SAML 認証マニュアル

Copyright ( C ) NI Consulting Co., Ltd. All rights reserved.

目次
1.はじめに ............................................................................................................................... 2
1-1.SAML 認証の概要 ..............................................................................................................................................2
1-2.設定の流れ .......................................................................................................................................................7

2.セットアップ手順（IdP:AD FS の場合） ...................................................................................... 9
2-1.システム構成 ....................................................................................................................................................92-2.事前準備..........................................................................................................................................................92-3.NI 製品の設定 ................................................................................................................................................. 16
2-4.IdP の設定(Windows Server 2012 R2) ............................................................................................................... 18
2-5.IdP の設定(Windows Server 2016－ADFS) ......................................................................................................... 32
2-6.IdP の設定(Windows Server 2019) ................................................................................................................... 48
2-7.仮名 ID 取得 ................................................................................................................................................... 49
2-8.動作確認........................................................................................................................................................ 50
2-9.トラブルシューティング ................................................................................................................................... 51
2-10.運用時の注意 ................................................................................................................................................ 55

3.セットアップ手順（IdP: Microsoft Entra ID の場合） ...................................................................56
3-1.システム構成 .................................................................................................................................................. 56
3-2.IdP の設定 ..................................................................................................................................................... 56
3-3.NI 製品の設定 ................................................................................................................................................. 63
3-4.仮名 ID 取得 ................................................................................................................................................... 67
3-5.動作確認........................................................................................................................................................ 68
3-6.トラブルシューティング ................................................................................................................................... 69
3-7.運用時の注意 .................................................................................................................................................. 70

4.トラブルシューティング ..........................................................................................................71
4-1.シングルサインオンができない場合の対応方法 ...................................................................................................... 71
4-2.SAML 認証のログを確認する .............................................................................................................................. 72
4-3.SAML 認証エラーの原因を調べる ........................................................................................................................ 73
4-4.IdP に接続不可の端末から NI 製品にアクセスする .................................................................................................. 74

5.制限事項 ..............................................................................................................................75
5-1.技術的・運用的制限 ......................................................................................................................................... 75
5-2.対応製品........................................................................................................................................................ 75

1

SAML 認証マニュアル

1.はじめに
SAML 認証とは、NI 製品へのログインの際、SAML のプロトコルを利用し、シングルサインオン（自動ログイン）を可能とするオプション製品です。

注意

・ご利用いただくにあたり、制限事項があります。
「5.制限事項」を参照してください。

1-1.SAML 認証の概要
1-1-1.SAML とは
SAML とは、認証、認可、ユーザ属性情報などを XML で送受信するための仕様です。
SAML 認証では、SAML2.0 の仕様に基づいたシングルサインオン処理を行います。
社内ネットワーク

Service Provider

Identity Provider

Service Provider

Identity
Active Directory
Federation Services

ユー

他社 SAML 対応製品
シングルサインオン

Active Directory
Domain Services

ザー
社内で認証

具体的には、SAML 認証の導入により以下のようなことが可能となります。
・社内の Active Directory ドメインに参加している PC から、NI 製品へのシングルサインオン（※IdP に AD FS を利用し、認証方法に「Windows 認証」を利用している場合）
・他社 SAML 対応製品（Google Apps、Microsoft 365 等）に同様の方法でシングルサインオン

・SAML 認証は Active Directory と NI 製品のユーザー/グループマスターを注意連携させるものではありません。
・モバイル端末を利用する場合、AD FS プロキシサーバー等を利用し、IdP が外部からアクセス可能である必要があります。

2

SAML 認証マニュアル

1-1-2.SAML の用語解説
SAML 認証で用いられる特有の用語について、解説します。
用語

詳細

Identity Provider

認証・認可の情報を提供する役割を担います。

（以下、IdP）

IdP で認証されたユーザーは SP のサービスにアクセス可能となります。
例：AD FS、Microsoft Entra ID

Service Provider

シングルサインオン対象の Web アプリケーションを指します。

（以下、SP）

IdP が発行した認証・認可の情報に応じてユーザーにサービスを提供します。
例：NI 製品、Google Apps、Microsoft 365

バインディング

SAML メッセージの送信方法を規定したもの。

（Binding）

例：HTTP Redirect Binding、HTTP POST Binding

Active Directory ドメイン

Microsoft 社によって開発されたディレクトリ・サービス・システム。

サービス（以下、AD）

ユーザーとコンピュータリソースを管理するコンポーネント群の総称です。

Active Directory フェデレ

Windows Server の機能です。

ーション サービス

AD のユーザー情報を使用した認証が可能です。

（以下、AD FS）

SAML 認証では IdP に相当します。

Microsoft Entra ID

Microsoft 社が提供するクラウドベースの ID およびアクセス管理サービスです。
フェデレーションサーバーの機能も有します。
SAML 認証では IdP に相当します。

3

SAML 認証マニュアル

1-1-3.認証方法について
以下 2 通りの認証方法が利用可能です。

Po i n t

・認証方法は設定画面で切り替え可能です。

パスワード認証
IdP のログイン画面にて、ID/パスワードを入力することで認証されます。

Windows 認証
ドメインにログイン済みの Windows PC にて、Microsoft Edge、または Google Chrome を使用している場合、自動で認証されます。
それ以外の場合、認証ダイアログが表示され、ID/パスワードを入力することで認証されます。
Windows 認証を利用する場合、コントロールパネルから下記の設定を行う必要があります。
1. [インターネット オプション] > [セキュリティ]に移動します。
2.「ローカルイントラネット」が選択された状態で、「レベルのカスタマイズ」ボタンをクリックします。
3.「ユーザー認証」>「ログオン」で「イントラネットゾーンでのみ自動的にログオンする」を選択し、「OK」ボタンをクリックします。

注意

4.「ローカルイントラネット」が選択された状態で、「サイト」ボタンをクリックします。
5.「詳細設定」ボタンをクリックします。
6.「この Web サイトをゾーンに追加する」部分に「https://<IdP サーバーのアドレス>」を入力し、「追加」ボタンをクリックします。
※<IdP サーバーのアドレス>は、システム管理者にお問い合わせください。
7. ご使用のブラウザを再起動します。

4

SAML 認証マニュアル

「ローカルイントラネット」ではなく「インターネット」、または「信頼済みサイト」として設定される場合は、上記の「3.」で「現在のユーザー名とパスワードで自動的にログオンする」を選択
してください。

5

SAML 認証マニュアル

1-1-4.ユーザーアカウント連携方法について
SAML 認証では、IdP と NI 製品間でユーザーアカウントの紐付けが必要です。
ユーザーアカウントの紐付けには、
以下の 2 通りの方法が利用可能です。

