【Alteryx One】 Microsoft Entra IDとのSAML SSO認証でTest Connectionが失敗する場合の確認方法
困っていた内容
Alteryx OneでMicrosoft Entra ID をIdPとして利用するため、SAML 2.0によるシングルサインオン（SSO）の設定を行っています。
Alteryx OneとMicrosoft Entra IDの双方でSAML設定を実施し、Alteryx One側の「Test Connection」を実行したところ、以下のエラーが発生しました。
ErrorCode: UNEXPECTED_AUTHN_FAILURE
The domain of the request does not match
the domain used to initialize the flow
Microsoft Entra ID側のサインインログを確認すると、認証自体は成功と記録されていますが、Alteryx One側ではSSO認証が完了しない状況です。
また、Relay Stateの再設定やSAML属性名の大文字・小文字の変更などを試しましたが、改善しませんでした。
このように、Microsoft Entra ID側では認証が成功しているにもかかわらず、Alteryx One側でSSO認証エラーが発生する場合、どのような原因が考えられ、どのような項目を確認すればよいでしょうか？
具体的な解決策
Alteryx OneとMicrosoft Entra IDをSAML 2.0で連携する場合、Alteryx One側のサービスプロバイダー（SP）情報と、Microsoft Entra ID側のIDプロバイダー（IdP）情報を正しく設定する必要があります。
Microsoft Entra ID側で認証が成功していても、Alteryx One側でSAML Responseの検証や認証フローの処理に失敗した場合、SSO認証が正常に完了しないことがあります。
そのため、エラーメッセージだけで原因を断定せず、双方のSAML設定や認証フローを順番に確認することが重要です。
1. ACS URL・Entity ID・Relay Stateの設定を確認する
まず、SAML認証の送信先や識別情報に関係する設定を確認します。
Alteryx One側では、以下の手順で設定画面を表示します。
- Alteryx Oneへ管理者権限を持つユーザーでサインインする。
- 「Workspace Admin」→「Single Sign-On」を開く。
- 「Protocol」で「SAML」が選択されていることを確認する。
- ACS URL、Service Provider Entity URL、Relay Stateの設定を確認する。
図1：Alteryx OneのSAML設定画面。ACS URL、Service Provider Entity URL、Relay Stateを確認します。
各項目の役割と確認ポイントは以下のとおりです。
| 設定項目 | 内容 | 確認ポイント |
|---|---|---|
| ACS URL | SAML Responseを受信するエンドポイント | Entra ID側の応答URLと一致しているか |
| Service Provider Entity URL | Alteryx OneをSPとして識別する情報 | Entra ID側の識別子と一致しているか |
| Relay State | 認証フローの状態情報を引き継ぐ値 | Entra ID側に正しく設定されているか |
ACS URL・Entity IDの確認
Microsoft Entra ID側では、以下の手順で設定値を確認できます。
- Microsoft Entra管理センターへアクセスする。
- 「Entra ID」→「エンタープライズアプリケーション」を開く。
- Alteryx OneとのSSO連携に使用しているアプリケーションを選択する。
- 「シングルサインオン」→「SAML」を開く。
- 「基本的なSAML構成」の「編集」を選択する。
- 「識別子（エンティティID）」と「応答URL（ACS URL）」を確認する。
Alteryx OneとMicrosoft Entra IDでは、以下の項目が対応しています。
| Alteryx One側 | Microsoft Entra ID側 |
|---|---|
| Assertion Consumer Service URL | 応答URL（ACS URL） |
| Service Provider Entity URL | 識別子（エンティティID） |
これらの値に不一致がある場合、SAML認証の処理に影響する可能性があります。
Alteryx公式ドキュメントでは、Alteryx One側に表示されているACS URLとService Provider Entity URLをMicrosoft Entra ID側へ設定するよう案内されています。
そのため、設定値が異なっている場合は、現在のAlteryx One側に表示されている値を基に修正を検討してください。
また、Microsoft Entra ID側に複数の応答URLや識別子が登録されている場合は、現在利用する値が正しく登録され、既定値として選択されているかも確認します。
Relay Stateの確認
Relay Stateは、SAML認証フローにおいて状態情報を引き継ぐために利用される値です。
Alteryx Oneでは、SAML設定を保存した後にRelay State URLが自動生成されます。
Alteryx公式ドキュメントでは、以下の手順でRelay Stateを設定するよう案内されています。
- Alteryx One側でSAML設定を保存する。
