SAMLアプリケーションの追加

「名前」フィールドに、アプリケーションの名前を入力します。

長い名前が付いたアプリケーションの場合、そのアプリケーション名は切り捨てられて「自分のアプリケーション」ページに表示されます。アプリケーション名は、できるかぎり短くすることを検討してください。

「説明」フィールドに、250文字以下の文字を入力してアプリケーションの説明を提供します。

「アプリケーション・アイコン」ウィンドウで「閉じる」(X)を選択して、デフォルトのアプリケーション・アイコンを削除してから、アプリケーションに独自のアイコンを追加します。

「アプリケーション・リンクの追加」を選択して、アプリケーションに関連付けるリンクを追加します。「追加」を選択すると、「アプリケーション・リンクの追加」ウィンドウが表示されます。アプリケーション・リンクは、GoogleやOffice 365などのアプリケーションが提供するメールやカレンダなどのサービスです。

アプリケーション・リンクを削除するには、その行を選択してから「削除」を選択します。

「リレー状態」フィールドに、SAML RelayStateパラメータとしてSAML SPに送信される値を入力します。

「カスタム・サインインURL」フィールドに、カスタム・サインインURLを指定します。ただし、IAMによって提供されるデフォルトのログイン・ページを使用する場合は、このフィールドを空白のままにします。

「カスタム・エラーURL」フィールドに、失敗した場合にユーザーをリダイレクトする必要があるエラー・ページURLを入力します。これはオプションのフィールドです。ただし、指定されていない場合は、ドメイン固有のエラー・ページURLが使用されます。どちらのエラーURLも構成されていない場合、エラーはIAMエラー・ページ(/ui/v1/error)にリダイレクトされます。

ユーザーがソーシャル認証(Google、Facebookなど)を使用してIAMにログインしようとする場合、「カスタム・エラーURL」フィールドにコールバックURLを構成する必要があります。ソーシャル・プロバイダでは、IAM>をコールしてソーシャル認証後にレスポンスを返信するには、このコールバックURLが必要です。指定されたコールバックURLは、ユーザーが存在するかどうか(初回のソーシャル・ログインの場合)を検証するために使用され、ソーシャル認証に失敗した場合はエラーが表示されます。

「カスタム・ソーシャル・リンク・コールバックURL」フィールドに、ソーシャル・プロバイダとIAM間のユーザーのリンクが完了した後にIAMがリダイレクトできるURLを入力します。これはオプションのフィールドです。

IAMカスタムSDKを使用してカスタム・アプリケーションを作成し、IAMソーシャル・ログインと統合する場合、カスタム・アプリケーションには、ソーシャル・プロバイダとIAM間のユーザーのリンクが完了した後にリダイレクトできるリンク・コールバックURLが必要です。

「「マイ・アプリケーション」に表示」チェック・ボックスを選択して、SAMLアプリケーションを「マイ・アプリケーション」ページにリストすることを指定します。

アプリケーションの「「自分のアプリケーション」に表示」チェック・ボックスを選択すると、そのアプリケーションは「自分のアプリケーション」ページに表示されますが、このチェック・ボックスを選択しても、アプリケーションに対するSSOは有効化または無効化されません。

SSOを有効化または無効化するフラグは、アプリケーション・テンプレートから取得されます。

アプリケーションをカタログにリストする場合は、「ユーザーにアクセス権のリクエストを許可」チェック・ボックスを選択します。このオプションを使用すると、エンド・ユーザーは、「追加」を選択し、「カタログ」からアプリケーションを選択することで、「自分のアプリケーション」ページからアプリケーションへのアクセス権をリクエストできます。

エンティティID: SAMLエンティティのグローバルに一意の名前を入力します。エンティティIDは、通常、アイデンティティ・プロバイダまたはサービス・プロバイダのURLです。

Holder-of-Keyのサブジェクト確認が必要です: このオプションをオンにして、アイデンティティ・プロバイダがSAML認証Holder-of-Key (HOK)アサーションを送信できるサービス・プロバイダのエンドポイントを入力します。

アサーション・コンシューマのURL: SAMLアイデンティティ・プロバイダがSAMLアサーションを送信するURLを入力します。このURLは、HTTPまたはHTTPSプロトコルで開始する必要があります。

名前IDフォーマット: 名前IDに使用するフォーマットのタイプを選択します。サービス・プロバイダとアイデンティティ・プロバイダは、通信中にサブジェクトを簡単に識別するために、このフォーマットを使用します。

Name ID値: ログインしているユーザーを識別するName ID値を選択します。使用可能なオプションは、「ユーザー名」、ユーザーのプライマリ電子メール・アドレスおよび「式」です。「式」オプションを選択する場合、テキスト・ボックスに値としてパス式を入力します。値の文字制限はありませんが、マップされない無効な文字の値に対して実行される検証ルールがあります。

パス式の例を次に示します。

• アサーション属性の値として自宅電子メールを送信するには、次を使用します。

  $(user.emails[type eq "home"].value)

• アサーション属性として姓と連結されたユーザーの名を送信するには、次のものを使用します。

  #concat($(user.name.givenName), $(user.name.familyName))

• アサーション属性の値としてSALARYというアカウント属性を送信するには、次を使用します:

  $(account.SALARY)

• カスタム・スキーマ拡張から属性departmentを含めるには、次を使用します。

  $(user.urn:ietf:params:scim:schemas:idcs:extension:custom:User:department)

署名証明書: SAMLアサーションの暗号化に使用する署名証明書をアップロードします。