[IDMC] ID プロバイダーとして GMO トラスト・ログインを使用した SAML シングルサインオンの構成

# はじめに

Intelligent Data Management Cloud (IDMC) では、Security Assertion Markup Language (SAML) 2.0 ベースのシングルサインオン (SSO) を構成することで、ユーザーが IDMC のログイン情報を入力せずに組織にアクセスできるようにすることができます。
本記事では、ID プロバイダーとして GMO トラスト・ログイン https://trustlogin.com/ を使用した SAML SSO の構成例を説明します。

- 本記事は、2025 年 2 月時点の情報を元に作成しました。各サービスのアップデートによって画面や設定内容が変わる可能性があります。
- 本記事では SAML の解説は行いません。必要に応じて、SAML の技術情報や仕様を参照してください。
- 本記事では、GMO トラスト・ログインの無料プランを使用します。
- 本記事では、シンプルな構成を用いて SAML SSO ログインができることまでを確認します。IDMC の SAML ユーザーを自動プロビジョニングで作成します。
- 本手順における IDMC の構成は、管理ロールを持つユーザーで行ってください。

# GMO トラスト・ログインとは

GMO グローバルサイン社が提供するクラウドサービスです。
クラウドアプリケーションや社内システムへシングルサインオンが実現できます。
ID・パスワードを記憶するフォームベース認証、ID・パスワードを使わない SAML 認証、Basic 認証の 3 種類のシングルサインオンが利用できます。
初期登録は無料で、基本的な機能のみであれば無料で利用できます。

GMO トラスト・ログイン サービスの特徴
https://trustlogin.com/service/

# 前提構成

GMO トラスト・ログインが SAML 認証の ID プロバイダー (Identity Provider) (以降 IdP) となり、ユーザー名・パスワードを使用したユーザー認証を行います。
IDMC が SAML 認証のサービスプロバイダー (Service Provider) (以降 SP) となり、ユーザーは IdP で認証されたユーザー情報を用いて SP にアクセスします。
名前 ID (Name ID) にはメールアドレスを使用します。名前 ID は、認証ユーザーを識別する情報です。

# 関連ドキュメント

Informatica Documentation 日本語版 -> Administrator -> ユーザー管理 -> SAMLのシングルサインオン
https://docs.informatica.com/ja_jp/cloud-common-services/administrator/current-version/_user-administration_administrator_current-version_ditamap/GUID-B666A3EF-87F9-42F9-BB4A-E3E3AC676727.html

# 手順

## GMO トラスト・ログインの登録

GMO トラスト・ログインのトップページ https://trustlogin.com/ にアクセスし、画面右上の「無料登録」をクリックします。
![gmo01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/3210eec4-0105-4fef-a02c-f953f37522d9.png)

必要な情報を入力し、利用約款やプライバシーポリシーを確認、チェックを入れて登録を完了します。
![gmo02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/1dd80e56-e02b-4157-8eff-d094da059047.png)
![gmo03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/2ca4b7d3-874e-46e2-93b7-50189ac93648.png)
![gmo04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/8733fe5b-1c89-4cd2-be93-fbfc7495125a.png)

登録したメールアドレスに「仮登録のお知らせ」のメールが届きます。
メールの「本登録URL」にアクセスすることで登録が完了します。

GMO トラスト・ログインのトップページ https://trustlogin.com/ から画面右上の「ログイン」をクリックするか、https://portal.trustlogin.com/users/sign_in にアクセスするとログイン画面が開きます。登録した企業 ID、メールアドレスおよびパスワードでログインできることを確認します。
![gmo05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/c6c644b2-a9f0-4672-aa71-4f8284db99a3.png)

チュートリアルが完了すると、次のような画面が開きます。
![gmo07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/3a20e001-81bc-456e-8e74-99a5c71347da.png)

## IDMC から SP メタデータのダウンロード

IdP に登録する SP メタデータをダウンロードします。
IDMC にログインし、「管理者」を選択します。
![gmo09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/0cb34598-7fc5-4435-88a2-745f65686008.png)

「SAMLセットアップ」タブを開き、画面右上の「サービスプロバイダメタデータのダウンロード」をクリックします。iics_saml_sp_metadata.xml がダウンロードされます。
![gmo10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/35eeacb0-9b16-4bc7-9d32-f9d0a586bcee.png)

同じ画面で後で IdP の登録等を行いますが、一旦はここまでです。IDMC はログアウトして画面を閉じても構いません。

## GMO トラスト・ログインで IdP メタデータのダウンロードと SAML アプリの登録

GMO トラスト・ログインにログインし、「管理」画面を開きます。
![gmo08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/07e280b8-2810-4c82-a18b-57592afdd986.png)

「アプリ」タブを開き、「SAMLアプリ登録」をクリックします。
![gmo11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/e1dcd082-ec1c-435f-88ff-25acc9819613.png)

「アプリケーション名」に適当な名前を入れます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/f01ce9a9-389c-4f3f-821e-a737c3ab2c9e.png)

