します：

アクセスポリシー	動作
Enable SSO	パスワードと検証コードによるサインインを維持しながら SAML SSO を利用可能にします。メールが検証済みドメインと一致するユーザーは通常アイデンティティプロバイダーに誘導されます。
Enforce SSO	メンバーが組織にアクセスする前に有効な SAML サインインを要求します。

SSO の安全な強制

初期セットアップ時に SSO を強制しないでください。まず Organization Admin が通常の SAML サインインを完了し、組織にアクセスできることを確認してください。

1. Test SSO Login を完了します。
2. Enable SSO を選択します。
3. サインアウトし、アクティブな Organization Admin アカウントで SAML 経由で再度サインインします。
4. 管理者が組織にアクセスし、Authentication を開けることを確認します。
5. SAML SSO 設定を開き、Enable SSO の横にあるConfigure を選択し、Enforce SSO を選択して変更を確認します。

VeloDB Cloud は、少なくとも一人のアクティブな Organization Admin が通常の SAML サインインを完了するまで強制を防ぎます。

SSO 有効化後のサインイン

メンバーは通常 https://www.velodb.cloud でサインインします：

1. 検証済みドメインに関連付けられたメールアドレスを入力します。
2. アイデンティティプロバイダーに進みます。
3. アイデンティティプロバイダーで認証します。
4. VeloDB Cloud に戻ります。

VeloDB Cloud はサービスプロバイダー起点のサインインのみをサポートします。メンバーはアイデンティティプロバイダーのアプリケーションタイルからではなく、VeloDB Cloud からサインインを開始する必要があります。

SSO が有効だが強制されていない場合、メンバーは email sign-in page を使用してパスワードまたは検証コードでサインインできます。このページは SSO 強制をバイパスしません：パスワード認証セッションは SSO を強制する組織にアクセスできません。

SAML SSO での MFA

アイデンティティプロバイダーは SAML サインイン時の認証ポリシーと MFA に責任を負います。SAML 認証されたメンバーは、アイデンティティプロバイダーから戻った後に VeloDB Cloud MFA の入力を求められません。SSO を有効化する前に、アイデンティティプロバイダーで必要な MFA ポリシーを設定し強制してください。

組織全体の VeloDB Cloud MFA は、パスワードと検証コードによるサインインに引き続き適用されます。SAML サインインに別の MFA チャレンジを追加することはありません。

SSO メンバーの管理

VeloDB Cloud は、アイデンティティプロバイダーからのメンバーライフサイクルやロール変更を同期しません。アプリケーション割り当ての削除、アイデンティティプロバイダーアカウントの無効化、またはグループメンバーシップの変更は、既存の VeloDB Cloud 組織メンバーシップを削除したり、そのロールを変更したりしません。

メンバーをオフボードする際は、アイデンティティプロバイダーで SAML アプリケーションへのアクセスを取り消し、Members ページで VeloDB Cloud 組織からメンバーを削除してください。JIT プロビジョニングされたメンバーを定期的に確認し、必要な最小権限のロールを割り当ててください。

SSO の管理または無効化

設定を確認または変更するには、Authentication を開き、SAML SSO のView Configuration を選択します。編集可能なステップの横にあるConfigure を使用して設定を変更してください。

警告 アイデンティティプロバイダーのメタデータ URL を変更すると SSO が無効になり、以前の SSO テストが無効になります。アクティブな Organization Admin セッションを開いたままにし、Test SSO Login を再度実行し、セッションを終了する前に SSO を再有効化してください。

SSO を無効化するには、Authentication ページでSAML Single Sign-on をオフにし、変更を確認してください。SSO を無効化すると設定は保持されますが、組織から SAML 要件が削除されます。

トラブルシューティング

問題	推奨アクション
VeloDB Cloud がメタデータ URL をインポートできない。	URL が HTTPS を使用し、パブリックにアクセス可能で、アイデンティティプロバイダーエンティティ ID、SSO サービス、およびアクティブな署名証明書を含む有効な SAML メタデータを返すことを確認してください。
SSO テストがエラーで VeloDB Cloud に戻る。	アイデンティティプロバイダーの ACS URL とサービスプロバイダーエンティティ ID が同じ VeloDB Cloud 組織の値と一致することを確認してください。
VeloDB Cloud がメンバーを識別できない。	SAML NameID または email 属性をメンバーの VeloDB Cloud メールアドレスで設定してください。
メンバーが SSO を開始できない。	SSO が有効になっており、メンバーがアイデンティティプロバイダーで SAML アプリケーションに割り当てられていることを確認してください。
新しいメンバーが作成されない。	JIT プロビジョニングポリシー、検証済みドメイン、およびデフォルトロールを確認してください。
Enforce SSO が拒否される。	まず SSO を有効にし、SSO を強制する前にアクティブな Organization Admin が通常の SAML サインインを完了してください。

現在の制限事項

• 一つの組織は一つの SAML アイデンティティプロバイダー設定を持つことができます。
• アイデンティティプロバイダー起点の SSO はサポートされていません。
• SAML シングルログアウトはサポートされていません。アイデンティティプロバイダーからサインアウトしても既存の VeloDB Cloud セッションは終了せず、VeloDB Cloud からサインアウトしてもメンバーはアイデンティティプロバイダーからサインアウトされません。
• SCIM プロビジョニングはサポートされていません。
• SAML グループからロールへのマッピングはサポートされていません。
• SAML SSOはウェアハウス認証情報やManagement APIキーには適用されません。