Po i n t

・ユーザーアカウント連携方法は、設定画面の「仮名」の項目で切り替え可能です。

仮名を利用する方法
IdP が発行するランダム文字列（仮名 ID）を用いて認証を行います。
・各ユーザーは初回ログイン時に、仮名取得の作業を行う必要があります。仮名取得後、次回のログイン時
からシングルサインオンが可能となります。
・NI 製品の社員ログイン ID と、IdP のユーザーID を一致させておく必要はありません。
社員ログイン ID を利用する方法（仮名を利用しない方法）
NI 製品の社員ログイン ID と IdP のユーザーID をシステムが自動で紐付け認証を行います。
・各ユーザーは初回ログイン時からシングルサインオンが可能となります。
・NI 製品の社員ログイン ID と、IdP のユーザーID を一致させておく必要があります。

1-1-5.IdP による動作の違い
基本的には SAML2.0 に対応した IdP 製品であれば認証可能ですが、IdP 製品により一部機能が制限される場合があります。

【IdP のシングルサインオン機能対応表】
機能名

AD FS

Microsoft Entra ID

認証方法：パスワード認証○○

認証方法：Windows 認証

○

×

仮名

○

○

補足

・IdP の動作確認は AD FS、Microsoft Entra ID でのみ行っております。
動作確認済みシステム構成は、下記 2.～4.のセットアップ手順をご確認ください。

6

SAML 認証マニュアル

1-2.設定の流れ
1-2-1.事前準備設定を行う前に以下の作業が必要です。
・NI 製品へ社員情報の登録
・ディレクトリサービス（Active Directory、Microsoft Entra ID）動作環境の構築
・ディレクトリサービス（Active Directory、Microsoft Entra ID）へユーザーアカウントの登録
1-2-2.SSL(https)での接続設定を行う
SAML 認証を利用する場合、SSL(https)での接続が必須となります。
システム設定画面の「セキュリティ ＞ 全体接続制限」より、「SSL(https) での接続のみ許可する」にチェックして、「保存する」をクリックします。
※携帯版は SAML 認証に非対応のため、http 接続も可能です。

7

SAML 認証マニュアル

1-2-3.設定ステップ
SAML 認証によるシングルサインオンを利用するには、以下の設定ステップを実施します。

Po i n t

・IdP と SP 間でメタデータを交換し、信頼関係を構築する必要があります。

Step１
NI 製品の設定

NI 製品のシステム設定を行い、SP メタデータをダウンロードします。
IdP のメタデータを NI 製品にアップロードします。

Step２
IdP の設定

SP メタデータをアップロードし、IdP の設定を行います。

仮名 ID 取得

各ユーザーが初回ログイン後に、オプション設定画面より、仮名 ID を取得

Step3（※仮名を利用する場合のみ）

します。

Step4
動作確認

シングルサインオンが可能であることを確認します。

8

SAML 認証マニュアル

2.セットアップ手順（IdP:AD FS の場合）
2-1.システム構成
以下の構成でセットアップを行います。
・認証サーバーディレクトリサービス

AD

IdP

AD FS

OS

Windows Server 2012 R2 Standard
Windows Server 2016 Standard
Windows Server 2019 Standard（※基本的に上記すべての OS で設定方法は同様であるが「IdP の設定」のみ、OS の種類によって画面が異なるため、
2-4～2-6 と分けて記載します。
）

IdP サーバーのアドレス

adfs.ni-saml.com（※設定手順内の IdP サーバーのアドレスは、実際に使用するものに置き換えてください。
）※AD と AD FS は、同一のサーバー上で稼働するものとします。
※AD、AD FS のインストール手順の詳細は、Microsoft 社の情報をご確認ください。

2-2.事前準備
2-2-1.証明書の準備
第三者認証機関が承認した、認証に使用する AD FS のサーバー証明書を.pfx 形式でエクスポートします。
証明書を取得する一般的な方法には、OpenSSL を使用する方法、Certreq.exe を使用する方法、IIS を使用する方法の 3 種類があります。（※詳細は認証局の設定手順にしたがってください。）
OpenSSL を使用する方法は、以下 Microsoft 社の情報もご確認ください。
https://docs.microsoft.com/ja-jp/azure/app-service/configure-ssl-certificate#export-certificate-topfx

9

SAML 認証マニュアル

2-2-2.AD FS の構成
1.サーバーマネージャーより「このサーバーにフェデレーションサービスを構成します。」をクリックします。

2.「フェデレーションサーバーファームに最初のフェデレーションサーバーを作成します」を選択し、「次へ」をクリックします。

10

SAML 認証マニュアル

3.「次へ」をクリックします。

4.「インポート」をクリックし、.pfx 形式の証明書ファイルを選択します。

証明書にパスワードが設定されている場合は入力して「OK」をクリックします。

11

SAML 認証マニュアル5.フェデレーションサービスの表示名を入力し、「次へ」をクリックします。
※表示名は、パスワード認証使用時に、IdP のログイン画面に表示される名称です。

6.サービスアカウントに「Administrator」を選択し、パスワードを入力し、「次へ」をクリックします。

12

SAML 認証マニュアル

7.「Windows Internal Database を使用してサーバーにデータベースを作成します。」を選択して、「次へ」をクリックします。

13

SAML 認証マニュアル

8.「次へ」をクリックします。

9.「構成」をクリックします。
画面に「このサーバーは正常に構成されました」と表示されることを確認します。

14

SAML 認証マニュアル

15

SAML 認証マニュアル

2-3.NI 製品の設定
2-3-1.システム設定
1.システム設定の セキュリティ より「SAML 認証」を選択します。
⇒「認証／SAML 認証」画面が表示されます。
保存

2.以下の項目を入力し、項目名称ボタンをクリックします。

説明

設定値

シングルサインオン設定
シングルサインオン

シングルサインオンを利用するかしないかを設定します。

利用する

有効範囲

SAML 認証を許可する接続元 IP アドレスを改行区切りで指定し※補足を参照ます。空白の場合は、すべての接続で SAML 認証を行います。
Service Provider(NI 製品)設定
エンティティ ID

Service Provider の識別子。任意の文字列を設定します。

https://xxx.xxx.xxx.xxx/ni/※初期値の URL から変更する必要はありません。
エンドポイント URL

SAML レスポンスを受信する URL です。

-※Identity Provider のセットアップに使用する固定値です。
仮名仮名 ID を用いた認証を利用するかしないかを設定します。

利用する / 利用しない

認証方法

認証にパスワード認証を用いるか、Windows 認証を用いるかをWindows 認証 / パスワード認証

設定します。
ログアウト URL

NI 製品からログアウト後に遷移する URL を設定します。

https://<IdP サーバーのアドレ
ス>/adfs/ls/?wa=wsignout1.0（※IdP のログアウト画面）

・NI 製品からログアウトする際に、IdP からもログアウトする必要がない場合は、ログアウト URL に下記 URL を設定することで、通常の NI 製品ログイン画面に遷移します。