「IDプロバイダーの情報」で、「メタデータをダウンロード」をクリックして IdP のメタデータをダウンロードします。<企業名-<数字>-metadata.xml がダウンロードされます。これは後で使用します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/642a4fd7-16ec-4057-9876-b3cdbbfd30b9.png)

先にダウンロードした SP メタデータファイル iics_saml_sp_metadata.xml をテキストエディタで開き、メタデータファイルに記載の値を入力していきます。

「エンティティID」に、EntityDescriptor 要素の entityID 属性の値を入力します。
```xml:サンプルの iics_saml_sp_metadata.xml より抜粋
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" 
entityID="https://XXXXXXXXXXXXXXXXXXXXXX.dmp-us.informaticacloud.com">
```

「ネームIDフォーマット」で「emailAddress」を選択します。

「サービスへのACS URL」に、AssertionConsumerService 要素の Location 属性の値を入力します。
```xml:サンプルの iics_saml_sp_metadata.xml より抜粋
<md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" 
Location="https://dmp-us.informaticacloud.com/identity-service/acs/XXXXXXXXXXXXXXXXXXXXXX" 
index="0" isDefault="true"/>
```

「ネームID用値」は、「メンバー」「email」のままにします。

次のような画面になります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/bf8b7a34-28ce-4992-9c51-1eb054dbd13e.png)

画面上部の「登録」をクリックして編集を終了します。
![gmo17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/57600f4a-6db7-44d6-9149-ce1a68270d15.png)

SAML アプリが登録されました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/ad4d6a12-82f9-4357-8ffc-aee811a9b18a.png)

「メンバー追加」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/1a4ab17f-9764-4810-a7ef-6b930dbed5c9.png)

IDMC に SAML ログインする IdP のユーザーを選択して「登録」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/5b326888-9b15-47f7-ac17-4465f06cfb5a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/487fcfb0-f401-4ae6-8720-db54fda46bb6.png)

## IDMC での IdP 情報の登録

IDMC -> 「管理者」 -> 「SAMLセットアップ」に戻り、「SSO設定」で「ファイルの選択」をクリックします。先にダウンロードした IdP メタデータファイル <企業名-<数字>-metadata.xml を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/6c632c79-ae35-4abe-b4ee-d01c4a2087ea.png)

メタデータの情報に基づき、「IDプロバイダ設定」のフィールドに値が自動的に設定されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/93f423d1-4030-494b-95c7-b66c9b90e370.png)

「SSO設定」で、「ユーザーの自動プロビジョニングの無効化」にチェックが<INS>入っていない</INS>ことを確認します。自動プロビジョニングで、IDMC に SAML ユーザーを自動で作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/0b2a5016-142f-4765-bd37-bb1d74b89563.png)

「サービスプロバイダ設定」で、「名前識別子の値は、ユーザーの電子メールアドレスを表します」にチェックが入っていることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/a6982ecb-502a-42e7-9ded-4343709b24da.png)

画面右上の「保存」をクリックします。
![gmo25.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/878608b5-4ff5-43b5-af5f-947d9724cb80.png)

## SAML SSO ログインの確認

ブラウザを新規起動し、IDMC にアクセスします。「シングルサインオン(SSO)を使用してログイン」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/ae387f4e-b983-489b-a93e-6ceab846dcc6.png)

「代わりに組織IDを使用してログイン」をクリックして、組織 ID を入力して「続行」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/ea018107-a348-4dee-b9e9-01ee62aca0e9.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/7fc1e7cd-0c60-4bb0-bb3d-252e35239bb1.png)

GMO トラスト・ログインのログイン画面に移動します。メールアドレスおよびパスワードを入力してログインします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/81ad26bb-dac3-4536-a676-c76d103e4526.png)

IDMC にログインできました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/53d58ba8-4bd7-416b-9e6e-ef59159fff49.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/45f1194c-2b4e-4055-9085-240f4e52aed4.png)

「管理者」 -> 「ユーザー」で、「認証」が「IDPとSAML」であるユーザーが作成されていることが確認できます。ここでは自動プロビジョニングで作成するユーザーの追加設定を行っていないため、名や姓などが空欄になっています。必要に応じて値を設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/e093dede-9aba-4bf6-b03a-0e65bf34be1c.png)

:::note
「SAMLセットアップ」の「Informatica CloudプラットフォームSSO」の URL を使用することで、組織 ID の入力無しに直接 IdP のログイン画面にリダイレクトすることができます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3074560/fde5ea93-5925-42d5-86ee-c289d50e92cb.png)
:::

# 最後に

本記事では、ほぼ必要最低限の構成で、GMO トラスト・ログインを利用した IDMC の SAML SSO ログインをセットアップする流れを説明しました。自動プロビジョニングや署名証明書の暗号化など、追加の構成はご要件に応じて設定してください。

SAML SSO ログインで問題が発生した場合は、SAML-tracer などのツールで SAML メッセージを確認すると原因調査に役立ちます。

SAML-tracer 参考リンク
https://github.com/SimpleSAMLphp/SAML-tracer
https://chromewebstore.google.com/detail/saml-tracer/mpdajninpobndbfcldcmbpnnbhibjmch