サイボウズのクラウドサービス基盤
「cybozu.com」との認証連携方法

コンテンツに進む

はじめに

本レポートでは、サイボウズのクラウドサービス基盤である「cybozu.com」とHP IceWall SSOとの認証連携方法と、その検証結果に関して記述します。

cybozu.comとは?

cybozu.comはグループウェア/コラボレーションソフトを開発・販売するサイボウズ株式会社の提供するクラウドサービス基盤です。情報セキュリティマネジメントシステム(ISMS)を構築し、クラウドサービス基盤(サーバー及びOS)の運用について、ISO/IEC 27001:2005 の認証を取得しています。(認証番号:IS 577142 認証登録日:2011/11/10)

cybozu.comの特徴

すぐにつかえる
お申し込み後、すぐに利用が開始できます。
お申し込みから最短5分でお客様専用の環境を用意し、必要な時にすぐに利用開始できます。 また、各サービスの画面は社員全員が使えるように設計されており、導入したその日から運用開始することが可能です。

モバイル対応
複雑なネットワーク設定や追加料金なしで、スマートフォンやタブレットなどモバイル端末からの接続を行えます。スマートフォン向けには、専用アプリケーション「サイボウズ KUNAI」を用意。快適な操作性で、スケジュールやワークフロー機能を利用できます。

安心のクラウドサービス
常に最新バージョンのサービスをサイボウズが管理するデータセンターでご利用いただけます。バックアップや障害対応など、サーバーの運用作業は不要です。バックアップや冗長化をデータセンターに任せることで、データ消失などのリスクも低減できます。

cybozu.com でSAMLの認証連携ができるメリット

業務用のアプリケーションが社内に複数存在する場合、シングルサインオンを導入することがあります。近年クラウドサービスが普及し、社内環境と社外にあるクラウド環境といったようにネットワークをまたぐ複数の環境を利用することが増えています。

「cybozu.com」の提供するグループウェア機能は、企業内の情報系システムの入り口として利用頻度が高く、認証を簡略化させることによって利用促進を図ることができます。
SAMLはB2Bサービスにおける認証技術のデファクトスタンダードとなっています。SAMLをサポートすることで、上述のような社内とcybozu.comとのシングルサインオンを実現することができると同時に、多様なサービスとのシングルサインオンを可能にしています。

SAMLとは?

Security Assertion Markup Language (SAML) とは、異なるセキュリティドメイン間で認証情報を連携するための、XMLベースの標準仕様です。SAML認証を設定すると、社内のIdentity Provider(IdP)に登録されたユーザーアカウントで、cybozu.comにシングルサインオン(SSO)できます。 cybozu.comはSAML 2.0に対応し、Service Provider(SP)として動作します。

ここではSAML認証を使用したSSOの流れ、およびcybozu.comの設定手順を説明します。

本ページでは、構築済みのIdPとしてHP Ice Wall SSO とcybozu.comをSAML認証で連携する方法を説明します。

SAML認証を使用したSSOの流れ

SAML認証を有効にすると、cybozu.comはSP InitiatedなSSOを行います。

SAMLリクエストとSAMLレスポンスには、次のバインディングを使用します。
SAMLリクエスト:HTTP Redirect Binding
SAMLレスポンス:HTTP POST Binding

cybozu.comがユーザーを認証する流れは、次のとおりです。
  1. ユーザーがcybozu.comにアクセスする。
  2. cybozu.comがSAMLリクエストを生成する。
  3. ユーザーが、SPからSAMLリクエストを受け取る。
  4. IdPがユーザーを認証する。
  5. IdPがSAMLレスポンスを生成する。
  6. ユーザーが、IdPからSAMLレスポンスを受け取る。
  7. cybozu.comがSAMLレスポンスを受け取り、検証する。
  8. SAMLレスポンスの内容に問題がない場合は、ユーザーがcybozu.comにログインした状態になる。

