要件

Jamf Pro で Single Sign-On (シングルサインオン)(SSO) を有効にするには、以下が必要です。

• SAML 2.0 プロトコルに対応しているアイデンティティプロバイダ (IdP) との統合

• IdP のユーザ名またはグループと一致する Jamf Pro ユーザアカウントまたはグループ

• Jamf Pro と IdP に対する管理者の権限

手順

1. Jamf Pro にログインします。

2. ページ右上隅の Settings (設定) をクリックします。

3. System Settings (システム設定) をクリックします。

4. Single Sign-On (シングルサインオン) をクリックします。

5. Edit (編集) をクリックします。

6. Enable Single Sign-On Authentication (シングルサインオン認証を有効化) チェックボックスを選択してください。

   注: Failover Login URL (フェイルオーバーログイン URL) をコピーして、安全な場所に貼り付けます。

7. Identity Provider (アイデンティティプロバイダ) ポップアップメニューからご使用の IdP を選択します。IdP がポップアップメニューで利用できない場合は、Other (その他) を選択してください。

8. エンティティ ID (「https://instancename.jamfcloud.com/saml/metadata」など) は Jamf Pro でデフォルトで事前入力されます。

   注: この値は IdP 構成設定のオーディエンス URI 値と通常一致させる必要があります。

9. Identity Provider Metadata Source (アイデンティティプロバイダソース) ポップアップメニューから Metadata URL (メタデータ URL) または Metadata File (メタデータファイル) を選択してください。この値は IdP の構成設定から取得できます。

10. Token Expiration (トークンの有効期限) フィールドに値を分単位で入力してください。この値は、SAML トークンの有効期限が切れる前の時間量を特定するもので、IdP によっては事前入力されます。

    重要: この値が IdP で構成されているトークンの有効期限の設定と照合するようにしてください。

11. Configure User Mapping (ユーザのマッピングを構成) の設定：

    1. SAML トークンのどの属性を Jamf Pro ユーザにマッピングする必要があるかを選択します。NameID がデフォルトで選択されます。Custom Attribute (カスタム属性) を選択した場合は、IdP が送信した SAML トークンに含まれているカスタム属性を定義してください。

       注: Jamf Pro と IdP の情報交換を完了するには、両方のオプションに対して IdP から送信される SAML トークンに NameID 属性を含める必要があります。

    2. Username (ユーザ名) または Email (E メール) を選択して、IdP が Jamf Pro ユーザにマッピングされる方法を特定してください。 デフォルトでは、Jamf Pro はユーザに関する情報を IdP から取得し、それを既存の Jamf Pro ユーザアカウントと一致させます。アクセスしてきたユーザのアカウントが Jamf Pro に存在しない場合は、グループ名と照合します。

    3. