Google WorkspaceのSAML 構成

この記事では、Google Workspace を Safous ZTA サービスに統合し、認証用の外部 ID プロバイダとして使用する方法を説明します。このステップを続ける前に、すでに以下の内容が揃っていることを確認してください:

Safous ZTAのSAML設定に関する基本情報はこちらでご確認ください。
Google Workspaceに管理者権限のあるアカウントを持っていること。

この手順は、GoogleとSafousの両エンドで適用する必要があるため、両方の管理ポータルページにログインしていることを確認した上で、以下の手順を実行してください。

自身のGoogle Workspace ポータル https://admin.google.com/へログインします。
Apps > Web and mobile appsに進んでください。
Add appをクリックし、 Add custom SAML appを選択してください。
App nameを入力します。また、必要に応じて詳細な説明を追加したり、アプリのアイコンを変更したりすることができます。Continueをクリックします。
Google Workspaceが提供するIdPメタデータの詳細が表示されます。
https://portal.safous.comにログインします。
Settings タブからZTNAに進みます。
Configurationsで Identity Providerを選択します。
統合された ID プロバイダーのリストが表示されます。デフォルトではlocalのみです。
New IDPをクリックするとIDPのフォームが表示されます。
名前を入力し、ステータスが有効であることを確認します (緑色) 。
IDプロバイダの設定に SAML を選択していることを確認します。
Entity Issuerに、後ほどGoogle Workspaceで使用する名前を入力します。
SSO Issuerに手順5で確認したEntity IDの値を入力します。
SSO URLに手順5で確認したSSO URLの値を入力します。
Username Attributeフィールドにemailを入力します。
Email Attributeに email を入力します。
CA TrustedCertificateフィールドに、手順5で取得したCertificateを入力します。
Safous ZTNA SAML のその他の設定についてはこちらをご参照ください。
設定が完了したら、"Save "をクリックします。
保存ができたらIdPを展開して、Redirect URIを取得する必要があります。
Google Workspaceに戻り Continueをクリックしてください。
ACS URL の値は、手順 21 の Redirect URI の値を入力します。
Entity ID の値は手順13で入れた Entity Issuerを入れてください。
Name ID Format を"EMAIL"に変更してください。
Continue をクリックします。
Attributeで、Add Mapping をクリックします。
Google Directory Attributeでは"Primary email"を選択ください。
App attribute に "email"と入力します。
FINISHをクリックしてください。
作成後、作成した App ページにリダイレクトされるので、User accessから "Expand user access" をクリックします。
作成したAppの別のページ設定にリダイレクトされるので、ON for everyoneになっていることを確認して、"SAVE "をクリックします。
すべて正しく設定されていれば、ユーザーポータル https://users.<xxxx>.ztna.safous.com にログインし、「With IdP」をチェックすると、SAML 設定が表示されます。