シングルサインオン (SAML SSO) の設定

IdP 開始型 SAML

IdP 開始型 SAML は、ユーザーがアプリやサービスに認証するために普段利用しているログインポータルがある場合に最適です。

この記事の以降のセクションでは、IdP 開始型 SAML を含め、すべての SAML タイプで必要となる基本設定について説明します。

IdP 開始型 SAML のユーザーフロー

1. ログインポータルから開始（例：Okta、Duo、ADFS、OneLogin など）
2. アクセスしたいサービスを選択（例：Meraki ダッシュボード）
3. Meraki ダッシュボードにリダイレクト

 

 

SP 開始型 SAML

SP 開始型 SAML は、ログイン／認証ポータルが存在しない場合や、ユーザーに Meraki ダッシュボードからログインを開始させたい場合、または Meraki モバイルアプリで SSO を利用したい場合に最適です。

この記事の以降のセクションでは、すべての SAML タイプで必要となる基本設定について説明します。SP 開始型 SAML は IdP 開始型 SAML と完全な互換性があり、両方同時に利用可能です。ただし、SP 開始型 SAML（モバイルアプリの SSO には必須）を利用する場合は追加設定が必要であり、詳細は SP 開始型 SAML/SSO 構成ガイド をご参照ください。

SP 開始型 SAML のユーザーフロー

1. ダッシュボード／モバイルアプリから開始
2. ログインドメインを指定
3. IdP へリダイレクト（例：Okta、Duo、ADFS、OneLogin など）
4. Meraki ダッシュボードにリダイレクト

 

 

ダッシュボードで SAML SSO を有効化

1. オーガナイゼーション> 設定 ページで、認証 セクションに移動します。

2. SAML SSO を「SAML SSO 有効」に変更します。
   
3. X.509 証明書の SHA1 フィンガープリントを入力します。これはコロン（:）で区切られた 20 組の 16 進数文字列となります。IdP の X.509 証明書から取得します。
   1. Windows で .crt ファイルを開いた場合、詳細 > サムプリント でフィンガープリントを確認できます。これをコピーし、スペースをコロンに置き換えてください。
      Windows:
      
      
      ダッシュボード:
      
       
4. （任意）SLO ログアウト URLを入力します。ダッシュボードからログアウト時にユーザーがリダイレクトされる URL です。
   • 一般的には、IdP 側でユーザーをログアウトさせる URL や、その他のサービスのログアウト先となります。
   • また、ダッシュボードからログアウト後にホームページや他のポータルへリダイレクトすることも可能です。
5. 変更を保存をクリックします。

ダッシュボードで SAML ロールを作成

オーガナイゼーション > 管理者 ページに SAML 管理者ロール セクションが追加されます。このセクションで、ダッシュボード上のユーザーグループに権限を割り当てます。SAML ユーザーがログインすると、IdP から提供される SAML トークン内の 'role' 属性に割り当てられた権限が付与されます。

新しいロールを作成するには、SAML ロールを追加 をクリックします。これらのロールへの権限付与は通常のユーザーと同じ方法で行います。ロールへの権限割当については、管理者の管理に関する記事をご参照ください。作成が完了したら、管理者を作成 および 変更を保存 をクリックします。

IdP 属性情報

多くの IdP で必要となる属性があります。以下はこれらの属性と、ダッシュボードでの確認箇所です：

Entity ID

IdP開始型ダッシュボード SSO の場合、この値は https://dashboard.meraki.com です。

SP開始型 SSO の場合、SP SAML 機能が有効な各 Meraki ダッシュボード組織ごとに動的な発行者／Entity IDが使用されます。例：設定したサブドメインが「example」の場合、IdP に設定する一意の発行者／Entity IDは「https://example.sso.meraki.com」です。SP開始型 SAML の詳細は、「固有サブドメインの定義」をご参照ください。

Assertion Consumer Service（ACS）URL

これは オーガナイゼーション > 設定 ページの SAML 設定内「Consumer URL」として提供されます。組織ごとに固有の値となります。2 つの URL が表示され、1 つ目は Meraki ダッシュボード用、2 つ目（「Consumer URL (Vision)」）はカメラ閲覧用の Meraki Vision ポータル向けです。Meraki Vision ポータルへユーザーをリダイレクトしたい場合はこの部分のみ変更してください。Meraki Vision についての詳細はこちらをご覧ください。

ユーザー名属性

SAML トークン／アサーション内にユーザー名属性を必ず含めてください。具体的には「https://dashboard.meraki.com/saml/attributes/username」です。この値がダッシュボード上で識別されるユーザー名となります。一般的にはメールアドレスをマッピングすることを推奨します。

ロール属性
SAML トークン／アサーション内にロール属性も必須です。具体的には「https://dashboard.meraki.com/saml/attributes/role」です。この値は オーガナイゼーション > 管理者 ページで定義されているロールのいずれかと一致している必要があります。

その他 IdP 情報

IdP の互換性・機能に関する追加情報：

• 制限付きシングルログアウト（SLO）機能に対応しています。ダッシュボードは SLO URL を使用してダッシュボードからログアウト後にユーザーをリダイレクトします。IdP 側で SLO に対応していれば連携可能ですが、ダッシュボード側は IdP からの SAML LogoutRequest 受付には対応していません。
• SAML 2.0 のみサポートしています。
• IdP プラットフォームには他にも様々な項目がありますが、多くの場合、上記以外は空欄またはデフォルト設定で問題ありません。ダッシュボード互換性に必須なのは上記の情報のみです。