Garoon
SSOとAD連携 説明資料
サイボウズ株式会社

Copyright © Cybozu

1

本資料について
l 本⽂書の取り扱いについて
この⽂書内における掲載情報の⼆次利⽤においては、ご⾃⾝の判断と責任の下に⾏ってください。サ
イボウズ株式会社は、それらの情報をご利⽤になることにより発⽣したあらゆる商業的損害・損失を含め⼀切の直接的、間接的、特殊的、付随的または結果的損失、損害について責任を負いません。本
⽂書を⼀部引⽤して作成した⽂書には、次のような当社の著作権表⽰⽂を記載してください。「この⽂書は、サイボウズ株式会社による『GaroonSSOとAD連携 説明資料』を⼀部引⽤しています。」

l 商標について記載された商品名、各製品名は各社の登録商標または商標です。また、当社製品には他社の著作物が含まれていることがあります。個別の商標･著作物に関する注記については、弊社のWebサイトを参照してください。
https://cybozu.co.jp/logotypes/other-trademark/

Copyright © Cybozu

2

⽬次
本資料ではクラウド版Garoonとパッケージ版GaroonでSSOに利⽤できる認証⽅式、およびAD連携を⾏う⽅法をご説明します。
1. クラウド版GaroonのSSOとAD連携
i.

SSOで利⽤できる認証⽅式

ii. AD連携

2. パッケージ版GaroonのSSOとAD連携
i.

SSOで利⽤できる認証⽅式

ii. AD連携

SSO ：シングルサインオン
AD：Active Directory連携※Active DirectoryはMicrosoftが提供するディレクトリサービスです

Copyright © Cybozu

3

クラウド版

クラウド版 Garoon

SSOとAD連携

Copyright © Cybozu

4

クラウド版Garoon のSSOとAD連携

⽬次

クラウド版

1. SSOで利⽤できる認証⽅式i.

SAML認証2. AD連携の⽅法i.

ADによる認証

ii. ADによるユーザー連携

Copyright © Cybozu

5

クラウド版 Garoon

SSOで利⽤できる認証⽅式

Copyright © Cybozu

6クラウド版

SSOで利⽤できる認証⽅式
クラウド版Garoonで他システムとSSOを⾏う場合はSAML認証を利⽤します。
l SAML認証
異なるセキュリティドメイン間で認証情報を連携するためのXMLベースの標準仕様です。

詳しくは以下のページをご覧ください
https://jp.cybozu.help/general/ja/admin/list_saml.html
Copyright © Cybozu

7

クラウド版 Garoon

AD連携の⽅法

Copyright © Cybozu

8クラウド版

AD連携
AD連携については「認証」と「ユーザー連携」にわけて検討する必要があります。
l ADによる認証
ADに登録されているユーザー情報を利⽤して認証を⾏うことです。
以下の2つの⽅法があります。
• ADFSを利⽤する• AzureADを利⽤する

l ADによるユーザー連携
ADに登録されているユーザー情報をGaroonに登録することです。
以下の3つの⽅法があります• 連携ソリューションを利⽤する• Azure Functionsを利⽤する• サイボウズが提供するサンプルツールを利⽤する

Copyright © Cybozu

9ADによる認証

クラウド版−ADフェデレーションサービス(ADFS)を利⽤−

社内のADからインターネットを経由して認証を⾏い、オンプレミスだけではなく クラウドサービスも含めたSSOを実現する⽅式です
クラウドサービス（インターネット）

Microsoft 365
クラウドサービスへ
SSO可能

トークンのやりとり

インターネットに接続できる環境

お客様のドメイン
ADFSサーバー
認証状態の確認
トークンの発⾏

Active Directory サーバー

詳しくは以下のページをご覧ください
https://developer.cybozu.io/hc/ja/articles/360038984672
Copyright © Cybozu

