パートナー ユーザーのシングル サインオン (SSO) 認証を設定するには、以下の手順を実行します。
前提条件
- パートナー スーパー ユーザー権限があることを確認します。
- SD-WAN Orchestrator で SSO 認証を設定する前に、優先 ID プロバイダの Web サイトで、ロール、ユーザー、および OpenID Connect (OIDC) アプリケーションを SD-WAN Orchestrator 用に設定していることを確認します。詳細については、シングル サインオン用の IDP の設定を参照してください。
手順
- ログイン認証情報を使用して、SD-WAN Orchestrator アプリケーションにパートナー スーパー ユーザーとしてログインします。
- [設定 (Settings)] をクリックします。
[パートナー設定 (Partner Settings)] 画面が表示されます。
- [全般情報 (General Information)] タブをクリックし、[ドメイン (Domain)] テキスト ボックスにパートナーのドメイン名を入力します（まだ設定していない場合）。
注：
SD-WAN Orchestrator の SSO 認証を有効にするには、パートナーのドメイン名を設定する必要があります。
- [認証 (Authentication)] タブをクリックし、[認証モード (Authentication Mode)] ドロップダウン メニューから [シングル サインオン (Single Sign-On)] を選択します。
- [ID プロバイダ テンプレート (Identity Provider template)] ドロップダウン メニューから、シングル サインオン用に設定した優先 ID プロバイダ (IDP) を選択します。
注： 優先 IDP として VMwareCSP を選択する場合は、
/csp/gateway/am/api/orgs/<full organization ID> の形式で組織 ID を指定します。
VMware CSP コンソール にログインすると、ユーザー名をクリックして、ログインしている組織 ID を表示できます。短縮形の ID が組織名の下に表示されます。ID をクリックすると、完全な組織 ID が表示されます。
また、
[ID プロバイダ テンプレート (Identity Provider template)] ドロップダウン メニューから
[その他 (Others)] を選択して、独自の IDP を手動で設定することもできます。
- [OIDC の既知の設定 URL (OIDC well-known config URL)] テキスト ボックスに、IDP の OpenID Connect (OIDC) 設定 URL を入力します。たとえば、Okta の URL 形式は https://{oauth-provider-url}/.well-known/openid-configuration というようになります。
- SD-WAN Orchestrator アプリケーションは、エンドポイントの詳細（IDP の発行者、認証エンドポイント、トークン エンドポイント、ユーザー情報エンドポイントなど）を自動的に入力します。
- [クライアント ID (Client Id)] テキスト ボックスに、IDP によって提供されるクライアント ID を入力します。
- [クライアント シークレット (Client Secret)] テキスト ボックスに、IDP によって提供されるクライアント シークレット コードを入力します。これは、クライアントがトークンの認証コードを交換するために使用します。
- SD-WAN Orchestrator でユーザーのロールを決定するには、次のいずれかのオプションを選択します。
- [デフォルトのロールを使用 (Use Default Role)] - このオプションを選択したときに表示される [デフォルトのロール (Default Role)] テキスト ボックスを使用して、ユーザーが静的なロールをデフォルトとして設定できるようにします。サポートされているロールは、MSP スーパー ユーザー、MSP 標準管理者、MSP サポート、および MSP ビジネスです。
注： SSO 設定のセットアップで
[デフォルトのロールを使用 (Use Default Role)] オプションが選択され、デフォルトのユーザー ロールが定義されている場合、すべての SSO ユーザーに指定されたデフォルト ロールが割り当てられます。パートナー スーパー ユーザーは、ユーザーにデフォルトのロールを割り当てるのではなく、パートナー ポータルの
[管理者 (Admins)] タブを使用して特定のユーザーを非ネイティブ ユーザーとして事前登録し、特定のユーザー ロールを定義できます。新しいパートナー管理者ユーザーを設定る手順については、
新しいパートナー管理者の作成を参照してください。
- [ID プロバイダ ロールを使用 (Use Identity Provider Roles)] - IDP で設定されたロールを使用します。
- [ID プロバイダ ロールを使用 (Use Identity Provider Roles)] オプションを選択したら、[ロール属性 (Role Attribute)] テキスト ボックスに、ロールを返す IDP に設定されている属性の名前を入力します。
- [ロール マップ (Role Map)] 領域で、IDP によって提供されたロールを、カンマ区切りでそれぞれのパートナー ユーザー ロールにマッピングします。
VMware CSP のロールは、
external/<service definition uuid>/<service role name mentioned during service template creation> の形式になります。
- SD-WAN Orchestrator URL ( https://<vco>/login/ssologin/openidCallback) を使用して、OIDC プロバイダの Web サイトで許可されたリダイレクト URL を更新します。
- [変更の保存 (Save Changes)] をクリックして、SSO 設定を保存します。
- [設定のテスト (Test Configuration)] をクリックして、入力した OpenID Connect (OIDC) 設定を検証します。
ユーザーは IDP の Web サイトに移動され、認証情報の入力を許可されます。IDP の検証時に
SD-WAN Orchestrator テスト コール バックに正常にリダイレクトされると、検証に成功したことを示すメッセージが表示されます。
結果
SD-WAN Orchestrator での SSO 認証の設定は完了です。
