Auth0をSAML Identity Provider/SAML Service Providerとして使う #Auth0JP

Auth0のSAML連携の機能

Auth0はSAML（Security Assertion Markup Language）連携について、以下の機能を持っています。

• SAML Identity Provider（SAML IdP）として : アプリケーションにログインする手段としてSAMLの認証プロバイダとなる
• SAML Service Provider（SAML SP）として : 接続先（Connection）をSAMLで連携する（SAML Identity Providerからシングルサインオンさせる）

今回はSAML Identity Provider（SAML IdP）、SAML Service Provider（SAML SP）のそれぞれの機能をAuth0にテナントを2つ用意して試します。

Auth0のブログで紹介されている内容もかなり参考になりますので、あわせてご覧ください。

• SAML 認証はどのように機能するか？ | Auth0 Blog

「SAML Identity Providerとして使う」とは？

特にエンタープライズ向けのサービス・ツールでは、組織で使う際のID管理を「SAML Identity Providerで行う」形式が取られている場合が多いです。例えば以下の記事のようなケースです。

• Auth0を連携してTableau Serverの認証をSSOにしてみる #tableau ｜ DevelopersIO
• Alteryx ServerでSAML認証を試す（Auth0編） ｜ DevelopersIO

こちらの2つの記事では、Tableau Server、Alteryx Serverといったサービスで、Auth0をSAML Identity Providerとして使っています。これが実現できるのは、Tableau Server、Alteryx ServerがそれぞれSAML認証をサポートしているからです。

SAMLの用語として、SAML連携をサポートしている認証プロバイダをSAML Identity Providerと呼びます。

「SAML Service Provider（SAML SP）として使う」とは？

Auth0の最大の特徴は 多種多彩な接続方式 にあります。ソーシャルコネクション（Google, LINE, Facebook, Amazonなど）に目が行きがちですが、エンタープライズ向けの連携ができるように、SAMLやAD、LDAPなどの連携機能も提供しています。

特にエンタープライズ向けの認証基盤製品はSAML連携をサポートしていることが多いです。

SAMLの用語として、SAMLでシングルサインオンさせる先をSAML Service Providerと呼びます。

2つのテナントで試してみる

今回は Auth0に2つのテナントを用意 し、SAML IdP / SAML SPのそれぞれの機能を持たせた構成を作ってみたいと思います。

• TenantA（SAML IdPテナント） : SAML IdPとして使うテナント
• TenantB（SAML SPテナント） : SAML SPとして使うテナント

|App| <-> |TenantB| <-> |TenantA|

TenantA（SAML IdPテナント）を設定する

まずはSAML IdPテナントとなるTenantAの設定です。テナント自体は作成済みの前提で進めますので、あらかじめ作成しておきましょう。

「CREATE APPLICATION」をクリックし、Application（Client）を新規作成します。

Application Typeは「Regular Web Application」を選択しましょう。

項目	値
Name	SAML IdP App
Application Type	Regular Web Application

次に、TenantB（SAML SPテナント）にSAML連携を設定するための情報を集めます。「Settings」タブをクリックし、下にスクロールし「Show Advanced Settings」をクリックします。

「Certificates」タブを開き「DOWNLOAD CERTIFICATE」をクリックし、PEM形式の証明書をダウンロードします。

次に「Endpoints」タブを SAML Protocol URL と SAML Metadata URL のURLをコピーし、テキストファイルなどに記録しておきます。こちらはTenantB（SAML SPテナント）に設定する際に使用します。

TenantB（SAML SPテナント）を設定する

次にSAML SPとなるTenantBの設定です。こちらもテナント自体は作成済みの前提で進めますので、あらかじめ作成しておきましょう。ダッシュボードのテナントをTenantBに切り替えてください。

左メニューの「Connections」の「Enterprise」を開き、「SAMLP Identity Provider」の「+」をクリックします。

いくつかの設定を行います。下記に記載している項目以外はそのままで問題ありません。

項目	値
Connection Name	SAML-SP（自由に設定してください）
Sign In URL	事前にコピーしておいたSAML Protocol URL
X509 Signing Certificate	事前にダウンロードしておいたPEM形式の証明書ファイル
Sign Out URL	事前にコピーしておいたSAML Protocol URL

「SAVE」をクリックし、設定を完了します。

TenantA（SAML IdPテナント）にTenantB（SAML SPテナント）を設定する

次にTenantA（SAML IdPテナント）に、TenantB（SAML SPテナント）からのSAML認証リクエストを受け付けられるように設定を行います。再度TenantA（SAML IdPテナント）の設定に戻ります。ダッシュボードのテナントをTenantAに切り替えてください。

左メニューから「Applications」を開き、先ほど作成したApplicationの設定を開きます。

「Addons」セクションの「SAML2 SAML2 WEB APP」をクリックします。

「Application Callback URL」に、以下のURLを指定します。

https://【TenantBのドメイン】.auth0.com/login/callback?connection=【TenantBに設定したSAMLP Connection名】

例えば【TenantBのドメイン】が tenant-b 、【TenantBに設定したSAMLP Connection名】が SAML-SP の場合は以下のURLになります。

https://tenant-b.auth0.com/login/callback?connection=SAML-SP

以上で完了です。

サンプルアプリケーションで試す

最後に、サンプルアプリケーションで動作を確認してみましょう。

TenantB（SAML SPテナント）に新規Applicationを作成します。サンプルアプリケーションの作り方は以下を参考にしてください。

• これから始めるAuth0 – ノンコーディングでサンプルアプリケーションを動かそう！ #Auth0JP ｜ DevelopersIO

「Connections」タブで今回作成したSAML Connectionだけ有効にしておくと分かりやすいです。

「Login」をクリックするとTenantB（SAML SPテナント）のログイン画面が表示されます。「Login at SAML-SP」が表示されています。

「Login at SAML-SP」をクリックすると、TenantA（SAML IdPテナント）のログイン画面が表示されます。TenantA（SAML IdPテナント）側でユーザーを作成していない場合は「Sign Up」タブでユーザーを新規登録します。

サンプルアプリケーションの認可画面が表示されたあと、サンプルアプリケーションでログイン済みの状態になります。sub を見てみると、SAMLでログインされたユーザーであることが分かります。

samlp|SAML-SP|auth0|5cd4ece6c01a01110eec67a2

SAML連携を試してみたい場合に活用しよう

今回はAuth0のみでSAML Identity Provider（SAML IdP）としての機能、SAML Service Provider（SAML SP）としての機能を試しました。これは以下のような場合に有用です。

• Auth0の接続先としてSAML IdPを使う予定だが、SAML IdPをモック化して試したい
• Auth0をSAML IdPとして使う予定だが、SAML SPを用意する前にSAML IdPとしての利用方法を知りたい
• SAML連携する環境を開発向けに用意したい

SAMLはエンタープライズ向けのツールやサービスでのユースケースが多いのですが、開発環境が十分に用意できなかったり、環境準備までに時間がかかってしまうことがあります。Auth0をうまく使いこなしながら開発効率を高めましょう！