チュートリアル: Microsoft Entra シングルサインオン (SSO) と SAP Cloud Identity Services の統合

[アーティクル]
10/29/2023

このチュートリアルでは、SAP Cloud Identity Services と Microsoft Entra ID を統合する方法について学習します。 SAP Cloud Identity Services と Microsoft Entra ID を統合すると、次のことができます:

SAP Cloud Identity Services にアクセスできるユーザーを Microsoft Entra ID で制御します。
ユーザーが自分の Microsoft Entra アカウントを使用して SAP Cloud Identity Services に自動的にサインインできるようにします。
1 つの場所でアカウントを管理します。

ヒント

推奨事項とベストプラクティスガイド「Microsoft Entra ID を使用して SAP プラットフォームおよびアプリケーションへのアクセスをセキュリティで保護する」に従って、設定を運用可能にします。

前提条件

開始するには、次が必要です。

Microsoft Entra サブスクリプション。サブスクリプションがない場合は、無料アカウントを取得できます。
SAP Cloud Identity Services でのシングルサインオン (SSO) が有効なサブスクリプション。

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra シングルサインオンを構成してテストします。

SAP Cloud Identity Services では、SP および IDP Initiated SSO がサポートされます。
SAP Cloud Identity Services では、自動化されたユーザープロビジョニングがサポートされます。

技術的な詳細の説明に入る前に、調べようとしている事柄の概念を理解する必要があります。 SAP Cloud Identity Services と Active Directory フェデレーションサービス (AD FS) により、SAP Cloud Identity Services で保護された SAP アプリケーションおよびサービスに対し、(IdP としての) Microsoft Entra ID によって保護されたアプリケーションまたはサービス全体で SSO を実装できます。

現時点では、SAP Cloud Identity Services は、SAP アプリケーションへのプロキシ ID プロバイダーとして機能します。さらに Microsoft Entra ID は、このセットアップにおける主要な ID プロバイダーとして機能します。

次の図にこの関係を示します。

Creating a Microsoft Entra test user

このセットアップにより、SAP Cloud Identity Services テナントは、Microsoft Entra ID で信頼されたアプリケーションとして構成されます。

この方法で保護するすべての SAP アプリケーションおよびサービスは、その後で SAP Cloud Identity Services 管理コンソールで構成されます。

つまり、SAP アプリケーションおよびサービスへのアクセスの許可のための承認は、(Microsoft Entra ID ではなく) SAP Cloud Identity Services で行われる必要があります。

Microsoft Entra Marketplace を通じて SAP Cloud Identity Services をアプリケーションとして構成すれば、個々の要求または SAML アサーションを構成する必要がありません。

Note

現在、その両者で Web SSO のみがテストされています。アプリ対API または API 対 API の通信に必要なフローは機能するものの、まだテストされていません。そのテストは後のアクティビティ中に行われる予定です。

ギャラリーからの SAP Cloud Identity Services の追加

Microsoft Entra ID への SAP Cloud Identity Services の統合を構成するには、ギャラリーから管理対象 SaaS アプリの一覧に SAP Cloud Identity Services を追加する必要があります。

クラウドアプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズアプリケーション]>[新しいアプリケーション] に移動します。
[ギャラリーから追加する] セクションで、検索ボックスに「SAP Cloud Identity Services」と入力します。
結果のパネルから [SAP Cloud Identity Services] を選択し、アプリを追加します。お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細をご覧ください。

SAP Cloud Identity Services 用の Microsoft Entra SSO の構成とテスト

B.Simon というテストユーザーを使用して、SAP Cloud Identity Services に対する Microsoft Entra SSO を構成してテストします。 SSO を機能させるには、Microsoft Entra ユーザーと SAP Cloud Identity Services の関連ユーザーとの間にリンク関係を確立する必要があります。

