複数プロバイダー SSO (SAML) IdP 認証フロー
SAML マルチ SSO を介してユーザーを認証できるさまざまなエンティティについて説明します。
認証フローに従うと、エンティティがマルチ SSO を使用してユーザーを認証するタイミングを把握できます。
- ローカル DB
- マルチ SSO が有効になっていない場合、認証はローカル DB に送信されます。
- SAML SSO Cookie IdP
- SAML SSO cookie が存在する場合、この cookie で指定された IdP がユーザーを認証します。
- 自動リダイレクト IdP
- 自動リダイレクト IdP が有効になっている場合、この IdP がユーザーを認証します。
- フェデレーション IdP
- ユーザーのブラウザーが外部認証 (login_locate_sso.do) のログイン画面にリダイレクトされ、[SSO ソース] フィールドで IdP が [フェデレーション：xxx (federation:xxx)] に設定されたユーザーがユーザーテーブル内に存在する場合、フェデレーション IdP がユーザーを認証します。
- 関連 IdP
- ユーザーのブラウザーが外部認証 (login_locate_sso.do) のログイン画面にリダイレクトされ、[SSO ソース] フィールドで IdP が [SSO：xxx] に設定されたユーザーがユーザーテーブル内に存在する場合、関連 IdP がユーザーを認証します。
- 自動プロビジョニング IdP
- ユーザーのブラウザーが外部認証 (login_locate_sso.do) のログイン画面にリダイレクトされ、ユーザーテーブル内にユーザーが存在しないが自動プロビジョニングが有効になっている場合は、自動プロビジョニング IdP がユーザーを認証します。 注:複数の自動プロビジョニング IdP が有効になっている場合、ユーザーは使用可能な自動プロビジョニング IdP を選択できます。
- デフォルト IdP
- ユーザーのブラウザーが外部認証 (login_locate_sso.do) ログイン画面にリダイレクトされ、ユーザーが次のいずれかの場合：
- ユーザーテーブル内に存在せず、自動プロビジョニングが有効になっておらず、アクティブなデフォルト IdP がある場合
- ユーザーテーブル内に存在し、SSO ソースユーザーまたは会社レコードに IdP が指定されておらず、アクティブなデフォルト IdP がある場合