1010

ADによる認証

クラウド版−AzureADを利⽤−

IDやアクセスを管理するクラウド型のソリューション、AzureADを利⽤してSSOを実現する⽅式です
クラウドサービス（インターネット）

Microsoft 365
クラウドサービスへ
SSO可能

認証

MicrosoftAzure

お客様のドメイン認証
Active Directory サーバー

社内サーバー

詳しくは以下のページをご覧ください
https://developer.cybozu.io/hc/ja/articles/204376450
Copyright © Cybozu1111

ADによるユーザー連携

クラウド版−連携ソリューションを利⽤−

オフィシャルパートナーから、ユーザー連携の連携ソリューションが提供されています。

Microsoft 365

クラウドサービス（インターネット）

他システム

ユーザー情報連携

連携ソリューション

お客様のドメイン
Active Directoryサーバー

クラウド版 GaroonとのSSOやユーザー連携に利⽤できる連携ソリューションは以下をご覧ください
https://www.cybozu.com/jp/service/solution/
Copyright © Cybozu1212

ADによるユーザー連携

クラウド版− Azure Functionsを利⽤する−

Azure Functions を使って、定期的に Azure AD から cybozu.com（サイボウズのクラウドサービス）へ⾃動でユーザー情報の登録を⾏う⽅法です。詳細はcybozu developer networkでご紹介しています。

サイボウズのクラウドサービス（cybozu.com）

詳しくは以下のページをご覧ください
https://developer.cybozu.io/hc/ja/articles/360040705331
Copyright © Cybozu1313

ADによるユーザー連携

クラウド版−サンプルツールを利⽤−

サンプルツールを利⽤して、AD のユーザー情報を cybozu.com（サイボウズのクラウドサービス） に登録する⽅法です。詳細はcybozu developer networkでご紹介しています。
サイボウズのクラウドサービス（cybozu.com）

ユーザー情報連携

サンプルツール
実⾏端末

お客様のドメイン
Active Directoryサーバー

詳しくは以下のページをご覧ください
https://developer.cybozu.io/hc/ja/articles/360001276943
Copyright © Cybozu1414パッケージ版 Garoon

SSOとAD連携

Copyright © Cybozu

1515パッケージ版Garoon SSOとAD連携

⽬次

パッケージ版

1. SSOで利⽤できる認証⽅式i.

標準認証（必要な情報を POST させる）

ii. 環境変数認証（「統合 Windows 認証」）
iii. Cookieを利⽤した認証(オープン統合認証 ver.2)

2. 統合Windows認証3. オープン統合認証ver2
4. AD連携の⽅法i.

ADによる認証

ii. 複数認証
iii. ADによるユーザー連携

Copyright © Cybozu

1616

パッケージ版 Garoon

SSOで利⽤できる認証⽅式

Copyright © Cybozu

1717パッケージ版

SSOで利⽤できる認証⽅式
パッケージ版Garoonで利⽤できる認証⽅式には以下の3つがあります。

l 標準認証（必要な情報を POST させる）
l 統合 Windows 認証（環境変数認証）
l オープン統合認証 ver.2（Cookieを利⽤した認証)

標準認証は、Garoonのユーザー情報を使⽤して認証する⽅法です。「統合Windows認証」と「オープン統合認証 ver.2」については次ページ以降で詳しくご説明します。

Copyright © Cybozu

1818パッケージ版 Garoon

統合 Windows 認証

Copyright © Cybozu

1919

パッケージ版

統合 Windows 認証「統合 Windows 認証」とは、マイクロソフト社による認証形式で、ドメインの認証情報を利⽤し、マイクロソフト社製 Webサーバーのインターネットインフォメーションサービス（以下IIS)とブラウザを認証させるものです。これを利⽤すると、Windows 端末にログインするだけで、設定されているWebサービスにシングルサインオンを⾏うことが可能です。

統合 Windows 認証とGaroonが標準で搭載する環境変数認証を組み合わせることで、「ユーザーがWindows 端末にログインするとGaroonに⾃動的にログインする」というような運⽤が可能です。
詳細・構築についてはサイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/

Copyright © Cybozu

2020

「統合 Windows 認証」の設定⽅法と利⽤例

パッケージ版

システム管理画⾯(基本システム)」-「認証」-「ログイン認証」より「ログイン認証を追加する」をクリックし、「環境変数認証」をログイン認証形式に選択して、以下の設定を追加します。