Identity Providerとcybozu.comをSAML認証で連携する

IdPとcybozu.comをSAML認証で連携するには、IdPとcybozu.comの両方で設定を行います。

IdPにcybozu.comを登録する
cybozu.comをSPとして設定するため、IdPに次の情報を登録します。
IdPとなるHP IceWall Federationでの設定方法は後述しますが、ここでは登録に必要な情報を記述します。
  • cybozu.comのエンドポイントURL:https://(お客様が指定したドメイン名).cybozu.com/saml/acs
  • エンティティID:https://(お客様が指定したドメイン名).cybozu.com
    URLの最後に"/"(スラッシュ)をつけないでください。
  • ユーザーを識別する要素:NameID
cybozu.comをSPとして登録する際に、メタデータファイルを使用することもできます。
メタデータファイルを入手するには、「cybozu.com共通管理」の「ログインのセキュリティ設定」画面で「SAML認証を有効にする」を選択し、[Service Providerメタデータのダウンロード」をクリックします。


■cybozu.comでSAML認証を設定する

cybozu.comでSAML認証を有効化し、IdPの情報を設定します。

手順:
  1. 「cybozu.com共通管理」画面の「セキュリティ」の[ログイン]をクリックします。
  2. 「SAML認証を有効にする」を選択します。
  3. 必要な項目を設定します。
    • Identity ProviderのSSOエンドポイントURL(HTTP-Redirect) SAMLリクエストの送信先を設定します。
    • cybozu.comからのログアウト後に遷移するURL cybozu.comからログアウトした後に表示される、IdPのURLを設定します。
    • Identity Providerが署名に使用する公開鍵の証明書
      RSAかDSAのアルゴリズムで生成された、公開鍵の証明書ファイルを添付します。
      X.509形式の証明書のみ利用できます。
  4. [保存]をクリックします。
  5. SAML認証を使用してログインするユーザーのログイン名を確認します。 cybozu.comのユーザーのログイン名に、NameIDに関連付けた値が登録されているかどうかを確認します。
  6. SAML認証を使用してcybozu.comにSSOできるかどうかを確認します。 次の操作ができれば、設定は完了です。
    • cybozu.comにアクセスすると、IdPの認証に成功し、ログイン後の画面が表示される。
    • ログイン後の画面で、右上のユーザー名 > [ログアウト]の順にクリックすると、正常にログアウトできる。
■HP IceWall Federation を設定する

IdP側として、HP IceWall SSOのバックエンドに配置したHP IceWall Federationで、cybozu.comの情報を設定します。

事前準備:
「HP IceWall Federation Version 3.0 導入ガイド」に従って、IWFA 連携モジュールが導入されているものとします。

手順:
「HP IceWall Federation Version 3.0ユーザーズマニュアル」に従って、必要な項目を設定します。 以下の設定例では、HP IceWall SSOにログインするユーザーのログイン名をNameIDにて、cybozu.comのユーザーのログイン名と関連付けるようにしています。

環境に応じて、IWFA 連携モジュール設定ファイル(iwidp.conf)の以下の値を編集します。 詳細については「HP IceWall Federation Version 3.0 リファレンスマニュアル」を参照してください。

Identity ProviderのエンティティIDを設定します。
ISSUER= https://(IceWall Federationのドメイン名)
例:https://sso.yourcompany.com

Service ProviderのエンティティIDを設定します。
SP_ENTITY_ID=https://(お客様が指定したドメイン名).cybozu.com
URLの最後に"/"(スラッシュ)をつけないでください。

Service ProviderのSSOエンドポイントURL(HTTP-POST) SAMLレスポンスの送信先を設定します。 ACS_URL= https://(お客様が指定したドメイン名).cybozu.com/saml/acs


■アクセス方法

ユーザーがHP IceWall SSOにログインしていない状態でcybozu.comにアクセスする場合、 https://(お客様が指定したドメイン名).cybozu.com/ にアクセスすると自動的にHP IceWall SSOのログイン画面が表示されます。ログイン・パスワードを入力して認証が完了すると自動的にcybozu.comの画面に移行し、サービスを利用することができます。
ユーザーが先に他のアプリケーションを使用していて、HP IceWall SSOへのログインが完了している状態でcybozu.comにアクセスすると、ログイン画面が表示せずにそのままcybozu.comを使用できます。

cybozu.comに関するお問い合わせ

サイボウズ株式会社 インフォメーションセンター
contactus@cybozu.co.jp

HP IceWall Federation の設定方法やHP IceWall SSOについてのお問い合わせはこちらをご覧ください。
≫ HP IceWall ソフトウェア ソリューション連携一覧ページへ