補足

https://<任意の NI 製品 URL>?saml=no
・社内端末の IP アドレスを「有効範囲」に指定することで、モバイル端末など社外からの接続に
より IdP に接続不可の場合は、「有効範囲」外となるため、SAML 認証が適用されず、通常のログイン画面が表示されます。

注意・エンティティ ID、仮名を変更した場合、IdP の再設定が必要になります。
・仮名を利用するかしないかで、IdP の設定手順が異なります。

16

SAML 認証マニュアル

3.IdP メタデータをアップロードします。
下記 URL にブラウザでアクセスし、IdP メタデータ XML ファイルを PC に保存します。
https://<IdP サーバーのアドレス>/FederationMetadata/2007-06/FederationMetadata.xml

NI 製品システム設定「認証／SAML 認証」画面の、Identity Provider 設定の「メタデータ」に上記で保存した IdP メタデータ XML ファイルを添付します。
読み込み

ボタンをクリックします。

以下の設定項目が自動で入力されます。
項目名称

説明

設定サンプル値

Identity Provider の識別子を設定します。

http://<IdP サーバーのアドレス

Identity Provider 設定
エンティティ ID>/adfs/services/trust
エンドポイント URL

SAML リクエストを送信する URL を設定します。

https://<IdP サーバーのアドレ
ス>/adfs/ls/

証明書

Identity Provider が署名に使用する公開鍵を設定します。

Base64 エンコードされた文字列

カンマ区切りで複数証明書を指定できます。

4.SP メタデータをダウンロードします。
Service Provider(NI 製品)設定の「メタデータ」のダウンロードボタンをクリックします。

⇒SP メタデータ XML ファイルがダウンロードされます。次項「2-4.IdP の設定 (Windows Server 2012
R2)」または「2-5.IdP の設定(Windows Server 2016－ADFS)」にて使用します。

5.

保存

ボタンをクリックします。

17

SAML 認証マニュアル

2-4.IdP の設定(Windows Server 2012 R2)
IdP サーバーで下記の設定を行います。
2-4-1.証明書利用者信頼（SP）の追加
1.AD FS の管理ツールを表示し、「証明書利用者信頼の追加」をクリックします。

2.証明書利用者信頼の追加ウィザードが表示されたら、「開始」をクリックします。

18

SAML 認証マニュアル

3.「証明書利用者についてのデータをファイルからインポートする」を選択し、「参照」ボタンをクリックします。
「2-3-1.システム設定」でダウンロードした SP メタデータを選択します。

・SP メタデータをインポートすることで、以下の値が自動でセットされます。
セットされた値は、「信頼の追加の準備完了」の項で確認することができます。
「証明書利用者の識別子」：NI 製品システム設定画面の「エンティティ ID」の値がセットされます。

補足

19

SAML 認証マニュアル

「SAML アサーション コンシューマー エンドポイント」：NI 製品システム設定画面の「エンドポイント URL」の値がセットされます。

4.表示名を入力し、「次へ」をクリックします。
※表示名は AD FS の管理ツール上で表示される名称です。

20

SAML 認証マニュアル

5.「現時点ではこの証明書利用者信頼に他要素認証を構成しない」を選択し、「次へ」をクリックします。

6.「すべてのユーザーに対してこの証明書利用者へのアクセスを許可する」を選択し、「次へ」をクリックします。

21

SAML 認証マニュアル

7.「次へ」をクリックします。

8.証明書利用者信頼の追加が完了したので、「閉じる」ボタンをクリックします。

22

SAML 認証マニュアル

2-4-2.エンドポイント URL の追加
1.AD FS の管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
追加した証明書利用者信頼を右クリックし、「プロパティ」を選択します。

2.SAML リクエスト用エンドポイントの追加「エンドポイント」タブを選択し、「SAML の追加」をクリックします。

23

SAML 認証マニュアル下記の値を設定し、「OK」をクリックします。
・エンドポイントの種類：「SAML アサーションコンシューマー」を選択します。
・バインディング：「Redirect」を選択します。
・「信頼された URL」：次の URL を入力します。
https://<IdP サーバーのアドレス>/adfs/ls/

3.ログアウト用エンドポイントの追加「エンドポイント」タブを選択し、「SAML の追加」をクリックします。

24

SAML 認証マニュアル下記の値を設定し、「OK」をクリックします。
・エンドポイントの種類：「SAML ログアウト」を選択します。
・バインディング：「Redirect」を選択します。
・「信頼された URL」：次の URL を入力します。
https://<IdP サーバーのアドレス>/adfs/ls/?wa=wsignout1.0

4.「OK」をクリックします。

25

SAML 認証マニュアル

2-4-3.変換要求規則の追加
仮名を利用する場合

補足

・NameID として、ランダムな識別子（仮名）を返すように設定を行います。

1.以下の 2 つの変換要求規則を追加します。
要求規則テンプレートに「カスタム規則を使用して要求を送信」を選択して、「次へ」をクリックします。

以下のカスタムルールをコピー&ペーストし、完了をクリックします。
c:[type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname" ]=> add(store = "_OpaqueIdStore",types = ("http://mycompany/internal/persistentId"),
query = "{0};{1};{2}",param = "ppid",param = c.Value,
param = c.OriginalIssuer);

26

SAML 認証マニュアル

「入力方向の要求を変換」を選択し、「次へ」をクリックします。

27

SAML 認証マニュアル以下の値を選択し、「完了」をクリックします。
・要求規則名：任意の名称を入力します。
・入力方向の要求の種類：「http://mycompany/internal/persistentId」をコピー&ペーストで入力します。
・出力方向の要求の種類：「名前 ID」を選択します。
・出力方向の名前 ID の形式：
「永続 ID」を選択します。

2.「OK」をクリックします。

28

SAML 認証マニュアル仮名を利用しない場合

補足・NameID として、AD のユーザー情報を返すように設定を行います。

1.AD FS の管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
追加した証明書利用者信頼を右クリックし、「要求規則の編集」を選択します。

2.「規則の追加」ボタンをクリックします。

29

SAML 認証マニュアル

3.以下の要求規則を追加します。
要求規則テンプレートに「LDAP 属性を要求して送信」を選択し、「次へ」をクリックします。

以下の値を選択し、「完了」をクリックします。
・要求規則名：任意の名称を入力します。
・属性ストア：「Active Directory」を選択します。
・LDAP 属性：
「SAM-Account-Name」※ここでは検証のため、AD の「ユーザーログオン名(Windows 2000 より前)」に紐づく「SAM-Account-Name」を選択しています。
LDAP 属性については、「2-5-3.変換要求規則の追加」の「仮名を利用しない場合」を参照してください。
・出力方向の要求の種類：「名前 ID」を選択します。

30

SAML 認証マニュアル

2-4-4.認証ポリシーの設定
1.AD FS の管理ツールを表示し、「認証ポリシー」メニューを選択します。
グローバルプライマリ認証の編集をクリックします。

2.利用する認証方法を有効にし、「OK」をクリックします。
・パスワード認証の場合
エクストラネット：「フォーム認証」にチェックします。
イントラネット：「フォーム認証」にチェックします。

