SAML 2.0 SSO 設定

Scale プラン

SAML 2.0 シングルサインオンを設定して、チームが組織のアイデンティティプロバイダーを使用して Zenovay にアクセスできるようにします。

サポートされているアイデンティティプロバイダー

プロバイダー	ステータス
Okta	完全サポート
Microsoft Entra ID (Azure AD)	完全サポート
OneLogin	完全サポート
Google Workspace	完全サポート
Ping Identity	完全サポート
ADFS	完全サポート
カスタム SAML 2.0	サポート

前提条件

開始する前に:

• Scale プランまたは Enterprise プランが有効
• アイデンティティプロバイダーへの管理者アクセス
• Zenovay への所有者または管理者アクセス
• 組織のメールドメインが検証済み

Zenovay SAML 情報

サービスプロバイダーの詳細

アイデンティティプロバイダーで SAML アプリケーションを設定する際にこれらの値が必要です。各ワークスペースは独自のエンティティ ID を取得します。正確な値は、Zenovay の 設定 → セキュリティ → SSO の サービスプロバイダーの詳細 セクションに表示されます。形式は以下の通りです:

設定	値
SP エンティティ ID / Audience URI	https://auth.zenovay.com/sso/{teamId}
ACS URL (Assertion Consumer Service)	https://auth.zenovay.com/api/sso/saml/callback
メタデータ URL	https://auth.zenovay.com/api/sso/metadata/{teamId}
NameID 形式	urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
バインディング	HTTP-POST

ほとんどのアイデンティティプロバイダーは、上記の メタデータ URL をインポートして、エンティティ ID と ACS URL を自動的に入力することもできます。

値を取得する

1. 設定 → セキュリティ → SSO に移動します
2. サービスプロバイダーの詳細 セクションに、エンティティ ID、ACS URL、OAuth/OIDC リダイレクト URI が表示されます。各値の横のコピーボタンを使用します。
3. プロバイダーを追加 をクリックして SAML を選択し、アイデンティティプロバイダーの設定を開始します。

Okta 設定

ステップ 1: Okta アプリケーションを作成

1. Okta 管理コンソールにログインします
2. Applications → Applications に移動します
3. Create App Integration をクリックします
4. SAML 2.0 を選択します
5. Next をクリックします

ステップ 2: SAML 設定を構成

一般設定:

• アプリ名: Zenovay
• アプリロゴ: Zenovay ロゴをアップロード (オプション)

SAML 設定 (Zenovay の 設定 → セキュリティ → SSO から正確な Single Sign-on URL と Audience URI をコピーします):

Okta フィールド	値
Single Sign-on URL	https://auth.zenovay.com/api/sso/saml/callback
Audience URI (SP エンティティ ID)	https://auth.zenovay.com/sso/{teamId}
Name ID format	EmailAddress
Application username	Email

ステップ 3: 属性ステートメント

以下の属性マッピングを追加します:

名前	値
email	user.email
firstName	user.firstName
lastName	user.lastName

ステップ 4: IdP 値を取得

1. Sign On タブに移動します
2. View SAML setup instructions または Identity Provider metadata をクリックします
3. 以下をメモします:
   • IdP エンティティ ID (Issuer)
   • IdP SSO URL (ログイン URL)
4. X.509 証明書 をダウンロードします

ステップ 5: Zenovay で完了

1. 設定 → セキュリティ → SSO に移動します
2. プロバイダーを追加 をクリックして SAML を選択します
3. 以下を入力します:
   • 名前: 例えば「Okta」
   • エンティティ ID: ステップ 4 の IdP エンティティ ID
   • SSO URL: ステップ 4 の IdP SSO URL
   • 証明書: 完全な X.509 証明書をペーストします
4. 作成 をクリックします
5. メールドメインを追加して検証します
6. プロバイダーの 接続をテスト アクションを使用して動作確認します

Microsoft Entra ID 設定

ステップ 1: エンタープライズアプリケーションを作成

1. Microsoft Entra 管理センター にサインインします
2. Identity → Applications → Enterprise applications に移動します
3. New application をクリックします
4. Create your own application をクリックします
5. 名前: Zenovay
6. Integrate any other application you don't find in the gallery を選択します

