Cisco Duo で SAML SSO を設定する

このガイドでは、Duo Single Sign-On を SAML Identity Provider（IdP）として、VeloDB Cloud を Service Provider（SP）として設定し、1つの VeloDB Cloud 組織に対して構成します。

前提条件

開始する前に、以下を確認してください：

• VeloDB Cloud 組織が Premium プランを使用している
• VeloDB Cloud で Organization Admin である
• Duo Single Sign-On が認証ソースで設定されている
• Duo Admin Panel でアプリケーションを追加および設定できる
• 企業メールドメインの DNS TXT レコードを作成できる
• 必要な Duo 認証およびアクセスポリシーを設定済みである

SSO を設定およびテストしている間は、アクティブな Organization Admin セッションを開いたままにしてください。

VeloDB Cloud で SAML セットアップを開始する

1. Organization Admin として VeloDB Cloud にサインインします。

2. コンソールの左下角にあるプロフィール領域をクリックしてアカウントメニューを開き、Authentication を選択します。

3. SAML Single Sign-on をオンにします。

4. Add Application で、以下の値をコピーします：

   • Single Sign-On URL
   • Service Provider Entity ID

Duo を設定している間は、このページを開いたままにしてください。

Duo アプリケーションを作成する

1. Duo Admin Panel にサインインします。

2. Applications → Protect an Application に移動します。

3. SSO ラベル付きの Generic SAML Service Provider を検索し、アプリケーションを追加します。

4. Service Provider セクションで、以下のフィールドを設定します：

   Duo field	Value
   Entity ID	VeloDB Cloud の Service Provider Entity ID
   Assertion Consumer Service (ACS) URL	VeloDB Cloud の Single Sign-On URL
   Service Provider Login URL	空白のまま
   Default Relay State	空白のまま

5. NameID 設定を構成します：

   Duo field	Value
   NameID format	urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
   NameID attribute	Email Address

6. Duo メール属性から SAML レスポンスの email への属性マッピングを追加します。

7. 適切なユーザーまたはグループに対してアプリケーションアクセスと Duo ポリシーを設定します。

8. アプリケーションを保存します。

詳細については、Duo ドキュメントの Duo Single Sign-On for Generic SAML Service Providers を参照してください。

Duo メタデータをインポートする

1. Duo アプリケーションで Metadata セクションを見つけます。
2. Metadata URL をコピーします。
3. VeloDB Cloud に戻り、Configure Identity Provider に進みます。
4. Duo メタデータ URL を Metadata URL に貼り付けます。
5. Verify を選択します。
6. VeloDB Cloud がインポートされた IdP SSO URL と証明書を表示することを確認します。

メタデータ URL は HTTPS でパブリックにアクセス可能である必要があります。

ドメインを検証しプロビジョニングを設定する

1. Verify Domain に進みます。
2. Add Domain を選択し、@ を除いた企業メールドメインを入力します。
3. DNS プロバイダーで、VeloDB Cloud に表示された TXT Record Name と Record Value を使用して TXT レコードを作成します。
4. DNS 変更が伝播するのを待ち、そのドメインの Verify を選択します。
5. JIT プロビジョニングを通じて作成されるユーザーに割り当てられる Default Role を選択します。
6. JIT Provisioning Policy を選択します。
7. Continue を選択します。

プロビジョニングポリシーの詳細については、JIT provisioning を参照してください。

SSO をテストし有効にする

1. Test SSO Login で Test SSO Login を選択します。
2. アプリケーションへのアクセス権を持つ Duo ユーザーで認証します。
3. プロンプトが表示されたら Duo 認証を完了します。
4. VeloDB Cloud が SSO Test Successful を報告することを確認します。
5. Enable SSO に進み、Enable SSO を選択してセットアップを完了します。

SSO を強制する

SSO を強制する前に、アクティブな Organization Admin が通常の SAML サインインを完了する必要があります：

1. VeloDB Cloud からサインアウトします。
2. Organization Admin のメールアドレスを使用して https://www.velodb.cloud で新しいサインインを開始します。
3. Duo を通じて認証し、管理者が組織にアクセスできることを確認します。
4. Authentication に戻り、SAML SSO 設定を開きます。
5. Enable SSO の横にある Configure を選択し、Enforce SSO を選択して変更を確認します。

Duo Central や Duo アプリケーションタイルからサインインを開始しないでください。VeloDB Cloud は Service Provider 起動のサインインのみをサポートします。

SSO が有効だが強制されていない場合、email sign-in page はパスワードまたは確認コードサインインで引き続き利用可能です。

ユーザーの Duo アプリケーションアクセスを削除しても、既存の VeloDB Cloud 組織メンバーシップは削除されません。メンバーをオフボードする場合は、VeloDB Cloud の Members ページでメンバーを個別に削除してください。