・Windows 認証の場合
エクストラネット：「フォーム認証」にチェックします。
イントラネット：「フォーム認証」と「Windows 認証」にチェックします。

31

SAML 認証マニュアル

2-5.IdP の設定(Windows Server 2016－ADFS)
IdP サーバーで下記の設定を行います。
2-5-1.証明書利用者信頼（SP）の追加
1.AD FS の管理ツールを表示し、「証明書利用者信頼の追加」をクリックします。

2.証明書利用者信頼の追加ウィザードが表示されたら、「要求に対応する」を選択し、「開始」をクリックします。

32

SAML 認証マニュアル

3.「証明書利用者についてのデータをファイルからインポートする」を選択し、「参照」ボタンをクリックします。
「2-3-1.システム設定」でダウンロードした SP メタデータを選択します。

・SP メタデータをインポートすることで、以下の値が自動でセットされます。
セットされた値は、「信頼の追加の準備完了」の項で確認することができます。
「証明書利用者の識別子」：NI 製品システム設定画面の「エンティティ ID」の値がセットされます。

補足

33

SAML 認証マニュアル

「SAML アサーション コンシューマー エンドポイント」：NI 製品システム設定画面の「エンドポイント URL」の値がセットされます。

4.表示名を入力し、「次へ」をクリックします。
※表示名は AD FS の管理ツール上で表示される名称です。

34

SAML 認証マニュアル

5.表示された画面のまま、「次へ」をクリックします。

6.「次へ」をクリックします。

35

SAML 認証マニュアル

7.証明書利用者信頼の追加が完了したので、「このアプリケーションの要求発行ポリシーを構成する」にチェックを付けたまま、「閉じる」ボタンをクリックします。

36

SAML 認証マニュアル

2-5-2.エンドポイント URL の追加
1.AD FS の管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
追加した証明書利用者信頼を右クリックし、「プロパティ」を選択します。

2.SAML リクエスト用エンドポイントの追加「エンドポイント」タブを選択し、「SAML の追加」をクリックします。

37

SAML 認証マニュアル下記の値を設定し、「OK」をクリックします。
・エンドポイントの種類：「SAML アサーションコンシューマー」を選択します。
・バインディング：「Redirect」を選択します。
・「信頼された URL」：次の URL を入力します。
https://<IdP サーバーのアドレス>/adfs/ls/

3.ログアウト用エンドポイントの追加「エンドポイント」タブを選択し、「SAML の追加」をクリックします。

38

SAML 認証マニュアル下記の値を設定し、「OK」をクリックします。
・エンドポイントの種類：「SAML ログアウト」を選択します。
・バインディング：「Redirect」を選択します。
・「信頼された URL」：次の URL を入力します。
https://<IdP サーバーのアドレス>/adfs/ls/?wa=wsignout1.0

4.「OK」をクリックします。

39

SAML 認証マニュアル

2-5-3.変換要求規則の追加
仮名を利用する場合

補足

・NameID として、ランダムな識別子（仮名）を返すように設定を行います。

1.以下の 2 つの変換要求規則を追加します。
要求規則テンプレートに「カスタム規則を使用して要求を送信」を選択して、「次へ」をクリックします。

以下のカスタムルールをコピー&ペーストし、完了をクリックします。
c:[type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname" ]=> add(store = "_OpaqueIdStore",types = ("http://mycompany/internal/persistentId"),
query = "{0};{1};{2}",param = "ppid",param = c.Value,
param = c.OriginalIssuer);

40

SAML 認証マニュアル

「入力方向の要求を変換」を選択し、「次へ」をクリックします。

41

SAML 認証マニュアル以下の値を選択し、「完了」をクリックします。
・要求規則名：任意の名称を入力します。
・入力方向の要求の種類：「http://mycompany/internal/persistentId」をコピー&ペーストで入力します。
・出力方向の要求の種類：「名前 ID」を選択します。
・出力方向の名前 ID の形式：
「永続 ID」を選択します。

2.「OK」をクリックします。

42

SAML 認証マニュアル仮名を利用しない場合

補足・NameID として、AD のユーザー情報を返すように設定を行います。

1.AD FS の管理ツールを表示し、「証明書利用者信頼」メニューを選択します。
追加した証明書利用者信頼をクリックし、画面右側の「要求発行ポリシーの編集」を選択します。

2.「規則の追加」ボタンをクリックします。

43

SAML 認証マニュアル

3.以下の要求規則を追加します。
要求規則テンプレートに「LDAP 属性を要求して送信」を選択し、「次へ」をクリックします。

以下の値を選択し、「完了」をクリックします。
・要求規則名：任意の名称を入力します。
・属性ストア：「Active Directory」を選択します。
・LDAP 属性：
「SAM-Account-Name」※ここでは検証のため、AD の「ユーザーログオン名(Windows 2000 より前)」に紐づく「SAM-Account-Name」を選択しています。
LDAP 属性については、補足を参照してください。
・出力方向の要求の種類：「名前 ID」を選択します。

44

SAML 認証マニュアル

LDAP 属性には、「SAM-Account-Name」以外の項目も選択できます。
ユーザー情報が一意に識別できる項目を選択してください。

補足

一般的に使用される「LDAP 属性」の選択肢と AD の情報との紐づけは以下のようになります。
・LDAP 属性「SAM-Account-Name」
AD の「ユーザーログオン名(Windows 2000 より前)」を使用します。

45

SAML 認証マニュアル

・LDAP 属性「User-Principal-Name」
AD の「ユーザーログオン名」を使用します (@以降含む)。

補足

・LDAP 属性「E-Mail-Addresses」
AD の「電子メール」を使用します。

46

SAML 認証マニュアル

2-5-4.認証ポリシーの設定
1.AD FS の管理ツールを表示し、「認証方法」メニューを選択します。
プライマリ認証方法の編集をクリックします。

2.利用する認証方法を有効にし、「OK」をクリックします。
・パスワード認証の場合
エクストラネット：「フォーム認証」にチェックします。
イントラネット：「フォーム認証」にチェックします。

・Windows 認証の場合
エクストラネット：「フォーム認証」にチェックします。
イントラネット：「フォーム認証」と「Windows 認証」にチェックします。

47

SAML 認証マニュアル

2-6.IdP の設定(Windows Server 2019)
Windows Server 2016 同様の手順となります。
「2-5.IdP の設定(Windows Server 2016－ADFS)」を参照してください。

48

SAML 認証マニュアル

2-7.仮名 ID 取得

注意

・仮名を利用する場合のみ、各ユーザーが下記の作業を行う必要があります。

2-7-1.オプション設定
1.仮名を利用する場合、初回ログイン時はシングルサインオンに失敗するため、通常の NI 製品ログイン画面より、ID/パスワードを入力し、ログインしてください。
2.NI 製品の「オプション設定」画面を表示し、「SAML 認証」を選択します。
⇒「SAML 認証」画面が表示されます。
3. 取得する