ステップ 2: シングルサインオンを設定

1. サイドバーの Single sign-on をクリックします
2. SAML を選択します
3. Basic SAML Configuration を編集します (Zenovay の 設定 → セキュリティ → SSO から正確な値をコピーします):

Entra ID フィールド	値
Identifier (Entity ID)	https://auth.zenovay.com/sso/{teamId}
Reply URL (ACS URL)	https://auth.zenovay.com/api/sso/saml/callback

ステップ 3: 属性を構成

Attributes & Claims を編集します:

クレーム名	ソース属性
emailaddress	user.mail
givenname	user.givenname
surname	user.surname

NameID クレーム形式が Email address に設定されていることを確認します。

ステップ 4: 証明書をダウンロードして IdP 値を取得

1. SAML Signing Certificate までスクロールして Certificate (Base64) をダウンロードします
2. Set up Zenovay セクションでコピーします:
   • Microsoft Entra Identifier — これが IdP エンティティ ID です
   • Login URL — これが SSO URL です

ステップ 5: ユーザーを割り当てる

1. Users and groups に移動します
2. ユーザーまたはグループを追加します
3. 割り当てを保存します

ステップ 6: Zenovay で完了

1. 設定 → セキュリティ → SSO に移動します
2. プロバイダーを追加 をクリックして SAML を選択します
3. 以下を入力します:
   • 名前: 例えば「Microsoft Entra ID」
   • エンティティ ID: ステップ 4 の Microsoft Entra Identifier
   • SSO URL: ステップ 4 の ログイン URL
   • 証明書: ダウンロードしたBase64 証明書の内容をペーストします
4. 作成 をクリックします
5. メールドメインを追加して検証します
6. 接続をテスト アクションを使用して動作確認します

Google Workspace 設定

ステップ 1: カスタム SAML アプリを追加

1. Google 管理コンソール に移動します
2. Apps → Web and mobile apps に移動します
3. Add App → Add custom SAML app をクリックします

ステップ 2: 詳細を入力

アプリ詳細:

• アプリ名: Zenovay
• 説明: 分析プラットフォーム
• アプリアイコン: アップロード (オプション)

ステップ 3: IdP メタデータをダウンロード

1. SSO URL と エンティティ ID をコピーまたはダウンロードします
2. 証明書 をダウンロードします
3. Continue をクリックします

ステップ 4: サービスプロバイダーの詳細

Zenovay の 設定 → セキュリティ → SSO から正確な ACS URL とエンティティ ID をコピーします:

Google 管理フィールド	値
ACS URL	https://auth.zenovay.com/api/sso/saml/callback
Entity ID	https://auth.zenovay.com/sso/{teamId}
Name ID format	EMAIL
Name ID	Basic Information > Primary email

ステップ 5: 属性マッピング

Google ディレクトリ	アプリ属性
Primary email	email
First name	firstName
Last name	lastName

ステップ 6: ユーザーに対して有効にする

1. アプリをクリックします
2. User access セクションに移動します
3. 組織または特定の組織単位に対して ON にします

ステップ 7: Zenovay で完了

1. 設定 → セキュリティ → SSO に移動します
2. プロバイダーを追加 をクリックして SAML を選択します
3. ステップ 3 の IdP エンティティ ID、SSO URL、証明書を入力します
4. 作成 をクリックします
5. メールドメインを追加して検証します
6. 接続をテスト アクションを使用して動作確認します

OneLogin 設定

ステップ 1: アプリケーションを追加

1. OneLogin 管理に移動します
2. Applications → Add App に移動します
3. SAML Custom Connector (Advanced) を検索します
4. 追加します

ステップ 2: 設定タブ

Zenovay の 設定 → セキュリティ → SSO から正確な Audience と Recipient/ACS 値をコピーします:

OneLogin フィールド	値
Audience (EntityID)	https://auth.zenovay.com/sso/{teamId}
Recipient	https://auth.zenovay.com/api/sso/saml/callback
ACS (Consumer) URL	https://auth.zenovay.com/api/sso/saml/callback

ステップ 3: パラメータ

パラメータを追加します:

