SAML認証オプションのご利用にあたり
本機能は有償のオプションとなります。
オプションのご契約や費用のお見積等につきましては、
管理コンソール内のお問い合わせフォームよりご連絡ください。
SAML認証とは
SAML (Security Assertion Markup Language) 認証は、異なるドメイン間でユーザーの認証情報を安全にやり取りするためのXMLベースの標準規格です。これにより、ユーザーは複数のサービスにログインする際、IDプロバイダー（IdP）と呼ばれる1つのサービスで認証を行うだけで、サービスプロバイダー（SP）にシングルサインオン（SSO）できるようになります。
たとえば、HENNGE Access Control にログイン後に Customers Mail Cloudに自動的にログインできるようになる仕組みです。
Customers Mail Cloud、CMC Domain Protectionでは IdP-Initiated アクセス方式 のシングルサインオンを提供します。
※現在 SP-Initiated アクセス方式には対応しておりません。
ご利用可能なIdPについて
現在、以下のIdPとの連携（IdP-Initiated SSO）について、動作検証済みです。
・HENNGE ONE（HENNGE Access Control）
・Microsoft Entra ID（旧 Azure AD）
・Google Workspace（Google Cloud Identity）
その他IdPをご利用の際は、お客様にて導入・検証の実施をお願いいたします。
※詳細な仕様については「設定」をご参照ください。
SAML認証の構成要素とフロー
SAML認証は、以下の3つの主要な要素で成り立っています。
IdP (Identity Provider): ユーザーの認証情報を管理するサービスです。ユーザーがIdPでログインすると、SPに認証情報（アサーション）を提供します。
例：HENNGE ONE、Microsoft Entra ID、Google Workspace（Google Cloud Identity）、OneLoginSP (Service Provider): ユーザーが利用するサービス（アプリケーション）です。IdPから送られてきたアサーションを検証し、ユーザーにサービスへのアクセスを許可します。
例：Customers Mail Cloud、CMC Domain Protection、Slack、ZoomUser Agent: ユーザーが利用するウェブブラウザ（Google Chrome、Microsoft Edgeなど）です。
認証フロー
ここでは、IdP-Initiated SSOのフローを説明します。 IdPはHENNGE Access Control、SPはCustomers Mail Cloud とします。
ユーザーがIdPにログイン
ユーザーはIdPのポータルサイトにアクセスし、IDとパスワードなどの認証情報を入力してログインします。IdPがSAMLアサーションを生成
認証が成功すると、IdPはユーザー情報を含むSAMLアサーションを生成します。このアサーションは、SPがユーザーを識別するために必要な情報（ユーザー名、メールアドレスなど）を含んでいます。ユーザーがSPを選択
IdPにログインしたユーザーは、連携しているSPのリストが表示されたダッシュボード画面などを参照します。
ユーザーは利用したいSPのアイコンやリンクをクリックします。
IdPでCustomers Mail Cloud をSPとして追加する手順は「シングルサインオン設定マニュアル」を参照くださいIdPがSAMLレスポンスを送信
ユーザーがSPを選択すると、IdPは生成したSAMLアサーションを含むSAMLレスポンスをユーザーのブラウザに送信します。ブラウザがSPにリダイレクト
ユーザーのブラウザは、このSAMLレスポンスを自動的にSPのACS（Assertion Consumer Service）URLにHTTP POSTメソッドで送信します。SPがSAMLレスポンスを検証
SPは受信したSAMLレスポンスとアサーションを検証します。この際、アサーションのデジタル署名を確認し、信頼できるIdPからのものかを検証します。SPがユーザーを認証
検証が成功すると、SPはアサーション内のユーザー情報を基に、ユーザーをサービスにログインさせます。
SPの設定項目
SP側でSAML認証を有効にするためには、主に以下の情報をIdPと共有・設定する必要があります。
エンティティID (Entity ID): SPを一意に識別するためのURIです。
アサーションコンシューマサービスURL (Assertion Consumer Service URL / ACS URL): IdPから送られてくるアサーションを受け取るためのSP側のエンドポイントURLです。
公開鍵証明書 (Public Certificate): アサーションの署名を検証するために使用します。IdPから受け取った公開鍵証明書をSPに登録します。
設定と確認方法についてはSAML設定マニュアルを参照ください。