ボタンをクリックして、Identity Provider から仮名 ID を取得します。

※新規ウィンドウが開き、Identity Provider へ接続します。仮名 ID 取得後に Window は自動的に閉じられ
ます。
4.最後に

保存

ボタンを押します。

49

SAML 認証マニュアル

2-8.動作確認
1.NI 製品の任意の URL にブラウザでアクセスします。
2.IdP にログインします。
パスワード認証の場合、AD FS のログイン画面にて、ID/パスワードを入力することで認証されます。

3.Windows 認証の場合、ドメインにログイン済みの Windows PC にて、
Microsoft Edge、または Google Chrome を使用しているときは、自動で認証されます。
それ以外の場合、認証ダイアログが表示され、ID/パスワードを入力することで認証されます。
4.NI 製品の目的の URL が表示されます。

補足

・Windows Hello など多要素認証によるログインの場合も同様の動作となります。

50

SAML 認証マニュアル

2-9.トラブルシューティング
・AD FS で発生するエラーについて記載します。

補足

・NI 製品のアクセスログに出力されているエラーログへの対処については、「4.トラブルシューテ
ィング」を参照してください。

2-9-1.AD FS のエラー画面
以下のような画面が表示された場合、AD FS 側でエラーが発生しています。

通常のログイン画面の URL に「?saml=no」を追加し、NI 製品へログインしてください。
例）NI Collabo 360
https://xxx.xxx.xxx.xxx/ni/niware/portal/index.php?saml=no例）Sales Force Assistant シリーズ
https://xxx.xxx.xxx.xxx/ni/<各製品>/main/index.php?saml=no51

SAML 認証マニュアル

2-9-2.AD FS のエラー詳細確認
エラーの内容を確認するには、IdP のサーバーマネージャーのメニューより「AD FS」を選択し、「イベント」項
目をチェックします。

52

SAML 認証マニュアル

AD FS の設定不備が原因で発生する主要なエラーを以下に記載します。
エラーID

エラーメッセージ

対応方法

364

パッシブな要求のフェデレーション中にエラーが発生しました。

認証中にエラーが発生すると、必ずログに出力されるメッセージです。

364

追加データ

※パッシブな要求＝Web ブラウザ

…

からの要求

パッシブな要求のフェデレーション中にエラーが発生しました。

SP のエンティティ ID が誤っていま

追加データ

す。

プロトコル名:（※上記原因の場合、エラーID：

Saml

364 以外のエラーメッセージは出力

証明書利用者:

されません。
）

https://xxx.xxx.xxx.xxx/ni/

証明書利用者信頼のプロパティの例外情報:「識別子」タブから証明書利用者のMicrosoft.IdentityServer.Web.InvalidScopeException:

識別子が正しいことを確認してくだ

MSIS7007: 要求された証明書利用者信頼さい。

'https://xxx.xxx.xxx.xxx/ni/' は指定されていないか、またはサポートされていません。証明書利用者信頼が指定されていた場合
は、証明書利用者信頼にアクセスするための許可がない可能性があります。詳細については、管理者に問い合わせてください。
場所 Microsoft.IdentityServer.Web.Protocols.
Saml.SamlSignInContext.Validate()
場所 Microsoft.IdentityServer.Web.Protocols…
261

要求で、証明書利用者 'https://xxx.xxx.xxx.xxx/ni/' に構成されSP のエンドポイント URL が誤ってていないアサーション コンシューマー サービス の URL

います。

'https://xxx.xxx.xxx.xxx/ni/zcom/service/index.php?p=saml'

証明書利用者信頼のプロパティのが指定されました。

「エンドポイント」タブからアサーション コンシューマー サービスの URL:

「SAML アサーションコンシューマ

https://xxx.xxx.xxx.xxx/ni/zcom/service/index.php?p=saml

ーエンドポイント」の URL が正し証明書利用者: https://xxx.xxx.xxx.xxx/ni/

いことを確認してください。

この要求は失敗しました。
ユーザー操作AD FS の管理スナップインを使用して、この証明書利用者用に指定された URL を持つアサーション コンシューマー サービスを構成してください。

53

SAML 認証マニュアル

エラーID

エラーメッセージ

対応方法

321

SAML 認証要求に、満たすことができない NameID のポリシー

仮名 ID の利用有無に対し、IdP 側がありました。

の設定が正しく実施できていませ

要求元: https://xxx.xxx.xxx.xxx/ni/ん。

名前識別子の形式: urn:oasis:names:tc:SAML:2.0:nameid-「2-4-3 変換要求規則の追加」項のformat:persistent

手順が正しく実行できているか、確SPNameQualifier:

認してください。

例外の詳細:MSIS7070: SAML 要求に、発行されたトークンでは要件が満たされない NameIDPolicy が含まれていました。要求された
NameIDPolicy: AllowCreate: True Format:
urn:oasis:names:tc:SAML:2.0:nameid-format:persistent
SPNameQualifier: 。実際の NameID プロパティ: Format: ,NameQualifier: SPNameQualifier: , SPProvidedId: 。
この要求は失敗しました。
ユーザー操作AD FS の管理スナップインを使用して、 必要な名前識別子を発行する構成を設定してください。
273

要求で、証明書利用者 'https://xxx.xxx.xxx.xxx/ni/' に対して構IdP のエンドポイント URL 設定に、

成またはサポートされていない アサーション コンシューマー サ

誤ったバインディングが指定されてービスが指定されました。

います。

要求パラメーター: ''、「2-4-2 エンドポイント URL の追'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST'、加」項の手順が正しく実行できてい'https://xxx.xxx.xxx.xxx/ni/zcom/service/index.php?p=saml'

るか、確認してください。

証明書利用者: https://xxx.xxx.xxx.xxx/ni/
この要求は失敗しました。
ユーザー操作AD FS の管理スナップインを使用して、この証明書利用者用に指定された パラメーターを持つアサーション コンシューマー サー
ビスを構成してください。 SAML アーティファクトが要求された場合は、アーティファクト解決サービスが有効になっているかど
うかも確認してください。

