PingOne (SAML 2.0)
この機能は、Enterprise プラン以上および BYOC デプロイメントでのみ利用できます。
このトピックでは、SAML 2.0 プロトコルを使用して Ping Identity（PingOne）とのシングルサインオン（SSO）を構成する方法について説明します。
このガイドでは、Zilliz Cloud がサービスプロバイダー（SP）、PingOne がアイデンティティプロバイダー（IdP）として機能します。Zilliz Cloud から PingOne の SAML アプリケーションに SP の詳細をコピーし、その後、そのアプリケーションの IdP 詳細を Zilliz Cloud に指定します。
事前準備
-
SSO を構成する Zilliz Cloud 組織の Organization Owner であること。
-
PingOne で SAML アプリケーションを作成・構成し、ユーザーアクセスを管理するための管理者権限を持っていること。環境を作成するには、Organization Admin ロールまたは同等の権限も必要です。
構成手順
ステップ 1: Zilliz Cloud コンソールで SP の詳細を確認する
Zilliz Cloud は、PingOne で SAML アプリケーションを作成するために必要な Entity ID とアサーションコンシューマーサービス（ACS URL）を提供します。
Zilliz Cloud コンソール にログインし、SSO を構成する組織に移動します。
左側のナビゲーションペインで Settings をクリックします。
Single Sign-On (SSO) セクションを見つけ、Configure をクリックします。
表示されるダイアログボックスで、Ping Identity (SAML 2.0) を選択します。
Service Provider Details カードで、Entity ID と ACS URL をコピーします。別のブラウザータブで PingOne を構成する間、このページは開いたままにしてください。
両方の値を自組織のコンソールからコピーしてください。別の組織や環境の値で代用しないでください。
ステップ 2: PingOne で SAML アプリを作成する
ステップ 1 の SP の詳細を使用して PingOne を構成し、その後、Zilliz Cloud がユーザーの識別に使用するメール属性を構成します。
PingOne 管理コンソール にログインします。PingOne SSO サービスを含む既存の環境を選択するか、Workforce solution を使用して新しい環境を作成します。
Applications > Applications に移動し、+ アイコンをクリックします。
zilliz-sso などの Application Name を入力します。SAML Application を選択し、Configure をクリックします。
Save をクリックしてアプリケーションを作成します。
アプリケーションの Configuration タブで、鉛筆アイコンをクリックします。Subject NameID Format を urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress に設定し、Save をクリックします。
Attribute Mappings タブで、鉛筆アイコンをクリックします。既存の saml_subject マッピングを変更し、Add をクリックして以下に示す email マッピングを作成します。
| アプリケーション属性 | PingOne のマッピング | 目的 |
|---|---|---|
saml_subject | Email Address | SAML NameID の値をユーザーのメールアドレスに設定します。 |
email | Email Address | Zilliz Cloud がユーザーアカウントの照合に使用するメール属性を提供します。 |
email マッピングで Required を選択します。saml_subject マッピングはすでに必須であり、そのチェックボックスは変更できません。Save をクリックします。
アプリケーションの詳細パネル上部にあるトグルをオンにして、アプリケーションを有効にします。
Overview タブで Connection Details を見つけます。ステップ 3 で使用するために IDP Metadata URL をコピーします。
両方のメールマッピングを構成してください。NameID 形式を設定するだけでは、email 属性は設定されません。
PingOne アプリケーションを Zilliz Cloud にインポートする前に、そのアプリケーションを有効にしてください。無効なアプリケーションのメタデータ URL は 404 を返し、インポートが失敗する可能性があります。
ファイルを使用する場合は、Download Metadata をクリックしてメタデータ XML をダウンロードします。手動で構成する場合は、Connection Details から Single Signon Service をコピーし、Signing Certificate をダウンロードします。証明書形式として X509 PEM (.crt) を選択します。
PingOne アプリケーションの設定の詳細については、Adding an application および Editing an application - SAML を参照してください。
ステップ 3: Zilliz Cloud コンソールで IdP 設定を構成する
Zilliz Cloud の Configure Single Sign-On (SSO) ダイアログボックスに戻ります。Identity Provider Details カードで、次のいずれかの方法を使用します。
| 方法 | Zilliz Cloud で入力する内容 |
|---|---|
| Metadata URL/File: URL | PingOne からコピーした IDP Metadata URL を IDP Metadata URL に貼り付けます。 |
| Metadata URL/File: XML file | Upload file をクリックし、Download Metadata で取得した XML をアップロードします。 |
| Manual | PingOne の Single Signon Service URL を Single Signon Service に貼り付けます。PingOne の署名証明書を Signing Certificate に貼り付けるかアップロードします。 |
最も簡単に設定するには、メタデータ URL を使用します。メタデータをアップロードする場合は XML ファイルを選択し、ログイン URL と証明書を個別に指定する場合は Manual を使用します。
