2026 年 7 月 29 日

Omnissa Access での SAML サードパーティ ID プロバイダインスタンスの追加および構成

新しい SAML ID プロバイダインスタンスを Omnissa Access 環境に追加して構成すると、高可用性を実現し、追加のユーザー認証方法をサポートし、ユーザーの IP アドレス範囲に基づいて柔軟にユーザー認証プロセスを管理できます。

前提条件

サードパーティ ID プロバイダインスタンスを追加する前に、次のタスクを完了します。

サードパーティインスタンスが SAML 2.0 互換であり、Omnissa Access サービスがサードパーティインスタンスに到達できることを確認します。
サードパーティの ID プロバイダとの統合を調整します。ID プロバイダによっては、両方の設定を同時に構成することが必要になる場合があります。
Omnissa Access コンソールで ID プロバイダを構成するときに追加する、適切なサードパーティメタデータ情報を取得します。サードパーティのインスタンスから取得するメタデータ情報は、メタデータへの URL または実際のメタデータのいずれかです。

手順

Omnissa Access コンソールの [統合] > [ID プロバイダ] ページで、[追加] をクリックし、[SAML IDP] を選択します。
次の設定を行います。

フォーム項目	説明
ID プロバイダ名	この ID プロバイダインスタンスの名前を入力します。
SAML メタデータ	サードパーティの XML ベースの ID プロバイダメタデータドキュメントを追加して、ID プロバイダとの信頼を確立します。 SAML メタデータ URL または xml コンテンツをテキストボックスに入力します。[プロセス IdP メタデータ] をクリックします。ユーザーの識別方法を選択します。インバウンド SAML アサーションで送信される ID は、Subject または Attribute 要素で送信できます。 NameID 要素。ユーザー ID は、Subject 要素の NameID 要素から取得されます。 SAML 属性。ユーザー ID は、特定の Attribute または AttributeStatement 要素から取得されます。 [NameID 要素] を選択すると、ID プロバイダでサポートされている NameID の形式は、メタデータから抽出され、表示される [名前 ID の形式] テーブルに追加されます。 [名前 ID 値] 列で、表示される NameID の形式にマッピングするために Omnissa Access サービスで構成されているユーザー属性を選択します。カスタムのサードパーティ名の ID 形式を追加して、Omnissa Access サービスのユーザー属性値にマッピングできます。使用する [SAML 要求の名前 ID ポリシー] 応答 ID の文字列形式を選択します。この形式は、Omnissa Access サービスとの信頼を確立するために使用されるサードパーティ ID プロバイダの特定の名前 ID ポリシー形式と一致する必要があります。（クラウドのみ）[SAML 要求のサブジェクトを送信 (可能な場合)] オプションをログインヒントまたは MFA などの認証のヒントとして選択します。このオプションを有効にすると、[NameID 形式のマッピングに基づくサブジェクト値を送信] を有効にして、サードパーティアプリケーションが提供するログインヒントを NameID 値にマッピングすることもできます。注：[NameID 形式のマッピングに基づくサブジェクト値を送信] が有効になっている場合、Omnissa Access サービスは、ユーザー列挙と呼ばれるセキュリティリスクに対して脆弱になります。このオプションを有効にする場合は注意が必要です。 [NameID 形式のマッピングに基づくサブジェクト値を送信] オプションが有効になっている構成の例サードパーティ ID プロバイダの構成アプリケーション「X」は Omnissa Access とフェデレートされています。サードパーティの ID プロバイダは、NameID 値を userPrincipleName にマッピングしました。この構成では、エンドユーザーの E メールはサードパーティ ID プロバイダの userPrincipleName にマッピングされません。アプリケーション X のアクセスポリシーには、ユーザーの認証にサードパーティの ID プロバイダが使用されるというルールがあります。エンドユーザーの認証フローエンドユーザーがアプリケーション「X」を選択します。アプリケーション「X」は、メールアドレスを入力するためのログインページをエンドユーザーに表示します。アプリケーション「X」は、ログインヒントとして E メールを Omnissa Access に送信します。 [NameID 形式のマッピングに基づくサブジェクト値を送信] が有効になっているため、Omnissa Access は E メールを受け入れ、そのユーザーの UserPrincipleName を見つけます。 Omnissa Access は、マッピングされた対応する UserPrincipleName を含む SAML 要求をエンドユーザーの認証を行うサードパーティの ID プロバイダに送信します。 [SAML 属性] を選択した場合は、属性の形式と属性名を含めます。SAML 属性にマッピングする Omnissa Access サービスのユーザー属性を選択します。
