Other IdP (SAML 2.0)
この機能は、Enterprise プラン以上および BYOC デプロイメントでのみ利用できます。
このトピックでは、SAML 2.0 プロトコルに対応する任意の ID プロバイダー (IdP) を使用して、Zilliz Cloud でシングルサインオン (SSO) を設定する方法について説明します。
Zilliz Cloud では、Okta、Google Workspace、Microsoft Entra 専用の連携ガイドを用意していますが、標準準拠の SAML 2.0 IdP であれば Other IdP (SAML 2.0) オプションから利用できます。
事前準備
-
Zilliz Cloud 組織に Dedicated (Enterprise) クラスターが 1 つ以上存在すること。
-
SSO を設定する Zilliz Cloud 組織で Organization Owner 権限を有していること。
-
使用する IdP の管理者アクセス権を持っていること。
-
IdP 固有の設定詳細については、各 IdP の公式ドキュメントを参照してください。
設定手順
手順 1: Zilliz Cloud コンソールでサービスプロバイダー情報を確認する
Zilliz Cloud コンソール にログインし、SSO を設定する組織を選択します。
左側のナビゲーションペインで Settings をクリックします。
Settings ページの Single Sign-On (SSO) セクションにある Configure をクリックします。
表示されるダイアログボックスで、IdP およびプロトコルとして Other IdP (SAML) を選択します。
Service Provider Details カードから、以下の値をコピーします。
-
SP Entity ID
-
ACS URL
これらの値は、IdP 側で SAML アプリケーションを作成する際の 手順 2 で必要になります。
手順 2: IdP コンソールで SAML アプリを作成する
具体的な操作は IdP によって異なりますが、一般的な流れは以下のとおりです。
IdP の管理者コンソールにサインインします。
新しい SAML 2.0 アプリケーションを作成します（SAML 接続やインテグレーションと呼ばれる場合もあります）。
アプリケーションを保存し、以下のいずれかの形式で IdP 設定情報を取得します。
-
オプション 1 – Metadata URL/File: 多くの IdP では、必要な SAML メタデータを含む XML ファイルのダウンロード、または公開 URL の提供が可能です。
-
オプション 2 – Manual: メタデータを利用できない場合は、IdP から以下の情報を収集します。
-
IdP SSO URL（Zilliz Cloud が認証リクエストを送信するエンドポイント）
-
x.509 Certificate（
-----BEGIN CERTIFICATE-----および-----END CERTIFICATE-----の行を含む）
-
ここで取得した情報は 手順 3 で使用します。
手順 3: Zilliz Cloud コンソールで IdP 情報を設定する
Zilliz Cloud コンソール に戻ります。
Configure Single Sign-On (SSO) ダイアログボックスの Identity Provider Details カードで、以下のいずれかの方法を選択します。
オプション 1 – Metadata URL/File
-
IdP からコピーした Metadata URL を貼り付けるか、ダウンロードした Metadata XML ファイルをアップロードします。
-
証明書を含む必要な IdP 情報が Zilliz Cloud に自動的に取り込まれます。
オプション 2 – Manual
-
IdP の IdP SSO URL を入力します。
-
X.509 形式の IdP 署名証明書をアップロードまたは貼り付けます。
-----BEGIN CERTIFICATE-----および-----END CERTIFICATE-----の行が含まれていることを確認してください。
Save をクリックします。
設定後の作業
タスク 1: IdP でユーザーに SAML アプリを割り当てる
ユーザーが SSO でサインインできるようにするには、事前に IdP 側で SAML アプリへのアクセス権を付与する必要があります。
-
対象のユーザーまたはグループにアプリを割り当てます。
-
割り当てた各ユーザーのメールアドレスが、Zilliz Cloud アカウントのメールアドレスと一致していることを確認してください。
タスク 2: プロジェクトにユーザーを招待する
ユーザーが初めて SSO 経由で Zilliz Cloud にログインすると Organization Member として登録されますが、デフォルトではどのプロジェクトにもアクセスできません。
-
Organization Owner が該当ユーザーを適切なプロジェクトに招待する必要があります。
-
プロジェクトへのユーザー招待手順については、Manage Platform Users を参照してください。
プロジェクトへの招待後、Organization Owner はエンタープライズ ユーザーに対して Zilliz Cloud ログイン URL を共有し、SSO でのサインインを案内できます。
設定やテスト中に問題が発生した場合は、Zilliz サポート までお問い合わせください。
タスク 3: （オプション）SSO 強制を有効にする
SSO 接続の設定とテストが完了したら、オプションで SSO enforcement を有効にして、すべての組織メンバーに SSO 経由でのログインを必須にすることができます。これを有効にすると、メール/password やサードパーティー アカウント（Google、GitHub）によるサインインはできなくなります。
この機能を有効にすると、パスワードでサインイン中のメンバーはすべて即座にログアウトされ、SSO 以外のログイン方法はブロックされます。
詳細については、Enforce SSO in Your Organization を参照してください。
FAQ
SSO で初めてログインするユーザーにはどのロールが割り当てられますか？
Zilliz Cloud アカウントを持たない新規ユーザーは、最初の SSO ログイン時にアカウントが自動作成され、デフォルトで Organization Member ロールが割り当てられます。ロールは後から Zilliz Cloud コンソールで変更可能です。詳しい手順については、Manage Platform Users を参照してください。
SSO ログイン後、ユーザーはどのようにプロジェクトへアクセスできますか？
SSO でログインしたユーザーには、デフォルトで Organization Member ロールが付与されます。特定のプロジェクトにアクセスするには、Organization Owner または Project Admin がそのユーザーをプロジェクトに招待する必要があります。詳しい手順については、Manage Platform Users を参照してください。
SSO ログイン前にすでに Zilliz Cloud アカウントを持っているユーザーはどうなりますか？
メールアドレスに基づき、ユーザーがすでに Zilliz Cloud 組織に存在する場合は、SSO でログインしても既存のロールと権限がそのまま維持されます。システムはメールアドレスでユーザーを照合するため、既存のアカウントが上書きされることはありません。
同じ組織に複数の SSO プロバイダーを設定できますか？
現在、各 Zilliz Cloud 組織で有効にできる SAML SSO 設定は、同時に 1 つのみです。