例えば以下のような運⽤が可能です。
l Windows 端末のスタートアップ機能を利⽤し、Windows 端末に⼀度ログイン後、⾃動的にGaroonのログイン後の画⾯を表⽰させる。
l 統合 Windows 認証を利⽤可能な Web サービスへSSOを⾏う。Garoonのリンク集にリンクを貼るだけで、特別な仕組みを導⼊しなくともリンク先のサービスが利⽤できる。

Copyright © Cybozu

2121

パッケージ版 Garoon

オープン統合認証ver.2

Copyright © Cybozu

2222

パッケージ版

オープン統合認証ver.2「オープン統合認証 ver2」とはGaroon独⾃のドメインCookie (※) による認証⽅式です。他のシステムで「オープン統合認証 ver.2」形式の Cookie を発⾏または認証することによって、サイボウズ製品と他のシステムの間でシングルサインオンが可能になります。「オープン統合認証 ver.2」を使⽤するにあたっては、以下の条件を満たしている必要があります。
l 「Garoon」および他システムが動作するサーバーが互いにFQDN（完全修飾ドメイン名）で名前解決できる
l 「Garoon」および他システムが動作するサーバーが全て同⼀のドメインに存在する
l 「Garoon」および他システムのユーザーのログイン名が同⼀である「オープン統合認証 ver.2」を使⽤してGaroonと他システムと認証情報を連携する場合は、Garoonをシングルサインオンのマスターとする形態と、スレーブとする形態があります。また、両⽅の形態を実装することによって、マルチマスターでシングルサインオンを実現することもできます。
詳細・構築についてはサイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/

Copyright © Cybozu

23
23

「オープン統合認証ver.2」を利⽤したSSO（マスター）

パッケージ版「オープン統合認証 ver.2」を使⽤してGaroonと他システムと認証情報を連携する場合は、Garoonをシングルサインオンのマスターとする形態と、スレーブとする形態があります。以下はGaroonをマスターとした場合です。

■必要な作業※
・「Garoon」に「オープン統合認証 ver.2」を設定する
・「Garoon」と連携するシステムに、「オープン統合認証 ver.2」形式のCookieで認証する機能を実装する※詳細については、サイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/
Copyright © Cybozu

24
24

「オープン統合認証ver.2」を利⽤したSSO（スレーブ）

パッケージ版「オープン統合認証 ver.2」を使⽤してGaroonと他システムと認証情報を連携する場合は、Garoonをシングルサインオンのマスターとする形態と、スレーブとする形態があります。以下はGaroonをスレーブとした場合です。

■必要な作業※
・「Garoon」に「オープン統合認証 ver.2」を設定する・「Garoon」と連携するシステムに、「オープン統合認証 ver.2」形式のCookieで認証する機能を実装する※詳細については、サイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/
Copyright © Cybozu

25
25

パッケージ版 Garoon

AD連携の⽅法

Copyright © Cybozu

26
26

パッケージ版

AD連携
AD連携については「認証」と「ユーザー連携」にわけて検討する必要があります。

l ADによる認証
ADに登録されているユーザー情報を利⽤して認証を⾏うことです。
以下の⽅法で実現できます。
• Garoonのシステム管理でADを認証⽤のサーバーとして登録する

l ADによるユーザー連携
ADに登録されているユーザー情報をGaroonに登録することです。
以下の2つの⽅法があります• サイボウズが提供する「ガルーン 2 連携API」を利⽤する• 連携ソリューションを利⽤する

Copyright © Cybozu

2727

パッケージ版

ADによる認証

GaroonはLDAPv3 の規格に対応しており、認証情報を保持するデータベースとして任意のLDAP サーバーを使⽤することができます。 LDAPサーバーとしてADを利⽤した場合、Garoonの利⽤者パスワードをADにて管理することができます。

上記設定を⾏う場合、Garoonのユーザー情報とADのログイン名を同じにして登録する必要があります。
ログイン名で同⼀ユーザーかを判断するためです。
詳細・構築についてはサイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/
Copyright © Cybozu