フィールド	値
email	Email
firstName	First Name
lastName	Last Name

ステップ 4: SSO タブ

以下の値をメモします:

• SAML 2.0 Endpoint (HTTP)
• Issuer URL
• X.509 証明書をダウンロード

ステップ 5: Zenovay で完了

1. 設定 → セキュリティ → SSO に移動します
2. プロバイダーを追加 をクリックして SAML を選択します
3. ステップ 4 の IdP 値を入力します
4. 作成 をクリックします
5. メールドメインを追加して検証します

Zenovay での設定を完了

SSO プロバイダーを追加

1. 設定 → セキュリティ → SSO に移動します
2. プロバイダーを追加 をクリックします
3. SAML を選択します
4. アイデンティティプロバイダーから以下の値を入力します:

フィールド	説明
名前	このプロバイダーのわかりやすい名前 (例:「Corporate Okta」)
エンティティ ID	アイデンティティプロバイダーの IdP エンティティ ID / Issuer
SSO URL	IdP ログイン URL / SSO エンドポイント
SLO URL	IdP シングルログアウト URL (オプション)
証明書	X.509 署名証明書 (BEGIN/END 行を含む完全な PEM をペーストします)

5. 作成 をクリックします

ドメインを検証

保存後、メールドメインを追加して検証します:

1. ドメイン検証 セクションにメールドメイン (例:company.com) を入力します
2. ドメインを検証 をクリックします
3. 表示される TXT レコードをドメインの DNS に追加してから、DNS を確認 をクリックします
4. 検証後、そのドメインを持つユーザーはログイン時に SSO にリダイレクトされます

接続をテスト

1. プロバイダーの その他 メニューを開いて 接続をテスト を選択するか、ログインフローを直接テストします:
2. プライベート/シークレットブラウザウィンドウを開きます
3. auth.zenovay.com に移動します
4. 検証済みドメインのメールアドレスを入力します
5. アイデンティティプロバイダーで認証します
6. Zenovay ダッシュボードへの正常なリターンを確認します

SSO を強制

正常なテスト後、ユーザーがパスワードでログインできないように SSO を強制できます:

1. プロバイダーが有効になっていることを確認します (隣のトグル)
2. プロバイダーの その他 メニューを開いて SSO を強制 を選択します
3. ダイアログで確認します

ユーザープロビジョニング

Just-In-Time (JIT) プロビジョニング

新しいユーザーは最初の SSO ログイン成功時に自動作成されます:

• アカウントは SAML アサーション内のメールと名前から作成されます
• 招待メールは不要です

トラブルシューティング

一般的な問題

問題	解決策
「Signature verification failed」	IdP 証明書を再度ダウンロードして Zenovay で更新してください
「Digest mismatch」	正しい署名証明書が構成されていることを確認します
「SSO is not configured for your domain」	SSO 設定にユーザーのメールドメインを追加して検証します
「ACS URL mismatch」	ACS URL が正確に https://auth.zenovay.com/api/sso/saml/callback であることを確認します
「Entity ID mismatch」	Audience/Entity ID が 設定 → セキュリティ → SSO に表示される値と一致していることを確認します (チーム ID で終わります)
「NameID not found」	IdP で NameID 形式を EmailAddress に設定します

証明書の有効期限

IdP 証明書は有効期限切れになります — 事前に計画してください:

1. IdP で有効期限切れ日を監視します
2. 有効期限前に新しい証明書をダウンロードします
3. Zenovay の SSO プロバイダーを編集して証明書を置き換えます
4. 新しい証明書で接続をテストします

セキュリティのベストプラクティス

証明書管理

• 有効期限切れ日を監視する
• SHA-256 署名を使用する
• 有効期限前に証明書を更新する

属性セキュリティ

• 必要な属性のみを要求する
• 属性マッピングを確認する
• 変更を監視する

アクセス制御

• アイデンティティプロバイダーで特定ユーザー/グループを割り当てる
• 定期的にアクセスを確認する
• 条件付きアクセスポリシーを使用する

次のステップ

• OAuth/OIDC をセットアップ
• MFA を強制
• 監査ログを設定