次の方法で共有

チュートリアル: Microsoft Entra シングル サインオン (SSO) と SAP Cloud Identity Services の統合

  • [アーティクル]

このチュートリアルでは、SAP Cloud Identity Services と Microsoft Entra ID を統合する方法について学習します。 SAP Cloud Identity Services と Microsoft Entra ID を統合すると、次のことができます:

  • SAP Cloud Identity Services にアクセスできるユーザーを Microsoft Entra ID で制御します。
  • ユーザーが自分の Microsoft Entra アカウントを使用して SAP Cloud Identity Services に自動的にサインインできるようにします。
  • 1 つの場所でアカウントを管理します。

ヒント

推奨事項とベスト プラクティス ガイド「Microsoft Entra ID を使用して SAP プラットフォームおよびアプリケーションへのアクセスをセキュリティで保護する」に従って、設定を運用可能にします。

前提条件

開始するには、次が必要です。

  • Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウントを取得できます。
  • SAP Cloud Identity Services でのシングル サインオン (SSO) が有効なサブスクリプション。

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra シングル サインオンを構成してテストします。

技術的な詳細の説明に入る前に、調べようとしている事柄の概念を理解する必要があります。 SAP Cloud Identity Services と Active Directory フェデレーション サービス (AD FS) により、SAP Cloud Identity Services で保護された SAP アプリケーションおよびサービスに対し、(IdP としての) Microsoft Entra ID によって保護されたアプリケーションまたはサービス全体で SSO を実装できます。

現時点では、SAP Cloud Identity Services は、SAP アプリケーションへのプロキシ ID プロバイダーとして機能します。 さらに Microsoft Entra ID は、このセットアップにおける主要な ID プロバイダーとして機能します。

次の図にこの関係を示します。

Microsoft Entra テスト ユーザーを作成する

このセットアップにより、SAP Cloud Identity Services テナントは、Microsoft Entra ID で信頼されたアプリケーションとして構成されます。

この方法で保護するすべての SAP アプリケーションおよびサービスは、その後で SAP Cloud Identity Services 管理コンソールで構成されます。

つまり、SAP アプリケーションおよびサービスへのアクセスの許可のための承認は、(Microsoft Entra ID ではなく) SAP Cloud Identity Services で行われる必要があります。

Microsoft Entra Marketplace を通じて SAP Cloud Identity Services をアプリケーションとして構成すれば、個々の要求または SAML アサーションを構成する必要がありません。

Note

現在、その両者で Web SSO のみがテストされています。 アプリ対API または API 対 API の通信に必要なフローは機能するものの、まだテストされていません。 そのテストは後のアクティビティ中に行われる予定です。

Microsoft Entra ID への SAP Cloud Identity Services の統合を構成するには、ギャラリーから管理対象 SaaS アプリの一覧に SAP Cloud Identity Services を追加する必要があります。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] に移動します。
  3. [ギャラリーから追加する] セクションで、検索ボックスに「SAP Cloud Identity Services」と入力します。
  4. 結果のパネルから [SAP Cloud Identity Services] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細をご覧ください。

SAP Cloud Identity Services 用の Microsoft Entra SSO の構成とテスト

B.Simon というテスト ユーザーを使用して、SAP Cloud Identity Services に対する Microsoft Entra SSO を構成してテストします。 SSO を機能させるには、Microsoft Entra ユーザーと SAP Cloud Identity Services の関連ユーザーとの間にリンク関係を確立する必要があります。

SAP Cloud Identity Services に対する Microsoft Entra SSO を構成してテストするには、次の手順に従います。

  1. Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。
    1. Microsoft Entra のテスト ユーザーの作成 - B.Simon を使用して Microsoft Entra シングル サインオンをテストします。
    2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
  2. SAP Cloud Identity Services の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
    1. SAP Cloud Identity Services テスト ユーザーを作成する - SAP Cloud Identity Services で B.Simon に対応するユーザーを作成し、Microsoft Entra の B.Simon にリンクさせます。
  3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

次の手順に従って Microsoft Entra SSO を有効にします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[SAP Cloud Identity Services]>[シングル サインオン] を参照します。