54

SAML 認証マニュアル2-10.運用時の注意
2-10-1.証明書の更新について

AD FS は、以下の 3 種類の証明書を利用して動作しています。
1.サービス通信証明書「2-2-2 AD FS の構成」にて適用した、SSL(https)通信のための証明書です。
適用した証明書の期限に応じて、手動で更新を行ってください。
2.トークン暗号化解除証明書
利用していません。
3.トークン署名証明書
AD FS のセットアップ時に自動で作成される自己署名証明書です。
有効期限は既定では 1 年となっており、自動で更新されます。
また、AD FS では、自動証明書ロールオーバー機能(トークン署名証明書の自動更新)があり、既定ではこの機能が有効となっています。自動証明書ロールオーバーが発生した場合、証明書の有効期限 5 日前に NI 製品へのシングルサインオンでエラーが発生します。
対策として、AD FS の自動証明書ロールオーバー機能を無効にする、証明書の有効期限延長があります。
詳細は、Microsoft 社の情報をご確認ください。
https://docs.microsoft.com/ja-jp/archive/blogs/jpntsblog/adfs-%E3%81%AE%E8%87%AA%E5%8B%95%E8%A8%BC%E6%98%8E%E6%9B%B8%E3%83%A
D%E3%83%BC%E3%83%AB%E3%82%AA%E3%83%BC%E3%83%90%E3%83%BC%E6%A9%9
F%E8%83%BD%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6
有効期限切れ、有効期限延長により証明書が更新されると、「2-3-1 システム設定」項の「3. IdP メタデータ
をアップロードします。
」を再実行する必要があります。

55

SAML 認証マニュアル

3.セットアップ手順（IdP: Microsoft Entra ID の場合）
3-1.システム構成
以下の構成でセットアップを行います。
・認証サーバー
IdP

Microsoft Entra ID※Microsoft Entra ID の全てのエディションにて SAML 認証機能が利用可能です。
ただし、Microsoft 社がエディション毎の提供機能範囲を変更する可能性があります。
詳細は Microsoft 社の情報をご確認ください。
https://learn.microsoft.com/ja-jp/entra/fundamentals/whatis

3-2.IdP の設定
3-2-1. SP メタデータの準備
1.NI 製品システム設定の セキュリティ より「SAML 認証」を選択します。
⇒「認証／SAML 認証」画面が表示されます。

2.SP メタデータをダウンロードします。
Service Provider(NI 製品)設定の「メタデータ」のダウンロードボタンをクリックします。

⇒SP メタデータ XML ファイルがダウンロードされます。次項「3-2-2. Microsoft Entra アプリケーションの作成・設定」にて使用します。

56

SAML 認証マニュアル

3-2-2. Microsoft Entra アプリケーションの作成・設定
1.ブラウザにて下記 URL にアクセスし、Microsoft Entra 管理センターの画面を表示します。
https://entra.microsoft.com

2.メニュー「ID」＞「アプリケーション」＞「エンタープライズ アプリケーション」＞を表示し、「新しいアプリケーション」をクリックします。

3.「独自のアプリケーションの作成」をクリックします。

4.任意のアプリ名を入力します。
5.「ギャラリーに見つからないその他のアプリケーションを統合します（ギャラリー以外）」を選択し、「作成」をクリックします。
⇒任意のアプリ名でアプリケーションが作成され、概要ページが表示されます。

57

SAML 認証マニュアル

6.「シングルサインオン」を選択します。

7.「SAML」を選択します。
8.「メタデータ ファイルをアップロードする」をクリックします。

58

SAML 認証マニュアル

9.「3-2-1. SP メタデータの準備」でダウンロードした SP メタデータを選択し、追加ボタンをクリックします。
⇒値がセットされます。

・SP メタデータをアップロードすることで、以下の値が自動でセットされます。

補足「識別子(エンティティ ID)」：NI 製品システム設定画面の「エンティティ ID」の値がセットされます。
「応答 URL」：NI 製品システム設定画面の「エンドポイント URL」の値がセットされます。

59

SAML 認証マニュアル

10.必要な値をセットします。
・「IdP を起点としたシングルサインオン（IdP Initiated SSO）
」を利用する場合、注意

下記の値をセットする必要があります。
「3-5-1. NI 製品を起点としたシングルサインオン」のみを利用する場合は、不要です。

自動セットされた値に加え、ログイン後に表示したい製品のログイン画面の URL を「リレー状態」へセットしてください。
例）NI Collabo 360 を表示する場合：
https://xxx.xxx.xxx.xxx/ni/niware/portal/index.php
Sales Force Assistant シリーズを表示する場合：
https://xxx.xxx.xxx.xxx/ni/<各製品>/main/index.php

60

SAML 認証マニュアル

11.「保存」ボタンをクリックします。
⇒アプリケーションの SAML 設定が変更されます。

12.「ユーザーとグループ」を選択し、「ユーザーまたはグループの追加」をクリックします。

61

SAML 認証マニュアル

13.アプリケーションを使用するユーザーを選択し、「割り当て」をクリックします。
⇒アプリケーションのアクセス設定が変更されます。

62

SAML 認証マニュアル

3-3.NI 製品の設定
3-3-1. Microsoft Entra ID の設定値を確認する
1.追加した Microsoft Entra アプリケーションの画面を表示し、「シングルサインオン」をクリックします。
2.画面より、Microsoft Entra ID の設定に必要となる「フェデレーションメタデータ XML」の「ダウンロード」をクリックし、XML ファイルを保存します。

63

SAML 認証マニュアル

3-3-2.システム設定
1.システム設定の セキュリティ より「SAML 認証」を選択します。
⇒「認証／SAML 認証」画面が表示されます。
保存

2.以下の項目を入力し、項目名称ボタンをクリックします。

説明

設定値

シングルサインオン設定
シングルサインオン

シングルサインオンを利用するかしないかを設定します。

利用する

有効範囲

SAML 認証を許可する接続元 IP アドレスを改行区切りで指定し※補足を参照ます。空白の場合は、すべての接続で SAML 認証を行います。
Service Provider(NI 製品)設定
エンティティ ID

Service Provider の識別子。任意の文字列を設定します。

https://xxx.xxx.xxx.xxx/ni/※初期値の URL から変更する必要はありません。
エンドポイント URL

SAML レスポンスを受信する URL です。

-※Identity Provider のセットアップに使用する固定値です。
仮名仮名 ID を用いた認証を利用するかしないかを設定します。

利用する / 利用しない

認証方法

認証にパスワード認証を用いるか、Windows 認証を用いるかをパスワード認証設定します。
ログアウト URL

NI 製品からログアウト後に遷移する URL を設定します。

https://login.microsoftonline.c
om/common/wsfederation?wa=wsignout1.0

・NI 製品からログアウトする際に、IdP からもログアウトする必要がない場合は、ログアウト URL に下記 URL を設定することで、通常の NI 製品ログイン画面に遷移します。
https://<任意の NI 製品 URL>?saml=no

補足
・社内端末の IP アドレスを「有効範囲」に指定することで、モバイル端末など社外からの接続
により IdP に接続不可の場合は、「有効範囲」外となるため、SAML 認証が適用されず、通常のログイン画面が表示されます。

64

SAML 認証マニュアル

・Microsoft Entra ID は、認証方法「Windows 認証」に対応していません。
・エンティティ ID を変更した場合、IdP の再設定が必要になります。
・NI 製品の社員ログイン ID と、
Microsoft Entra ID のユーザーID を一致させておく必要があります。
Microsoft Entra ID のユーザーID は、以下の画面から確認できます。
1.