2828

パッケージ版

ADによる認証 −複数認証−

Garoonの標準認証とLDAP認証（複数可）を組み合わせて利⽤することもできます。たとえば、派遣社員はGaroonの標準認証を利⽤する⼀⽅、正社員はLDAP認証を利⽤してADと連携する、というような運⽤が可能です。
構成例︓東京の社員は東京AD、上海の社員は上海AD、派遣社員はGaroonの標準認証を利⽤する場合

LDAP認証社員( 東京)社員(東京)のAD
LDAP認証社員( 上海)

標準認証社員(上海)のAD
派遣社員

詳細・構築についてはサイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/
Copyright © Cybozu

2929

ADによるユーザー連携−「ガルーン 2 連携API」を利⽤−パッケージ版

サイボウズが提供する｢ガルーン 2 連携API｣を利⽤することでADで管理するユーザー情報をGaroonに⼀括登録が可能です。

詳細・構築についてはサイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/
Copyright © Cybozu

3030

ADによるユーザー連携パッケージ版−連携ソリューションを利⽤−

オフィシャルパートナーが提供するID統合管理製品を利⽤してユーザー連携を⾏うこともできます。連携ソリューションを利⽤することでGaroon以外の他システムも含めたユーザー情報を⼀元管理が容易になります。
連携ソリューション

他システム

ユーザー情報連携

ユーザー情報連携

Active Directory

Garoon 連携ソリューションの詳細は以下のページをご覧ください。
https://garoon.cybozu.co.jp/function/expand/Copyright © Cybozu

3131

付録：
「統合 Windows 認証」「オープン統合認証 ver.2」の応⽤

Copyright © Cybozu

32
32

パッケージ版

付録「統合 Windows 認証」「オープン統合認証 ver.2」を利⽤した認証の応⽤例をご紹介します。
1. Linux上のGaroonで「統合 Windows 認証」を利⽤
2. Garoonを経由して「統合 Windows 認証」を利⽤

Copyright © Cybozu

33
33

Linux上のGaroonで「統合 Windows 認証」を利⽤パッケージ版■概要
Linux OS では IISが対応していないため、Garoonを Linux OS で運⽤する場合は通常「統合 Windows 認証」が利⽤できません。 しかし「オープン統合認証 ver.2」と「統合 Windows 認証」を組み合わせることで、Linux 上で運⽤しているGaroonに「統合 Windows 認証」でのシームレスなログインが実現できます。
クライアント PC がまず認証⽤の IIS にアクセスし「オープン統合認証 ver.2」を利⽤して、Cookie を発⾏します※。その Cookie を利⽤してGaroonにシングルサインオンを⾏います。

※Cookie発⾏プログラムの詳細については、サイボウズ オフィシャル パートナーへご相談ください。
https://partner.cybozu.co.jp/

Copyright © Cybozu

3434

Linux上のGaroonで「統合 Windows 認証」を利⽤パッケージ版■設定画⾯「システム管理画⾯(基本システム)」-「認証」-「セッション認証」より「セッション認証を追加する」をクリックします。「オープン統合認証 ver2」をセッション認証形式に選択して、以下の設定を追加します。

Copyright © Cybozu

3535

Garoonを経由して「統合 Windows 認証」を利⽤パッケージ版「統合 Windows 認証」を利⽤する場合、スレーブ側のシステムは統合 Windows 認証に対応している必要があります。統合 Windows 認証に対応していないシステムがある場合、Garoonを経由させることで、擬似的に統合Windows 認証を利⽤したシングルサインオンの仕組みを構築できます。
まず、「統合 Windows 認証」を利⽤してGaroonにログインします。その後Garoonの標準機能である「オープン統合認証 ver.2」もしくは「シングルサインオン」機能を利⽤します。 Garoonを経由して「統合 Windows 認証」が利⽤できない他のWebシステムへSSOが可能になります。

Copyright © Cybozu

3636

END

Copyright © Cybozu

3737