手動で構成する場合は、-----BEGIN CERTIFICATE----- と -----END CERTIFICATE----- を含む完全な PEM 証明書を含めてください。
Zilliz Cloud は、拡張子が .pem、.cer、または .cert の証明書のアップロードを受け付けます。PingOne が X509 PEM 証明書を .crt としてダウンロードする場合は、その内容を貼り付けるか、アップロード前に拡張子を .pem に変更してください。バイナリ証明書の名前を変更しても、PEM に変換されるわけではありません。
IdP の詳細を入力したら、Save をクリックします。SSO Configured Successfully ダイアログボックスが表示されたら、OK をクリックします。
組織の Single Sign-On (SSO) セクションで、SSO が有効になっていることを確認します。
構成を保存しても、ユーザーがサインインできることは確認されません。SSO 強制を有効にする前に、以下のタスクを完了してください。
設定後の作業
タスク 1: PingOne でユーザーアクセスを構成する
ユーザーと SSO ログインを共有する前に、アプリケーションにアクセスできるユーザーを確認します。
PingOne で Applications > Applications に移動し、Zilliz Cloud アプリケーションを開きます。
Access タブで、鉛筆アイコンをクリックします。
Group Membership Policy で、Zilliz Cloud にアクセスするグループを選択します。複数のグループを選択する場合は、適用したグループのいずれかに属する必要があるか、すべてに属する必要があるかを選択します。
Admin Only Access 設定を確認します。管理者以外のユーザーがアクセスする必要がある場合は、Must have admin role をオフのままにします。
Save をクリックし、テストユーザーが必要なグループに属していることを確認します。
グループが適用されていない場合、アプリケーションへのアクセスにグループメンバーシップは必要ありません。詳細については、PingOne の Application access control を参照してください。
タスク 2: SSO をテストしてプロジェクトへのアクセスを付与する
Zilliz Cloud コンソールで、組織の Settings ページに移動します。Single Sign-On (SSO) カードで Login URL をコピーし、プライベートブラウザーウィンドウで開きます。
テストユーザーとして PingOne で認証します。Zilliz Cloud に戻り、目的の組織にアクセスできることを確認します。
Organization Owner または Project Admin に、必要なプロジェクトへのアクセス権をユーザーに付与してもらいます。手順については、プラットフォームユーザーの管理 を参照してください。
ユーザーがプロジェクトを開き、割り当てられたロールで許可されている操作を実行できることを確認します。
新規ユーザーは、初めて SSO 経由でサインインしたときに作成されます。組織のメンバーシップだけでは、プロジェクトへのアクセスは自動的に付与されません。メールアドレスが一致する既存ユーザーは、そのロールと権限を保持します。
テストが成功したら、PingOne アプリケーションにアクセスできるユーザーに、組織の Zilliz Cloud SSO ログイン URL を共有します。
タスク 3:（任意）SSO 強制を有効にする
接続が構成され、想定したユーザーが正常にサインインできるようになったら、SSO 強制 を有効にして、免除対象外の組織メンバーに SSO を必須にすることができます。
SSO 強制を有効にすると、免除対象外のメンバーのアクティブなセッションが無効になり、SSO 以外のログイン方法がブロックされます。有効にする前に、Organization Owner の免除ルールとその他の影響を確認してください。
手順と免除ルールについては、組織で SSO を強制する を参照してください。
FAQ
メタデータ URL のインポートが失敗するのはなぜですか？
まず、PingOne アプリケーションが有効になっていることを確認します。無効なアプリケーションでは、メタデータ URL が 404 を返すことがあります。そのアプリケーションの Overview > Connection Details から IDP Metadata URL をもう一度コピーして、再試行します。URL のインポートが依然として失敗する場合は、メタデータ XML をダウンロードし、ファイルのアップロードオプションを使用します。
ユーザーがサインインできない場合は何を確認すればよいですか？
-
PingOne アプリケーションと Zilliz Cloud SSO の両方が有効になっていることを確認します。
-
PingOne の ACS URLs と Entity ID を、対象の Zilliz Cloud 組織に表示されている値と比較します。
-
Subject NameID Format が
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddressであり、saml_subjectとemailの両方が Email Address にマッピングされていることを確認します。 -
PingOne ユーザーにメールアドレスがあることを確認します。既存の Zilliz Cloud アカウントの場合は、メールアドレスが一致している必要があります。
-
アプリケーションの Access 設定と、ユーザーのグループメンバーシップを確認します。
-
手動で構成する場合は、URL が Single Signon Service であり、完全な署名証明書が同じ PingOne アプリケーションに属していることを確認します。
ユーザーがサインインできてもプロジェクトにアクセスできないのはなぜですか？
SSO 認証とプロジェクトの承認は別々のものです。プラットフォームユーザーの管理 で説明されているとおり、ユーザーに適切なプロジェクトロールを付与してください。
ユーザーがすでに Zilliz Cloud アカウントを持っている場合はどうなりますか？
Zilliz Cloud はメールアドレスでユーザーを照合します。そのメールアドレスでユーザーがすでに組織に属している場合は、既存のロールと権限が保持されます。
同じ組織に複数の SSO プロバイダーを構成できますか？
各 Zilliz Cloud 組織で同時にサポートできるのは、1 つの有効な SAML SSO 構成 のみです。