Microsoft Entra アプリケーションの画面から、「ユーザーとグループ」をクリックします。

2.

対象のユーザーをクリックします。

3.

Microsoft Entra ID のユーザーID が「ユーザープリンシパル名」として表示されます。

注意

65

SAML 認証マニュアル

3.IdP メタデータをアップロードします。
NI 製品システム設定「認証／SAML 認証」画面の、Identity Provider 設定の「メタデータ」にMicrosoft Entra アプリケーションからダウンロードした「フェデレーションメタデータ XML」を添付します。
読み込み

ボタンをクリックします。

以下の設定項目が自動で入力されます。
項目名称

説明

設定サンプル値

Identity Provider の識別子を設定します。

https://sts.windows.net/xxxxx

Identity Provider 設定
エンティティ ID

xxx-xxxx-xxxx-xxxxxxxxxxxxxxxx/
エンドポイント URL

SAML リクエストを送信する URL を設定します。

https://login.microsoftonline.c
om/xxxxxxxx-xxxx-xxxx-xxxxxxxxxxxxxxxx/saml2

証明書

Identity Provider が署名に使用する公開鍵を設定します。

Base64 エンコードされた文字列

カンマ区切りで複数証明書を指定できます。

4.

保存

ボタンをクリックします。

66

SAML 認証マニュアル

3-4.仮名 ID 取得

注意

・仮名を利用する場合のみ、各ユーザーが下記の作業を行う必要があります。

3-4-1.オプション設定
1.仮名を利用する場合、初回ログイン時はシングルサインオンに失敗するため、通常の NI 製品ログイン画面より、ID/パスワードを入力し、ログインしてください。
2.NI 製品の「オプション設定」画面を表示し、「SAML 認証」を選択します。
⇒「SAML 認証」画面が表示されます。
3. 取得する

ボタンをクリックして、Identity Provider から仮名 ID を取得します。

※新規ウィンドウが開き、Identity Provider へ接続します。仮名 ID 取得後に Window は自動的に閉じられ
ます。
4.最後に

保存

ボタンを押します。

67

SAML 認証マニュアル

3-5.動作確認
3-5-1.NI 製品を起点としたシングルサインオン
1.NI 製品の任意の URL にブラウザでアクセスします。
2.IdP にログインします。
Microsoft Entra ID のログイン画面にて、ID/パスワードを入力することで認証されます。

3.NI 製品の目的の URL が表示されます。
・Microsoft Entra ID のユーザー情報でログイン済みの Windows PC にて、

補足

Microsoft Edge を使用しているときは、自動で認証されます。
・Windows Hello for Business など多要素認証によるログインの場合も同様の動作となります。

68

SAML 認証マニュアル

3-6.トラブルシューティング
・Microsoft Entra ID で発生するエラーについて記載します。

補足

・NI 製品のアクセスログに出力されているエラーログへの対処については、「4.トラブルシューティング」を参照してください。

3-6-1. Microsoft Entra ID のエラー画面
以下のような画面が表示された場合、Microsoft Entra ID 側でエラーが発生しています。

通常のログイン画面の URL に「?saml=no」を追加し、NI 製品へログインしてください。
例）NI Collabo 360
https://xxx.xxx.xxx.xxx/ni/niware/portal/index.php?saml=no例）Sales Force Assistant シリーズ
https://xxx.xxx.xxx.xxx/ni/<各製品>/main/index.php?saml=no69

SAML 認証マニュアル

3-6-2. Microsoft Entra ID のエラー詳細確認
Microsoft Entra ID のエラー画面にて、赤枠内のメッセージを参照します。
エラーID

エラーメッセージ

対応方法

AADSTS70001

Application with identifier 'https://xxx.xxx.xxx.xxx/ni/'

SP のエンティティ ID が誤っていwas not found in the directory xxxxxxxx-xxxx-xxxx-xxxx-

ます。

xxxxxxxxxxxx

NI 製品システム設定＞Service
Provider(NI 製品)設定＞「エンティティ ID」と、Microsoft Entra
アプリケーション設定の「アプリケーション ID/URI」に同じ値を設定してください。

AADSTS75011

Authentication method 'Password' by which the user

認証方法に「Windows 認証」を指

authenticated with the service doesn't match requested

定した場合に表示されます。

authentication method 'WindowsIntegrated'「パスワード認証」に変更してください。

AADSTS50105

Your administrator has configured the application xxxxx('

作成した Microsoft Entra アプリ

xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx ') to block users

ケーションを使用する権限がない

unless they are specifically granted ('assigned') access toユーザーでサインインした場合に

the application. The signed in user ' xxxxxxxx @表示されます。Microsoft Entra ア

xxxxxx.onmicrosoft.com' is blocked because they are not a

プリケーションのアクセス設定を

direct member of a group with access, nor had access

変更してください。

directly assigned by an administrator. Please contact youradministrator to assign access to this application.

3-7.運用時の注意
3-7-1.証明書の更新について
Microsoft Entra ID は、以下の証明書を利用して動作しています。
・トークン署名証明書
Microsoft Entra ID では、定期的にロールオーバー(トークン署名証明書の更新)が発生します。
ロールオーバーされた場合、「3-3-2 システム設定」項の「4. IdP メタデータをアップロードします。
」を再実行する必要があります。

詳細は、Microsoft 社の情報をご確認ください。
https://learn.microsoft.com/ja-jp/entra/identity-platform/signing-key-rollover

70

SAML 認証マニュアル

4.トラブルシューティング
4-1.シングルサインオンができない場合の対応方法
以下の手順で対応を行ってください。
1.IdP のエラー画面が表示されている場合
各 IdP のトラブルシューティングを参照してください。
→ AD FS のトラブルシューティング→ Microsoft Entra ID のトラブルシューティング
2.通常のログイン画面が表示される場合
ID/パスワードを入力して NI 製品にログインし、システム設定画面の「運用管理 ＞ アクセス／アクセスロ
グ」に、エラーメッセージが出力されていないかを確認してください。
→4-2.SAML 認証のログを確認する→4-3.SAML 認証エラーの原因を調べる
3.IdP にアクセスできない場合
ブラウザに「このウェブページにアクセスできません」、「このページは表示できません」などのメッセージが表示される場合、端末から IdP に接続できていません。
次の項を参照してください。
→4-4.IdP に接続不可の端末から NI 製品にアクセスする
4.エラーメッセージが出力されていない場合
システム設定画面の「セキュリティ > 認証／SAML 認証」から、以下の設定が正しいことを確認します。
→シングルサインオンを「利用する」設定になっているかどうか→有効範囲が正しく設定されているかどうか

71

SAML 認証マニュアル

4-2.SAML 認証のログを確認する
システム設定画面の「運用管理 ＞ アクセスログ」より、SAML 認証についてのログを確認できます。
ログは区分「ログイン画面の接続監視」で出力されます。
メッセージ

