Google WorkspaceでSAML SSOを設定する

このガイドでは、Google WorkspaceをSAML Identity Provider（IdP）として、VeloDB CloudをService Provider（SP）として1つのVeloDB Cloud組織に対して設定します。

前提条件

開始する前に、以下を確認してください：

• VeloDB Cloud組織がPremiumプランを使用している
• VeloDB CloudでOrganization Adminである
• SAML アプリケーションの作成と割り当て権限を持つGoogle Workspace管理者である
• 企業メールドメインのDNS TXTレコードを作成できる
• Google Workspaceで必要な2段階認証ポリシーを設定済みである

SSOの設定とテスト中は、Organization Adminセッションをアクティブに保ってください。

VeloDB CloudでSAML設定を開始する

1. Organization AdminとしてVeloDB Cloudにサインインします。

2. コンソール左下のプロファイル領域をクリックしてアカウントメニューを開き、Authenticationを選択します。

3. SAML Single Sign-onをオンにします。

4. Add Applicationで、以下の値をコピーします：

   • Single Sign-On URL
   • Service Provider Entity ID

Google Workspaceの設定中は、このページを開いたままにしてください。

Google Workspaceアプリケーションを作成する

1. Google Admin consoleにサインインします。

2. Apps → Web and mobile appsに移動します。

3. Add app → Add custom SAML appを選択します。

4. VeloDB Cloudなどのアプリケーション名を入力し、Continueを選択します。

5. Google Identity Provider detailsページで、Metadata URLをコピーし、次のセクション用に安全に保存します。

6. Continueを選択します。

7. Service Providerの詳細を設定します：

   Google Workspaceフィールド	値
   ACS URL	VeloDB CloudのSingle Sign-On URL
   Entity ID	VeloDB CloudのService Provider Entity ID
   Start URL	空白のまま
   Signed response	有効
   Name ID format	EMAIL
   Name ID	Basic Information → Primary email

8. Continueを選択します。

9. 以下の属性マッピングを追加します：

   Google directoryの属性	アプリの属性
   Primary email	email

10. Finishを選択します。

11. User accessを開き、適切なグループまたは組織単位でアプリケーションを有効にします。

詳細については、Google WorkspaceドキュメントのSet up your own custom SAML applicationを参照してください。

Google Workspaceメタデータをインポートする

1. VeloDB Cloudに戻り、Configure Identity Providerに進みます。
2. Google Workspaceのメタデータ URLをMetadata URLに貼り付けます。
3. Verifyを選択します。
4. VeloDB CloudがインポートされたIdP SSO URLと証明書を表示することを確認します。

メタデータ URLはHTTPS経由で公開アクセス可能である必要があります。

ドメインを検証し、プロビジョニングを設定する

1. Verify Domainに進みます。
2. Add Domainを選択し、@を除いた企業メールドメインを入力します。
3. DNS プロバイダーで、VeloDB Cloudが表示するTXT Record NameとRecord Valueを使用してTXTレコードを作成します。
4. DNS変更の伝播を待ってから、ドメインのVerifyを選択します。
5. JITプロビジョニングで作成されるユーザーに割り当てるDefault Roleを選択します。
6. JIT Provisioning Policyを選択します。
7. Continueを選択します。

プロビジョニングポリシーの詳細については、JIT provisioningを参照してください。

SSOをテストして有効にする

1. Test SSO Loginで、Test SSO Loginを選択します。
2. アプリケーションへのアクセス権限を持つGoogle Workspaceアカウントで認証します。
3. VeloDB CloudがSSO Test Successfulを報告することを確認します。
4. Enable SSOに進み、Enable SSOを選択して設定を完了します。

SSOを強制する

SSOを強制する前に、アクティブなOrganization Adminが通常のSAMLサインインを完了する必要があります：

1. VeloDB Cloudからサインアウトします。
2. Organization Adminのメールアドレスを使用して、https://www.velodb.cloudで新しいサインインを開始します。
3. Google Workspaceで認証し、管理者が組織にアクセスできることを確認します。
4. Authenticationに戻り、SAML SSO設定を開きます。
5. Enable SSOの隣にあるConfigureを選択し、Enforce SSOを選択して変更を確認します。

Google Workspaceアプリケーションタイルからサインインを開始しないでください。VeloDB CloudはService Provider-initiatedサインインのみをサポートしています。

SSOが有効でも強制されていない場合、メールサインインページはパスワードまたは認証コードサインインで引き続き利用可能です。

ユーザーのGoogle Workspaceアプリケーションアクセスを削除しても、既存のVeloDB Cloud組織メンバーシップは削除されません。メンバーをオフボードする際は、VeloDB CloudのMembersページで別途メンバーを削除してください。