Just-in-Time ユーザープロビジョニング	Just-in-Time プロビジョニングのユーザーは、ID プロバイダから送信される SAML アサーションに基づいて、ログイン時に動的に作成および更新されます。「Workspace Access での Just-in-Time ユーザープロビジョニングの実行」を参照してください。JIT を有効にする場合は、JIT ディレクトリのディレクトリとドメイン名を入力します。
ユーザー	この ID プロバイダを使用して認証できるユーザーを含むディレクトリを選択します。
ネットワーク	サービス内で構成されている既存のネットワーク範囲が表示されます。この ID プロバイダインスタンスに振り分けるユーザーのネットワーク範囲を、その IP アドレスに基づいて選択します。
認証方法	このサードパーティ ID プロバイダに関連付ける認証方法名を入力します。サードパーティの ID プロバイダに関連付ける複数の認証方法を入力できます。各認証方法に、認証方法を識別できるわかりやすい名前を付けます。アクセスポリシーで認証方法名を選択して、サードパーティ IDP 認証方法のルールを構成します。認証方法名を、SAML 応答でサードパーティの ID プロバイダによって送信される SAML 認証コンテキストにマッピングします。ドロップダウンメニューで、一般的に使用される文字列のリストから SAML 認証コンテキストクラス文字列を選択するか、カスタム文字列を入力します。
シングルサインアウト構成	ユーザーがサードパーティ ID プロバイダ (IDP) から Workspace ONE にログインすると、2 つのセッションが開きます。1 つはサードパーティ ID プロバイダ、もう 1 つは Workspace ONE の Identity Manager サービスプロバイダで開きます。これらのセッションの有効期間は個別に管理されます。ユーザーが Workspace ONE からログアウトすると Workspace ONE セッションは閉じますが、サードパーティの IDP セッションは開いたままです。セキュリティ要件に基づき、シングルログアウトを有効にして、両方のセッションからログアウトする、またはサードパーティの IDP セッションをそのまま維持するようにシングルログアウトを設定することができます。構成オプション 1 サードパーティ ID プロバイダを構成するときに、シングルログアウトを有効にすることができます。サードパーティ ID プロバイダが SAML ベースのシングルログアウトプロトコル (SLO) をサポートしている場合、Workspace ONE ポータルからログアウトすると、ユーザーは両方のセッションからログアウトされます。[リダイレクト URL テキストボックス] は構成されていません。サードパーティの ID プロバイダが SAML ベースのシングルログアウトをサポートしていない場合は、シングルログアウトを有効にし、[リダイレクト URL] テキストボックスで ID プロバイダのシングルログアウトのエンドポイント URL を指定します。リダイレクトパラメータを、ユーザーを特定のエンドポイントに送信する URL に追加することもできます。ユーザーは、Workspace ONE ポータルからログアウトして、IDP からもログアウトすると、この URL にリダイレクトされます。構成オプション 2 もう 1 つのシングルログアウトオプションは、Workspace ONE ポータルからユーザーをログアウトし、カスタマイズされたエンドポイント URL にリダイレクトする方法です。シングルログアウトを有効にし、[リダイレクト URL] テキストボックスに URL を指定し、カスタマイズされたエンドポイントのリダイレクトパラメータを指定します。ユーザーが Workspace ONE ポータルからログアウトすると、このページに移動し、カスタマイズされたメッセージを表示できます。サードパーティの IDP セッションは開いたままになることがあります。URL は `https:///SAAS/auth/federation/slo` として入力されます。 [シングルログアウトを有効にする] が有効になっていない場合、Omnissa Access サービスのデフォルトの構成では、ログアウト時にユーザーは元の Workspace ONE ポータルのログインページに戻ります。サードパーティの IDP セッションは開いたままになることがあります。
SAML 署名証明書	[サービスプロバイダ (SP) メタデータ] をクリックして、Omnissa Access の SAML サービスプロバイダのメタデータ URL を確認します。URL をコピーして保存します。この URL は、サードパーティ ID プロバイダで SAML アサーションを編集して Omnissa Access ユーザーをマッピングするときに構成されます。
IdP ホスト名	ホスト名のテキストボックスが表示されている場合は、ID プロバイダがリダイレクトされる認証用ホストの名前を入力します。443 以外の非標準ポートを使用している場合、ホスト名を「ホスト名:ポート」の形式で設定します。たとえば、myco.example.com:8443 のように入力します。

[追加] をクリックします。

次のステップ

コンソールで、[リソース] > [ポリシー] ページに移動し、デフォルトのアクセスポリシーを編集してポリシールールを追加し、使用する認証方法として SAML 認証方法名を選択します。「Omnissa Access サービスでのアクセスポリシーの管理」を参照してください。
サードパーティ ID プロバイダの構成を編集して、保存した SAML 署名証明書の URL を追加します。

このページは役に立ちましたか?