  3. [シングル サインオン方式の選択] ページで、 [SAML] を選択します。

  4. [SAML によるシングル サインオンのセットアップ] ページで、 [基本的な SAML 構成] の鉛筆アイコンをクリックして設定を編集します。

    基本的な SAML 構成を編集する

  5. サービス プロバイダー メタデータ ファイルを保持しており、IDP Initiated モードに構成したい場合は、 [基本的な SAML 構成] セクション上で次の手順を実行します。

    a. [メタデータ ファイルをアップロードします] をクリックします。

    b. フォルダー ロゴをクリックして、SAP からダウンロードしたメタデータ ファイルを選択し、[アップロード] をクリックします。

    メタデータ ファイルの選択を示すスクリーンショット

    c. メタデータ ファイルが正常にアップロードされると、識別子と応答 URL の値が、[基本的な SAML 構成] セクションに自動的に設定されます。

    URL を示すスクリーンショット。

    Note

    識別子と応答 URL の値が自動的に設定されない場合は、要件に応じて手動で値を入力してください。

  6. SP 開始モードでアプリケーションを構成する場合は、次の手順に従います。

    [サインオン URL (オプション)] ボックスに、{YOUR BUSINESS APPLICATION URL} のパターンを使用して URL を入力します。

    注意

    これは実際の値ではありません。 この値を実際のサインオン URL で更新してください。 特定のビジネス アプリケーションのサインオン URL を使ってください。 わからないことがある場合は、SAP Cloud Identity Services クライアント サポート チームにお問い合わせください。

  7. SAP Cloud Identity Services アプリケーションでは、特定の形式の SAML アサーションが予測されるため、SAML トークン属性の構成にカスタム属性マッピングを追加する必要があります。 次のスクリーンショットには、既定の属性一覧が示されています。

    属性を示すスクリーンショット。

  8. 上記に加えて、SAP Cloud Identity Services アプリケーションでは、下に示すいくつかの追加の属性が SAML 応答で戻されることが予測されます。 これらの属性も値が事前に設定されますが、要件に従ってそれらの値を確認することができます。

    名前 ソース属性
    firstName User.givenname

  9. [Set up Single Sign-On with SAML](SAML でシングル サインオンをセットアップします) ページの [SAML Signing Certificate](SAML 署名証明書) セクションで、 [ダウンロード] をクリックして要件のとおりに指定したオプションからメタデータ XMLをダウンロードして、お使いのコンピューターに保存します。

    証明書のダウンロードのリンク

  10. [Set up SAP Cloud Identity Services] (SAP Cloud Identity Services のセットアップ) セクションで、要件に従って適切な URL をコピーします。

    構成 URL をコピーする

Microsoft Entra テスト ユーザーを作成する

このセクションでは、B.Simon というテスト ユーザーを作成します。

  1. Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
  2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
  3. 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
  4. [ユーザー] プロパティで、以下の手順を実行します。
    1. "表示名" フィールドに「B.Simon」と入力します。
    2. [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、「 B.Simon@contoso.com 」のように入力します。
    3. [パスワードを表示] チェック ボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
    4. [Review + create](レビュー + 作成) を選択します。
  5. [作成] を選択します。

Microsoft Entra テスト ユーザーを割り当てる

このセクションでは、SAP Cloud Identity Services へのアクセスを許可することで、B.Simon がシングル サインオンを使用できるようにします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[SAP Cloud Identity Services] を参照します。

  3. アプリの概要ページで、 [管理] セクションを見つけて、 [ユーザーとグループ] を選択します。

  4. [ユーザーの追加] を選択し、 [割り当ての追加] ダイアログで [ユーザーとグループ] を選択します。

  5. [ユーザーとグループ] ダイアログの [ユーザー] の一覧から [B.Simon] を選択し、画面の下部にある [選択] ボタンをクリックします。

  6. ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。 このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。

  7. [割り当ての追加] ダイアログで、 [割り当て] をクリックします。

SAP Cloud Identity Services の SSO の構成

  1. SAP Cloud Identity Services 管理コンソールにサインインします。 URL は https://<tenant-id>.accounts.ondemand.com/admin というパターンです。

  2. [アプリケーションとリソース] で [テナント設定] タイルを選択します。

    テナント設定を示すスクリーンショット。

  3. [シングル サインオン] タブで、[SAML 2.0 構成] に移動し、[メタデータ ファイルのダウンロード] ボタンをクリックしてメタデータをダウンロードし、後で Entra 側の構成で使用します。

