Google Workspace における SAML SSO の設定

このガイドでは、Google Workspace に新しいアプリケーションを作成し、Axur プラットフォームのサービスと SAML 2.0 を通じて通信できるようにする手順を順を追って説明します。
このガイドでは、シングルサインオン（SSO）が正しく、期待通りに機能するようにするために必要なすべての設定について説明します。

Axur プラットフォームでの SSO アプリケーション作成に関するすべてのチュートリアルでは、「ユーザー」と「グループ」という概念が登場します。
というのも、プロバイダ（ここでは Google Workspace）は、ユーザー情報の保管場所であり、ユーザーが所属するグループ（グループの作成は任意）もここで管理されるからです。

このセクションでは、Google Workspace でのグループとユーザーの作成方法、そしてユーザーをグループに割り当てる方法について解説します。

注意：
グループ名は、あらかじめ定められた形式に従っていることが非常に重要です。
具体的には、新しく作成するグループには、以下の表にある値を**サフィックス（接尾辞）**として含める必要があります。

このように、「Axur-one-manager」 や 「ClientX-one-expert」 のようなグループ名は有効ですが、「Axur-manager」 や 「ClientX-analyst」 のような名前は無効です。
これは、期待されるサフィックスが含まれていないためです。

ユーザーを作成するには、以下の画像に示された手順に従ってください。

作成したグループにユーザーを割り当てるには、以下の画像に示された手順に従ってください。

以下のリンクから Google Workspace にアクセスし、管理者アカウントでログインしてください。
その後、以下の画像に示された手順に従い、Axur プラットフォーム向けの情報を入力して新しい SAML アプリケーションを作成します。

Google Workspace をアイデンティティプロバイダとして使用しているため、Axur プラットフォームに対して通信相手が誰であるか、そしてそのデータが安全で信頼できるものであることを伝えるための情報を取得する必要があります。

SAML アプリケーション作成のプロセスに従って、以下の画像をご覧ください。

本チュートリアルでは、最初のオプションを使用します。ファイルをダウンロードし、問題なく開けることを確認してください。
このファイルはチュートリアルの最後に、Axur プラットフォームでの SSO 設定に使用します。

Google は SSO が正しく機能するために、通信相手を認識する必要があります。
以下の画像に従い、Axur プラットフォームの以下の情報を Google Workspace の設定に入力してください。

以下は入力が必要な情報です（これらの値は固定されており、記載通りに正確に入力してください）：

Google Workspace をプロバイダとして利用する場合、Google が管理・保存している既存の認証情報を活用しています。これらの認証情報はプロバイダによって定められたフォーマットで保存されています。
しかし、SAML を使って Axur プラットフォームと通信するためには、ユーザーデータを標準化された形式で送信する必要があります。
つまり、Google やその他のプロバイダからのデータに関わらず、Axur プラットフォームが常にユーザーのメール属性を同じ形式で受け取れるように保証しなければなりません。異なるプロバイダはデータを異なる方法で管理しており、このマッピングによってその問題を解決します。

以下の画像に示された手順に従い、Google Workspace アプリケーションにユーザー属性のマッピングを追加してください。

入力が必要な値は以下の通りです：

ユーザー属性と同様に、特定の基準に基づいてユーザーをまとめる「グループ」もあります。これらのグループは管理者が Google Workspace で作成します。前のセクションで説明したように、これらのデータをプロバイダに関係なく標準化された形式で Axur プラットフォームに送信するために、マッピングを作成する必要があります。

このセクションでは、「グループ、ユーザー、および割り当て」のセクションで作成した各グループについて、Google Workspace に対してこれらのグループ名が Axur プラットフォームに送信される際にどのようにマッピングされるべきかを設定する方法に焦点を当てています。

以下の画像に従い、Google Workspace の設定でグループマッピングを作成してください（右側に入力する値は指定されたものを使用してください）。

http://schemas.xmlsoap.org/claims/Group

グループ属性およびユーザー属性のマッピング作業が完了したら、以下の画像のようにアプリケーションの設定が正しいか確認してください。

作成した新しいアプリケーションにユーザーまたはグループを割り当てる作業だけが残っています。

以下の画像に示された手順に従って、この作業を行ってください。

もしプロバイダ経由でグループを作成することを選択した場合は、作成したグループを選択し、それらがアプリケーションで有効になっていることを確認してください。これにより、これらのグループに所属するすべてのユーザーがアプリケーションにアクセスできるようになります。

プロバイダ経由でグループを作成しない場合は、組織単位（OU）に対してアプリケーションを有効にすることも可能です。これにより、その OU に所属するすべてのユーザーがグループを作成せずにアプリケーションにアクセスできるようになります。
​

Google Workspace には、SAML アプリケーション作成時によく発生するエラーをまとめたサポートページがあります。こちらのページは「ここをクリック」してアクセスできます。
一般的に、エラーが発生した場合は以下を必ず確認してください。

以上で、Google Workspace 側の必要な設定は完了です。
プラットフォームの設定ガイドに戻り、アプリケーションの作成を完了してください。