Okta (SAML 2.0)
この機能は、Enterprise プラン以上および BYOC デプロイメントでのみ利用できます。
このトピックでは、SAML 2.0 プロトコルを使用して Okta とのシングルサインオン（SSO）を構成する方法について説明します。
このガイドでは、Zilliz Cloud がサービスプロバイダー（SP）、Okta がアイデンティティプロバイダー（IdP）として機能します。次の図は、Zilliz Cloud および Okta Admin Console での必要な手順を示しています。
事前準備
-
お使いの Zilliz Cloud 組織に、Dedicated (Enterprise) クラスターが少なくとも 1 つ存在すること。
-
Okta Admin Console への管理者アクセス権を持っていること。詳細については、Okta 公式ドキュメント を参照してください。
-
SSO を構成する Zilliz Cloud 組織の Organization Owner であること。
構成手順
手順 1: Zilliz Cloud コンソールで SP の詳細を確認する
SP である Zilliz Cloud は、Okta で SAML アプリを設定する際に必要な Audience URL (SP Entity ID) と Single sign-on URL を提供します。
Zilliz Cloud コンソール にログインし、SSO を構成する組織に移動します。
左側のナビゲーションペインで Settings をクリックします。
Settings ページの Single Sign-On (SSO) セクションで Configure をクリックします。
表示されるダイアログボックスで、IdP およびプロトコルとして Okta (SAML 2.0) を選択します。
Service Provider Details カードで、Audience URL (SP Entity ID) と Single sign-on URL をコピーします。これらの値は、Okta Admin Console で SAML アプリを作成する 手順 2 で必要になります。
完了したら、手順 2 に進みます。
手順 2: Okta Admin Console で SAML アプリを作成する
この手順では、Zilliz Cloud から取得した SP の詳細を使用して Okta（IdP）を構成します。
Okta Admin Console にログインします。
左側のナビゲーションペインで Applications > Applications を選択します。
Create App Integration をクリックします。
Create a new app integration ダイアログボックスで SAML 2.0 を選択し、Next をクリックします。
簡略化のため、App name に zilliz を設定して Next をクリックします。
Configure SAML 手順の General 領域で、以下のフィールドを構成します。
Attribute Statements (optional) 領域で、以下を指定します。
-
Name: 値に email を設定します。
-
Value: ドロップダウンリストから user.email を選択します。
Next をクリックし、続いて Finish をクリックします。アプリページにリダイレクトされます。
アプリページの Sign On タブで Metadata URL を確認し、Copy をクリックします。この値は 手順 3 の Zilliz Cloud コンソールで必要になります。
手順 3: Zilliz Cloud コンソールで IdP 設定を構成する
この手順では、SAML の信頼関係を確立するために、Okta の IdP 詳細を Zilliz Cloud に登録します。
Zilliz Cloud コンソール に戻ります。
Configure Single Sign-On (SSO) ダイアログボックスの Identity Provider Details カードに、手順 2 で Okta Admin Console からコピーした Metadata URL を貼り付けます。
完了したら、Save をクリックします。
構成後のタスク
タスク 1: ユーザーに SAML アプリを割り当てる
ユーザーが SSO 経由で Zilliz Cloud にアクセスできるようにするには、Okta アプリケーションをユーザーに割り当てる必要があります。
Okta Admin Console のアプリ詳細ページで Assignments をクリックします。
Assign > Assign to People を選択します。
SAML アプリをユーザーに割り当て、変更を保存します。
Save and Go Back をクリックします。
必要に応じて、すべてのユーザーに対して同様の操作を繰り返します。詳細については、Okta ドキュメント を参照してください。
タスク 2: プロジェクトにユーザーを招待する
ユーザーが初めて SSO 経由で Zilliz Cloud にログインすると、Organization Member として登録されますが、デフォルトではどのプロジェクトにもアクセスできません。
-
Organization Owner は、該当するプロジェクトにユーザーを招待する必要があります。
-
ユーザーをプロジェクトに招待する手順については、Manage Platform Users を参照してください。
プロジェクトへの招待後、Organization Owner はエンタープライズユーザーに対して Zilliz Cloud のログイン URL を共有し、SSO 経由でサインインできるようにすることができます。
セットアップやテスト中に問題が発生した場合は、Zilliz サポート にお問い合わせください。
タスク 3:（任意）SSO enforcement を有効にする
SSO 接続の設定とテストが完了したら、任意で SSO enforcement を有効にして、すべての組織メンバーに SSO 経由のログインを必須にできます。有効化すると、メンバーはメール/passwordやサードパーティー アカウント（Google、GitHub）でのサインインができなくなります。
この機能を有効にすると、パスワードでサインインしているすべてのメンバーが即座にログアウトされ、SSO 以外のログイン方法がブロックされます。
詳細については、組織で SSO を強制する を参照してください。
FAQ
SSO で初めてログインしたユーザーにはどのロールが割り当てられますか？
Zilliz Cloud アカウントをまだ持っていない新規ユーザーは、初回の SSO ログイン時に自動的に作成されます。これらのユーザーには、デフォルトで Organization Member ロールが割り当てられます。ロールは後から Zilliz Cloud コンソールで変更できます。詳しい手順については、プラットフォーム ユーザーの管理 を参照してください。
SSO ログイン後、ユーザーはどのようにプロジェクトにアクセスできますか？
SSO でログインしたユーザーには、デフォルトで Organization Member ロールが割り当てられます。特定のプロジェクトにアクセスするには、Organization Owner または Project Admin がそのユーザーをプロジェクトに招待する必要があります。詳しい手順については、プラットフォーム ユーザーの管理 を参照してください。
SSO ログイン前にすでに Zilliz Cloud アカウントを持っている場合はどうなりますか？
ユーザーがメールアドレスに基づいて Zilliz Cloud 組織に既に存在する場合、SSO でログインしても元のロールと権限が維持されます。システムはメールアドレスでユーザーを照合し、既存のアカウントを上書きすることはありません。
同じ組織に複数の SSO プロバイダーを設定できますか？
現在、各 Zilliz Cloud 組織でサポートされているのは、一度に 1 つのアクティブな SAML SSO 構成 のみです。