    メタデータのダウンロード ボタンを示すスクリーンショット。

  4. [ID プロバイダー] で、[企業 ID プロバイダー] タイルを選択します。

  5. [+ 作成] をクリックして ID プロバイダーを作成します。

    ID プロバイダーを示すスクリーンショット。

  6. [ID プロバイダーの作成] ダイアログ ボックスで次の手順を実行します。

    ID プロバイダーの作成を示すスクリーンショット。

    a. [表示名] に有効な名前を入力します。

    b. ドロップダウンから [Microsoft ADFS/Entra ID (SAML 2.0)] を選択します。

    c. Create をクリックしてください。

  7. [信頼] -> [SAML 2.0 構成] へ移動して [参照] をクリックし、Entra 構成からダウンロードしたメタデータ XML ファイルをアップロードします。

    ID プロバイダーの構成を示すスクリーンショット。

  8. [保存] をクリックします。

  9. 以降は、もう 1 つの SAP アプリケーションに対して SSO を追加して有効にする場合にのみ行います。 「ギャラリーからの SAP Cloud Identity Services の追加」セクションの手順を繰り返します。

  10. Entra 側の SAP Cloud Identity Services アプリケーション統合ページで、[リンクされたサインオン] を選択します。

    リンクされたサインオンの構成を示すスクリーンショット

  11. 構成を保存します。

  12. 詳細については、Microsoft Entra ID との統合の SAP Cloud Identity Services に関するドキュメントを参照してください。

Note

新しいアプリケーションでは、前の SAP アプリケーションのシングル サインオン構成が再利用されます。 SAP Cloud Identity Services 管理コンソールで、同じ会社の ID プロバイダーを使用していることを確認してください。

SAP Cloud Identity Services のテスト ユーザーの作成

SAP Cloud Identity Services でユーザーを作成する必要はありません。 Microsoft Entra ユーザー ストアに存在するユーザーは、SSO 機能を使用できます。

SAP Cloud Identity Services では、ID フェデレーション オプションがサポートされています。 このオプションにより、アプリケーションは、会社の ID プロバイダーによって認証されたユーザーが、SAP Cloud Identity Services のユーザー ストアに存在するかどうかを確認できます。

既定では、ID フェデレーション オプションは無効になっています。 ID フェデレーションが有効になっていると、SAP Cloud Identity Services にインポートされているユーザーのみがアプリケーションにアクセスできます。

SAP Cloud Identity Services との ID フェデレーションを有効または無効にする方法の詳細については、SAP Cloud Identity Services のユーザー ストアとの ID フェデレーションの構成に関するページで、SAP Cloud Identity Services との ID フェデレーションの有効化に関するセクションを参照してください。

注意

SAP Cloud Identity Services では、自動ユーザー プロビジョニングもサポートされます。自動ユーザー プロビジョニングの構成方法について詳しくは、こちらをご覧ください。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

SP Initiated:

  • [このアプリケーションをテストする] をクリックすると、ログイン フローを開始できる SAP Cloud Identity Services のサインオン URL にリダイレクトされます。

  • SAP Cloud Identity Services のサインオン URL に直接移動し、そこからログイン フローを開始します。

IDP Initiated:

  • [このアプリケーションをテストする] をクリックすると、SSO を設定した SAP Cloud Identity Services に自動的にサインインされます

また、Microsoft マイ アプリを使用して、任意のモードでアプリケーションをテストすることもできます。 マイ アプリで [SAP Cloud Identity Services] タイルをクリックすると、SP モードで構成されている場合は、ログイン フローを開始するためのアプリケーション サインオン ページにリダイレクトされます。IDP モードで構成されている場合は、SSO を設定した SAP Cloud Identity Services に自動的にサインインされます。 マイ アプリの詳細については、「マイ アプリの概要」を参照してください。

次のステップ

SAP Cloud Identity Services を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用できます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。

推奨事項とベスト プラクティス ガイドを参照して、設定を運用可能にします。