EloView SSOのためのMicrosoft Entra ID (Azure AD) アプリのロールとSAMLクレームの設定方法

対象読者: 公開 / Eloの顧客、クラウドアイデンティティアーキテクトおよびIT管理者

記事タイプ: シングルサインオン (SSO) およびクラウドアイデンティティ設定ガイド

この包括的なガイドでは、Microsoft Entra ID (以前のAzure Active Directory) でカスタムアプリロールを作成し、それをディレクトリユーザー及びグループにマッピングし、これをEloView®にロールベースのアクセス制御 (RBAC) 用のSAMLトークンクレームとして渡す方法を説明します。

アーキテクチャ: アプリロールとセキュリティグループの比較

Entra IDがアプリケーションレベルの権限をどのように処理するかをディレクトリ全体のセキュリティグループと比較して理解します：

EloViewロールマッピングの例

組織のチームに合ったカスタムセキュリティロールをEloViewで作成します：

ステップ1: Azureアプリ登録にアプリロールを宣言する

1. Azure ポータル (またはMicrosoft Entra管理センター) にサインインします。
2. Azure Active Directory (Microsoft Entra ID) > アプリ登録 に移動します。

3. 登録済みのEloViewアプリケーションを選択します。

   

4. 左側のナビゲーションメニューの管理 の下で、アプリロールをクリックし、次にアプリロールの作成を選択します。

   

5. アプリロールの作成 スライドバーで、ロールパラメータを設定します：

   • 表示名: スペースを含めることができます (例: EloView Admins).
   • 許可されるメンバータイプ: ユーザー/グループ を選択します。
   • 値: 正確なロールトークン文字列 — スペースを含めることはできません (例: EloView_Admins).
   • 説明: 内部管理用の説明。

   

6. 適用をクリックしてロールを保存し、必要なすべてのEloViewロールに対して繰り返します。

   

ステップ2: ユーザーとグループをアプリロールに割り当てる

1. Azureポータルで、エンタープライズアプリケーション > すべてのアプリケーション に移動し、あなたのEloViewエンタープライズアプリを選択します。

   

2. 管理の下で、ユーザーとグループをクリックし、次にユーザー/グループを追加を選択します。

   

3. 対象のユーザーまたはグループを選択し、次にロールを選択をクリックして対応するアプリロール (例:EloView_Admins) を割り当てます。

   

4. 選択をクリックし、次に割り当てをクリックします。残りのすべてのユーザーとセキュリティグループに対して繰り返します。

ステップ3: シングルサインオンでSAMLロールクレームをマッピングする

1. エンタープライズアプリケーションの下で、管理 > シングルサインオン (SAML) に移動します。

2. 属性 & クレームセクションで、編集をクリックします。

   

3. 新しいクレームを追加をクリックし、次のパラメータを設定します：

   • 名前: roles (ケース感知: 厳密に小文字で、名前空間なし)
   • ソース: 属性
   • ソース属性: user.assignedroles
   
4. 保存をクリックします。

ステップ4: SSOのテストおよびトークン発行の確認

1. AzureでのSAMLトークンのテスト: Azureのシングルサインオンをテストするユーティリティを使用して、発行されたSAMLアサーションを検査します。属性が設定したロールで表示されることを確認します：

   roles = EloView_Admins

   

2. ポータルのロール割り当てを確認: SSO経由でEloViewポータルにログインし、ユーザーのアクティブセッションがマッピングされたロールを反映していることを確認します (例: (SAMLUser)EloView_Admins)。