説明

SAML 認証によるシングルサインオンに成功しました。

正常にシングルサインオンした際に表示されます。

[XXX]（※XXX:ログインしたユーザー名）

SAML 認証によるシングルサインオンに失敗しました。

シングルサインオン処理に問題があった場合に表示され

(XXX)

ます。
「4-3.SAML 認証エラーの原因を調べる」項を参照して、設定値を見直してください。
（※XXX:エラーの詳細メッセージ）

NameID に該当するユーザーが見つかりませんでした。

仮名を利用する際に、仮名 ID の設定を行っていない状態(XXX)

で、シングルサインオンを実行した際に表示されます。
オプション設定画面より、仮名 ID 取得を行ってください。
（※XXX:仮名 ID）

NameID に該当するユーザーが複数見つかりました。

複数の NI 製品ユーザーが、同じ IdP のアカウントと紐付いた状態でシングルサインオンを実行した際に表示されます。
再度オプション設定画面より、仮名 ID 取得を行い、正しいアカウントにてログインしてください。

SAML 認証対応製品ではありません。

SAML 認証に対応していない製品から、シングルサイン
オン処理が行われた際に表示されます。

使用停止中です。[XXX]

使用停止中のユーザーに対して、シングルサインオンした際に表示されます。

ロックアウト中です。[XXX]

パスワードを連続で間違えたことによりロックアウト状
態のユーザーに対して、シングルサインオンした際に表示されます。

72

SAML 認証マニュアル

4-3.SAML 認証エラーの原因を調べる
SAML 認証によるシングルサインオン処理に問題があった場合に出力されるメッセージと、対応方法の一覧です。
以下の形式でアクセスログが出力されます。
SAML 認証によるシングルサインオンに失敗しました。(<エラーカテゴリ>：<エラーメッセージ詳細>)

エラーカテゴリ

エラーメッセージ詳細

対応方法

Invalid array settings

sp_entityId_not_foundSP のエンティティ ID が設定されていません。
正しい値を設定してください。

idp_entityId_not_found

IdP のエンティティ ID が設定されていません。正しい値を設定してください。

idp_sso_not_found

IdP のエンドポイント URL が設定されていません。正しい値を設定してください。

idp_sso_url_invalid

IdP のエンドポイント URL が URL の書式になっていません。正しい値を設定してください。

invalid_response

idp_cert_or_fingerprint_

IdP の証明書が設定されていません。正しい値

not_found_and_requiredを設定してください。

The status code of the Response was

システム設定画面「セキュリティ > 認証／

not Success, was Requester ->SAML 認証」の Service Provider(NI 製品)設

urn:oasis:names:tc:

定＞「仮名」の値がセットアップ時から変更さ

SAML:2.0:status:InvalidNameIDPolicy

れています。
値を修正するか、再度 IdP の設定を行ってください。

invalid_response: The status code of

AD FS の認証ポリシーの設定で、認証方法がthe Response was not Success, was

無効となっています。

Responder -> urn:oasis:names:tc:「2-4-4.認証ポリシーの設定」の手順が正しく

SAML:2.0:status:NoAuthnContext

実行できていることを確認してください。

Signature validation failed. SAML

システム設定画面「セキュリティ > 認証／

Response rejected

SAML 認証」の Identity Provider(NI 製品)設定＞「証明書」の値が正しくありません。
再度 Identity Provider のメタデータを取得
し、アップロードしてください。
※IdP 側で署名鍵が更新された場合、このエラーが表示されます。

73

SAML 認証マニュアル

4-4.IdP に接続不可の端末から NI 製品にアクセスする
ブラウザに「このウェブページにアクセスできません」、「このページは表示できません」などのメッセージが表示される場合、以下の原因が考えられます。
1.IdP のアドレスの名前解決に失敗している。
端末の DNS サーバーの設定を確認してください。
2.IdP が社内ネットワークにある場合に、モバイル端末など、社外ネットワークから NI 製品にアクセスしている。
システム設定画面「セキュリティ > 認証／SAML 認証」の「有効範囲」の設定により、
接続元 IP アドレスに応じて、SAML 認証を行うか、通常のログイン画面を表示するかを自動で切り替えられます。
社内接続でのみ SAML 認証を行いたい場合、有効範囲に社内端末の IP アドレスを指定してください。
指定された IP アドレス以外からアクセスした場合は、通常のログイン画面が表示されます。

または、またはログイン画面の URL に「?saml=no」を追加して NI 製品にアクセスすることで、どの端末でも通常のログイン画面を表示できます。
例）NI Collabo 360
https://xxx.xxx.xxx.xxx/ni/niware/portal/index.php?saml=no例）Sales Force Assistant シリーズ
https://xxx.xxx.xxx.xxx/ni/<各製品>/main/index.php?saml=no

ただし、有効範囲を設定せず、上記 URL でアクセスした場合は、ログアウト時に「このウェブページにアクセスできません」、「このページは表示できません」などのメッセージがブラウザに表示されますが、正常な動作となります。

74

SAML 認証マニュアル

5.制限事項
5-1.技術的・運用的制限
・SSL(https)接続の利用が必須となります。
「1-2-2.SSL(https)での接続設定を行う」項を参照してください。
・Windows 認証を使用する場合、コントロールパネルでの設定が必要です。
「Windows 認証」項を参照してください。
・以下の場合は SAML 認証は行わず、通常のログイン画面が表示されます。
・携帯版サイトにアクセスしている。
・スマホ向けアプリで NI 製品にアクセスしている。
・SAML の仕様では、IdP が社内ネットワーク内であっても、シングルサインオン可能ですが、NI 製品に社外からアクセスを行ったり、モバイル端末からアクセスする場合には、IdP を外部から参照可能なサーバー構成にする、もしくはプロキシサーバーを構築する必要があります。
・SAML 認証メッセージの暗号化には対応していません。

5-2.対応製品
SAML 認証は、以下の製品に対応しています。
・Sales Force Assistant シリーズ
Sales Force Assistant 顧客創造
Sales Force Assistant 顧客創造 R
Sales Force Assistant 顧客深耕
Sales Force Assistant 深耕創造
Sales Force Assistant 顧客深耕 R
Sales Force Assistant 顧客深耕 AO
Sales Force Assistant ABM※顧客の声オプション含む
・NI Collabo 360
・MapScorer
・nyoibox
・Approach DAM
・Sales Quote Assistant・Sales Billing Assistant75

SAML 認証マニュアル

○ 商標
本説明書に登場する会社名、製品名は各社の登録商標、商標です。
○ 免責
本説明書に掲載されている手順による操作の結果、ハード機器に万一障害などが発生しても、弊社では一切の責任を負いませんのであらかじめご了解ください。
○ 発行
2024 年 4 月 16 日

第 14 版

サポートデスクE-mail：support@ni-consul.co.jp

Fax：082-511-2226

営業時間：月曜日～金曜日 9:00～12:00、13:00～17:00（当社休業日、土・日・祝日を除く）