- 「View Configuration Details」を選択する。
- 生成されたRelay State URLをコピーする。
- Microsoft Entra ID側の「基本的なSAML構成」を開く。
- 「Relay State（省略可能）」にコピーした値を入力する。
- 設定を保存する。
Relay Stateを再設定しても改善しない場合は、ACS URLやEntity IDなど、ほかの設定項目についても確認を進めます。
2. SAML属性マッピング・Metadata URLの設定を確認する
次に、Microsoft Entra IDからAlteryx Oneへ送信するユーザー属性と、IdPのメタデータ設定を確認します。
これらの項目は、Alteryx Oneの「Single Sign-On」設定画面から確認できます。
図2：Alteryx OneのSAML属性マッピングとメタデータ設定画面。各属性名とMetadata URLを確認します。
SAML属性マッピングの確認
SAML認証では、Microsoft Entra IDからAlteryx Oneへユーザー情報が送信されます。
Alteryx公式ドキュメントでは、以下の属性を設定するよう案内されています。
| 属性名 | Microsoft Entra IDのソース属性 |
|---|---|
email |
user.mail |
firstName |
user.givenname |
lastName |
user.surname |
Microsoft Entra ID側では、「属性とクレーム」から設定内容を確認できます。
特に注意したいのは、属性名の大文字・小文字とNamespaceの設定です。
Alteryx公式ドキュメントでは、これらの属性についてNamespaceを空欄にするよう案内されています。
また、Alteryx One側では、以下のマッピング設定を確認します。
Email Mapping SAML Attribute: email
Given Name Mapping Attribute: firstName
Family Name Mapping Attribute: lastName
Microsoft Entra ID側に設定した属性名と、Alteryx One側のマッピング設定が一致しているか確認してください。
Metadata URLの確認
Alteryx Oneでは、Microsoft Entra IDが公開するフェデレーションメタデータを利用して、IdP側の設定情報を取り込むことができます。
メタデータには、IdPの識別子、SSOエンドポイント、署名証明書などの情報が含まれています。
設定情報が正しく取り込まれていない場合、SAML認証が正常に完了しない可能性があります。
確認手順は以下のとおりです。
- Microsoft Entra IDのSAML設定画面を開く。
- 「SAML証明書」セクションを確認する。
- 「アプリのフェデレーションメタデータURL」をコピーする。
- Alteryx Oneの「Single Sign-On」設定画面を開く。
- 「Metadata URL」にコピーしたURLが設定されているか確認する。
- 必要に応じて「Import From URL」を選択し、情報を取り込む。
- 取り込まれた設定内容を確認する。
また、Microsoft Entra ID側で証明書の更新などが行われている場合は、Alteryx One側に登録されている情報との整合性も確認します。
3. Test Connectionを再実行する
各設定項目の確認が完了したら、Alteryx One側で接続テストを再実行します。
- Alteryx Oneの「Single Sign-On」設定画面を開く。
- 必要な設定変更を保存する。
- 「Test Connection」を選択する。
- Microsoft Entra IDの認証画面が表示された場合はサインインする。
- 認証が正常に完了するか確認する。
Alteryx公式ドキュメントでは、接続テストによる検証が成功すると、認証用のダイアログが自動的に閉じると案内されています。
正常に接続テストが完了した場合は、必要に応じて「Enable SSO」からSSOを有効化します。
以上のように、Alteryx OneとMicrosoft Entra IDのSAML SSO認証でエラーが発生した場合は、双方の設定値を確認し、認証フローのどの段階で問題が発生しているかを切り分けることで、原因の特定につながる可能性があります。
参考資料
-
Azure SSO Setup Guide (SAML) - Alteryx公式ドキュメント
- Microsoft Entra IDとのSAML連携に必要なACS URL、Entity ID、属性マッピング、Relay State、メタデータ、接続テストについて記載されています。
-
Single Sign-On - Alteryx公式ドキュメント
- Alteryx Oneのワークスペース単位でのSSO設定について確認できます。
-
Microsoft Entra IDでのSAMLシングルサインオン設定 - Microsoft公式ドキュメント
- Microsoft Entra IDにおけるSAMLの基本設定、識別子、応答URLなどの設定方法について記載されています。
-
アプリケーションに対するSAMLシングルサインオンのデバッグ - Microsoft公式ドキュメント
- SAML認証エラーが発生した際の切り分け方法について記載されています。
-
SAML認証でのエラーAADSTS50011 - Microsoft公式ドキュメント
- ACS URLと応答URLが一致しない場合に発生するエラーについて記載されています。
