メインコンテンツまでスキップ

Microsoft Entra IDでSAML SSOを設定する

このガイドでは、Microsoft Entra IDをSAMLアイデンティティプロバイダー（IdP）として、VeloDB Cloudをサービスプロバイダー（SP）として、1つのVeloDB Cloud組織に対して設定します。Microsoft Entra IDは以前はAzure Active Directory（Azure AD）と呼ばれていました。

前提条件​

開始する前に、以下を確認してください：

  • VeloDB Cloud組織でPremiumプランを使用している
  • VeloDB CloudでOrganization Adminである
  • Microsoft Entra IDでエンタープライズアプリケーションを作成し、ユーザーを割り当てることができる
  • 企業メールドメインのDNS TXTレコードを作成できる
  • SAMLメールクレームに使用されるEntra ID属性が、メンバーのVeloDB Cloudメールアドレスと一致している
  • Microsoft Entra IDで必要な条件付きアクセスおよびMFAポリシーを設定済みである

SSOの設定とテスト中は、Organization Adminセッションをアクティブに保ってください。

VeloDB CloudでSAML設定を開始する​

  1. Organization AdminとしてVeloDB Cloudにサインインします。

  2. コンソール左下のプロファイル領域をクリックしてアカウントメニューを開き、Authenticationを選択します。

  3. SAML Single Sign-onをオンにします。

  4. Add Applicationで、以下の値をコピーします：

    • Single Sign-On URL
    • Service Provider Entity ID

Microsoft Entra IDを設定している間は、このページを開いたままにしてください。

エンタープライズアプリケーションを作成する​

  1. Microsoft Entra admin centerにサインインします。
  2. Identity → Applications → Enterprise applicationsに移動します。
  3. New applicationを選択します。
  4. Create your own applicationを選択します。
  5. VeloDB Cloudなどのアプリケーション名を入力します。
  6. **Integrate any other application you don't find in the gallery (Non-gallery)**を選択し、Createを選択します。
  7. Users and groupsを開き、VeloDB Cloudにアクセスできるユーザーまたはグループを割り当てます。
  8. Single sign-onを開き、SAMLを選択します。

SAML設定とクレームを設定する​

  1. Basic SAML ConfigurationでEditを選択します。

  2. 以下のフィールドを設定します：

    Microsoft Entra IDフィールド値
    Identifier (Entity ID)VeloDB CloudのService Provider Entity ID
    Reply URL (Assertion Consumer Service URL)VeloDB CloudのSingle Sign-On URL
    Sign on URL空白のままにする
    Relay State空白のままにする
    Logout URL空白のままにする

  3. Basic SAML Configurationを保存します。

  4. Attributes & Claimsで、**Unique User Identifier (Name ID)**を編集します：

    • Name identifier formatをEmail addressに設定します。
    • メンバーのVeloDB Cloudメールアドレスが含まれるソース属性（通常はuser.mail）を選択します。

  5. 同じソース属性を使用するemailクレームを追加します：

    クレーム名ソース属性
    emailuser.mail、またはメンバーのVeloDB Cloudメールアドレスが含まれる属性

詳細については、MicrosoftドキュメントのEnable SAML single sign-on for an enterprise applicationを参照してください。

Microsoft Entra IDメタデータをインポートする​

  1. Set up Single Sign-On with SAMLページで、SAML Certificatesを見つけます。
  2. App Federation Metadata Urlをコピーします。
  3. VeloDB Cloudに戻り、Configure Identity Providerに進みます。
  4. URLをMetadata URLに貼り付けます。
  5. Verifyを選択します。
  6. VeloDB CloudでインポートされたIdP SSO URLと証明書が表示されることを確認します。

メタデータURLは、HTTPS経由で公開アクセス可能である必要があります。

ドメインを検証してプロビジョニングを設定する​

  1. Verify Domainに進みます。
  2. Add Domainを選択し、@を除く企業メールドメインを入力します。
  3. DNSプロバイダーで、VeloDB Cloudが表示するTXT Record NameとRecord Valueを使用してTXTレコードを作成します。
  4. DNS変更が伝播するまで待ち、ドメインのVerifyを選択します。
  5. JITプロビジョニングを通じて作成されるユーザーに割り当てられるDefault Roleを選択します。
  6. JIT Provisioning Policyを選択します。
  7. Continueを選択します。

プロビジョニングポリシーの詳細については、JIT provisioningを参照してください。

SSOをテストして有効にする​

  1. Test SSO Loginで、Test SSO Loginを選択します。
  2. アプリケーションに割り当てられたMicrosoft Entra IDアカウントで認証します。
  3. VeloDB CloudがSSO Test Successfulと報告することを確認します。
  4. Enable SSOに進み、Enable SSOを選択して設定を完了します。

SSOを強制する​

SSOを強制する前に、アクティブなOrganization Adminが通常のSAMLサインインを完了する必要があります：

  1. VeloDB Cloudからサインアウトします。
  2. Organization AdminのメールアドレスでLDThttps://www.velodb.cloudで新しいサインインを開始します。
  3. Microsoft Entra ID経由で認証し、管理者が組織にアクセスできることを確認します。
  4. Authenticationに戻り、SAML SSO設定を開きます。
  5. Enable SSOの横にあるConfigureを選択し、Enforce SSOを選択して変更を確認します。

Microsoft My Appsポータルからサインインを開始しないでください。VeloDB CloudはService Provider-initiated sign-inのみをサポートしています。

SSOが有効だが強制されていない場合、メールサインインページはパスワードまたは確認コードサインインで引き続き利用可能です。

ユーザーのMicrosoft Entra IDアプリケーション割り当てを削除しても、既存のVeloDB Cloud組織メンバーシップは削除されません。メンバーをオフボードする際は、VeloDB CloudのMembersページで個別にメンバーを削除してください。