SAP Cloud Identity Services に対する Microsoft Entra SSO を構成してテストするには、次の手順に従います。

Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。
1. Microsoft Entra のテストユーザーの作成 - B.Simon を使用して Microsoft Entra シングルサインオンをテストします。
2. Microsoft Entra テストユーザーを割り当てる - B.Simon が Microsoft Entra シングルサインオンを使用できるようにします。
SAP Cloud Identity Services の SSO の構成 - アプリケーション側でシングルサインオン設定を構成します。
1. SAP Cloud Identity Services テストユーザーを作成する - SAP Cloud Identity Services で B.Simon に対応するユーザーを作成し、Microsoft Entra の B.Simon にリンクさせます。
SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

次の手順に従って Microsoft Entra SSO を有効にします。

クラウドアプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズアプリケーション]>[SAP Cloud Identity Services]>[シングルサインオン] を参照します。
[シングルサインオン方式の選択] ページで、 [SAML] を選択します。
[SAML によるシングルサインオンのセットアップ] ページで、 [基本的な SAML 構成] の鉛筆アイコンをクリックして設定を編集します。
[基本的な SAML 構成] セクションで、IDP Initiated モードで構成する場合は、次の手順を実行します。

a. [識別子] ボックスに、<IAS-tenant-id>.accounts.ondemand.com の形式で値を入力します。

b. [応答 URL] ボックスに、https://<IAS-tenant-id>.accounts.ondemand.com/saml2/idp/acs/<IAS-tenant-id>.accounts.ondemand.com のパターンを使用して URL を入力します

注意

これらは実際の値ではありません。実際の識別子と応答 URL でこれらの値を更新します。これらの値を取得するには、SAP Cloud Identity Services クライアントサポートチームにお問い合わせください。識別子の値がわからない場合は、テナントの SAML 2.0 の構成に関する SAP Cloud Identity Services のドキュメントをお読みください。
アプリケーションを SP 開始モードで構成する場合は、[追加の URL を設定します] をクリックして次の手順を実行します。

[サインオン URL] テキストボックスに、{YOUR BUSINESS APPLICATION URL} という形式で値を入力します。

注意

これは実際の値ではありません。この値を実際のサインオン URL で更新してください。特定のビジネスアプリケーションのサインオン URL を使ってください。わからないことがある場合は、SAP Cloud Identity Services クライアントサポートチームにお問い合わせください。
SAP Cloud Identity Services アプリケーションでは、特定の形式の SAML アサーションが予測されるため、SAML トークン属性の構成にカスタム属性マッピングを追加する必要があります。次のスクリーンショットには、既定の属性一覧が示されています。
上記に加えて、SAP Cloud Identity Services アプリケーションでは、下に示すいくつかの追加の属性が SAML 応答で戻されることが予測されます。これらの属性も値が事前に設定されますが、要件に従ってそれらの値を確認することができます。

名前ソース属性

firstName User.givenname
[Set up Single Sign-On with SAML](SAML でシングルサインオンをセットアップします) ページの [SAML Signing Certificate](SAML 署名証明書) セクションで、 [ダウンロード] をクリックして要件のとおりに指定したオプションからメタデータ XMLをダウンロードして、お使いのコンピューターに保存します。
[Set up SAP Cloud Identity Services] (SAP Cloud Identity Services のセットアップ) セクションで、要件に従って適切な URL をコピーします。

名前	ソース属性
firstName	User.givenname

Microsoft Entra テストユーザーを作成する

このセクションでは、B.Simon というテストユーザーを作成します。

Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
[ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
[ユーザー] プロパティで、以下の手順を実行します。
1. "表示名" フィールドに「B.Simon」と入力します。
2. [ユーザープリンシパル名] フィールドに「username@companydomain.extension」と入力します。たとえば、「 B.Simon@contoso.com 」のように入力します。
3. [パスワードを表示] チェックボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
4. [Review + create](レビュー + 作成) を選択します。
[作成] を選択します。

Microsoft Entra テストユーザーを割り当てる

このセクションでは、SAP Cloud Identity Services へのアクセスを許可することで、B.Simon がシングルサインオンを使用できるようにします。

クラウドアプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズアプリケーション]>[SAP Cloud Identity Services] を参照します。
アプリの概要ページで、 [管理] セクションを見つけて、 [ユーザーとグループ] を選択します。
[ユーザーの追加] を選択し、 [割り当ての追加] ダイアログで [ユーザーとグループ] を選択します。
[ユーザーとグループ] ダイアログの [ユーザー] の一覧から [B.Simon] を選択し、画面の下部にある [選択] ボタンをクリックします。
ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。
[割り当ての追加] ダイアログで、 [割り当て] をクリックします。

SAP Cloud Identity Services の SSO の構成

別の Web ブラウザーウィンドウで、SAP Cloud Identity Services 管理コンソールに移動します。 URL は https://<tenant-id>.accounts.ondemand.com/admin というパターンです。次に、Microsoft Entra ID との統合に関するページで、SAP Cloud Identity Services に関するドキュメントを読みます。
Azure Portal で [保存] ボタンを選択します。
以降は、もう 1 つの SAP アプリケーションに対して SSO を追加して有効にする場合にのみ行います。「ギャラリーからの SAP Cloud Identity Services の追加」セクションの手順を繰り返します。
Azure portal の SAP Cloud Identity Services アプリケーション統合ページで、[リンクされたサインオン] を選択します。
構成を保存します。

注意

新しいアプリケーションでは、前の SAP アプリケーションのシングルサインオン構成が再利用されます。 SAP Cloud Identity Services 管理コンソールで、同じ会社の ID プロバイダーを使用していることを確認してください。

SAP Cloud Identity Services のテストユーザーの作成

SAP Cloud Identity Services でユーザーを作成する必要はありません。 Microsoft Entra ユーザーストアに存在するユーザーは、SSO 機能を使用できます。

SAP Cloud Identity Services では、ID フェデレーションオプションがサポートされています。このオプションにより、アプリケーションは、会社の ID プロバイダーによって認証されたユーザーが、SAP Cloud Identity Services のユーザーストアに存在するかどうかを確認できます。

既定では、ID フェデレーションオプションは無効になっています。 ID フェデレーションが有効になっていると、SAP Cloud Identity Services にインポートされているユーザーのみがアプリケーションにアクセスできます。

SAP Cloud Identity Services との ID フェデレーションを有効または無効にする方法の詳細については、SAP Cloud Identity Services のユーザーストアとの ID フェデレーションの構成に関するページで、SAP Cloud Identity Services との ID フェデレーションの有効化に関するセクションを参照してください。

注意

SAP Cloud Identity Services では、自動ユーザープロビジョニングもサポートされます。自動ユーザープロビジョニングの構成方法について詳しくは、こちらをご覧ください。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングルサインオン構成をテストします。

SP Initiated:

[このアプリケーションをテストする] をクリックすると、ログインフローを開始できる SAP Cloud Identity Services のサインオン URL にリダイレクトされます。
SAP Cloud Identity Services のサインオン URL に直接移動し、そこからログインフローを開始します。

IDP Initiated:

[このアプリケーションをテストする] をクリックすると、SSO を設定した SAP Cloud Identity Services に自動的にサインインされます

また、Microsoft マイアプリを使用して、任意のモードでアプリケーションをテストすることもできます。マイアプリで [SAP Cloud Identity Services] タイルをクリックすると、SP モードで構成されている場合は、ログインフローを開始するためのアプリケーションサインオンページにリダイレクトされます。IDP モードで構成されている場合は、SSO を設定した SAP Cloud Identity Services に自動的にサインインされます。マイアプリの詳細については、マイアプリの概要に関するページを参照してください。

次のステップ

SAP Cloud Identity Services を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用できます。セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。

推奨事項とベストプラクティスガイドを参照して、設定を運用可能にします。

チュートリアル: Microsoft Entra シングル サインオン (SSO) と SAP Cloud Identity Services の統合