メインコンテンツまでスキップ

Microsoft Entra IDでSAML SSOを設定する

このガイドでは、Microsoft Entra IDをSAML Identity Provider (IdP)として、VeloDB CloudをService Provider (SP)として、1つのVeloDB Cloud組織に対して設定します。Microsoft Entra IDは以前Azure Active Directory (Azure AD)と呼ばれていました。

前提条件​

開始する前に、以下を確認してください：

  • VeloDB Cloud組織がPremiumプランを使用していること。
  • VeloDB CloudでOrganization Adminであること。
  • Microsoft Entra IDでエンタープライズアプリケーションを作成し、ユーザーを割り当てることができること。
  • 企業メールドメインのDNS TXTレコードを作成できること。
  • SAMLメールクレームに使用されるEntra ID属性が、メンバーのVeloDB Cloudメールアドレスと一致していること。
  • Microsoft Entra IDで必要なConditional AccessおよびMFAポリシーを設定していること。

SSOを設定およびテストしている間は、アクティブなOrganization Adminセッションを開いたままにしてください。

VeloDB CloudでSAMLセットアップを開始する​

  1. Organization AdminとしてVeloDB Cloudにサインインします。

  2. コンソールの左下にあるプロフィール領域をクリックしてアカウントメニューを開き、Authenticationを選択します。

  3. SAML Single Sign-onをオンにします。

  4. Add Applicationで、以下の値をコピーします：

    • Single Sign-On URL
    • Service Provider Entity ID

Microsoft Entra IDを設定している間は、このページを開いたままにしてください。

エンタープライズアプリケーションを作成する​

  1. Microsoft Entra admin centerにサインインします。
  2. Identity → Applications → Enterprise applicationsに移動します。
  3. New applicationを選択します。
  4. Create your own applicationを選択します。
  5. VeloDB Cloudなどのアプリケーション名を入力します。
  6. **Integrate any other application you don't find in the gallery (Non-gallery)**を選択し、Createを選択します。
  7. Users and groupsを開き、VeloDB Cloudにアクセスできるユーザーまたはグループを割り当てます。
  8. Single sign-onを開き、SAMLを選択します。

SAML設定とクレームを設定する​

  1. Basic SAML Configurationで、Editを選択します。

  2. 以下のフィールドを設定します：

    Microsoft Entra IDフィールド値
    Identifier (Entity ID)VeloDB CloudのService Provider Entity ID
    Reply URL (Assertion Consumer Service URL)VeloDB CloudのSingle Sign-On URL
    Sign on URL空白のままにする
    Relay State空白のままにする
    Logout URL空白のままにする

  3. Basic SAML Configurationを保存します。

  4. Attributes & Claimsで、**Unique User Identifier (Name ID)**を編集します：

    • Name identifier formatをEmail addressに設定します。
    • メンバーのVeloDB Cloudメールアドレスを含むソース属性を選択します。通常はuser.mailです。

  5. 同じソース属性を使用するemailクレームを追加します：

    クレーム名ソース属性
    emailuser.mail、またはメンバーのVeloDB Cloudメールアドレスを含む属性

詳細については、MicrosoftドキュメントのEnable SAML single sign-on for an enterprise applicationを参照してください。

Microsoft Entra IDメタデータをインポートする​

  1. Set up Single Sign-On with SAMLページで、SAML Certificatesを見つけます。
  2. App Federation Metadata Urlをコピーします。
  3. VeloDB Cloudに戻り、Configure Identity Providerに進みます。
  4. URLをMetadata URLに貼り付けます。
  5. Verifyを選択します。
  6. VeloDB CloudがインポートされたIdP SSO URLと証明書を表示することを確認します。

メタデータURLはHTTPS経由で公開アクセス可能である必要があります。

ドメインを確認してプロビジョニングを設定する​

  1. Verify Domainに進みます。
  2. Add Domainを選択し、@なしで企業メールドメインを入力します。
  3. DNSプロバイダーで、VeloDB Cloudが表示するTXT Record NameとRecord Valueを使用してTXTレコードを作成します。
  4. DNS変更が反映されるのを待ち、ドメインのVerifyを選択します。
  5. JITプロビジョニングによって作成されるユーザーに割り当てられるDefault Roleを選択します。
  6. JIT Provisioning Policyを選択します。
  7. Continueを選択します。

プロビジョニングポリシーの詳細については、JIT provisioningを参照してください。

SSOをテストして有効にする​

  1. Test SSO Loginで、Test SSO Loginを選択します。
  2. アプリケーションに割り当てられたMicrosoft Entra IDアカウントで認証します。
  3. VeloDB CloudがSSO Test Successfulと報告することを確認します。
  4. Enable SSOに進み、Enable SSOを選択してセットアップを完了します。

SSOを強制する​

SSOを強制する前に、アクティブなOrganization Adminが通常のSAMLサインインを完了する必要があります：

  1. VeloDB Cloudからサインアウトします。
  2. Organization Adminのメールアドレスを使用してhttps://www.velodb.cloudで新しいサインインを開始します。
  3. Microsoft Entra IDを通じて認証し、管理者が組織にアクセスできることを確認します。
  4. Authenticationに戻り、SAML SSO設定を開きます。
  5. Enable SSOの横にあるConfigureを選択し、Enforce SSOを選択して変更を確認します。

Microsoft My Appsポータルからサインインを開始しないでください。VeloDB CloudはService Provider-initiated sign-inのみをサポートしています。

SSOが有効になっているが強制されていない場合、パスワードまたは確認コードサインイン用のメールサインインページが利用可能なままです。

ユーザーのMicrosoft Entra IDアプリケーション割り当てを削除しても、既存のVeloDB Cloud組織メンバーシップは削除されません。メンバーをオフボードする場合は、VeloDB CloudのMembersページでメンバーを別途削除してください。