SAML シングルサインオン

SAML ベースのシングルサインオン (SSO) を有効にすると、メンバーは、お選びの ID プロバイダ (IDP) 経由で Slack にアクセスできます。

注意 : カスタム SAML シングルサインオンADFS シングルサインオン の設定方法についてのガイドも用意していますのでチェックしてみてください。 


Step 1 : ID プロバイダを設定する

まずは、Slack SSO と IDP を連携 (または、コネクタを設定) させます。ID プロバイダの多くで Slack での SAML 設定に関するヘルプページが用意されています: 

 G Suite 認証を利用したい場合には、G Suite シングルサインオン ガイドを参照してください。


Step 2: Slack の SAML SSO を設定する

プラスプラン

Enterprise Grid プラン

ID プロバイダ (IDP) の設定が完了したら、次は Slack の SSO 機能を有効にします。これはワークスペースのオーナーまたは管理者のみが実行することができます。

  1. デスクトップの画面左上にあるワークスペース名をクリックします。
  2. メニューから「その他管理項目」を選択し、その後「ワークスペースの設定」を選択します。
  3. 「認証」タブをクリックします。
  4. SAML 認証のとなりの 「設定する」 をクリックします。
  5. 画面右上のトグルを「テスト」モードに切り替えます。
  6. 「SAML SSO URL」のとなりに SAML 2.0 Endpoint URL (HTTP) を入力します。(この情報はコネクタの設定時に取得済みです。Okta を IDP として利用する場合は、代わりに IDP URL を入力することもできます。)
  7. 「ID プロバイダ発行者」のとなりに  IDP のエンティティ ID を入力します。 
  8. IDP から取得した「x.509 証明書」全体をコピーして「公開証明書」欄にペーストします。
  9. 「詳細設定」の隣の「開く」をクリックします。IDP からの SAML レスポンスをどのように受け取るかを選択します。End to End Encryption (E2EE) キーが必要な場合は、「AuthnRequest に署名する」の横のチェックボックスを選択して証明書を表示します。
  10. SSO を有効にした後でプロフィール情報の編集 (メールや表示名など) をメンバーに許可するかどうかを、 「設定」で決定します。SSO を「必須」にするか、「一部必須」にするか*、または「オプション」にするかも選択できます。
  11. 「カスタマイズ」から、サインインアイコンラベルを入力します。
  12. 「設定を保存する」をクリックして、設定終了です。

*ゲストアカウントがある場合は、ゲストがメールアドレスとパスワードでサインインできるよう、SSO を部分的に必須にするオプションを選択することをおすすめします。

IDP の設定が完了したら、次は Enterprise Grid オーガナイゼーションで SSO 機能を有効にします。これはOrG オーナーまたは管理者のみが実行することができます。

  1. デスクトップの画面左上にあるワークスペース名をクリックします。
  2. メニューから「その他管理項目」を選択し、その後「オーガナイゼーションの設定」を選択します。
  3. 左側の列の「セキュリティ」をクリックします。
  4. 「SSO の構成」セクションの「SSO の構成」をクリックします。
  5. SAML 2.0 Endpoint URL を入力します (この情報はコネクタの設定時に取得済みです。)Slack の認証リクエストはここから送信されます。
  6. ID プロバイダ発行者の URL を入力します。この URL はエンティティ ID ともいいます。 
  7.  「サービスプロバイダ発行者の URL」 はデフォルトで https://slack.com に設定されています。この項目は、IDP で設定した URL と同じにする必要があります。
  8. IDP から取得した x.509 証明書全体をコピーします。
  9.  SAML の応答とアサーションに署名するかどうかを選択します。お使いの IDP で  End to End Encryption (E2EE) キー が必要な場合には、「AuthnRequest に署名する」のとなりのチェックボックスを選択し、 証明書を表示します。「AuthnContextClassRef」 の値も希望に応じて設定できます。
  10. テスト設定」をクリックします。変更が適切に反映されたかどうか、またはさらに変更が必要かどうかをお知らせします。
  11. 準備ができたら、「SSO をオンにする」をクリックします。 

Tip :  SSO の設定が完了したら、オーガナイゼーションのワークスペースに IDP グループを連携させる方法を確認してみましょう。


SSO の有効化後に予想されること

シングルサインオンの設定が完了すると、それに関する通知メールが、ワークスペースや OrG の各メンバーに届きます。メンバーはメールの手順に従って、Slack アカウントを IDP に接続またはバインドします。メンバーは、リンクの有効期間である72時間以内にアカウントをバインドさせる必要があります。

以上をもって、チームのメンバー全員が IDP のアカウントを使って Slack にサインインするようになりました。SSO の設定を必須にしている場合には、メンバーがワークスペースにアクセスする前に、サインインページが表示されます。

Tip :  メンバーの管理をよりシンプルにするため、Slack では SCIM のプロビジョニング標準仕様に対応しています。詳細はSCIM プロビジョニングによるメンバー管理を参照してください。

誰がこの機能を使用することができますか?
  • ワークスペースのオーナー/管理者 OrG のオーナー/管理者のみがこの機能にアクセスできます。
  •  プラスプラン Slack Enterprise Grid  をご利用のワークスペースで利用可能です。

関連記事

最近チェックした記事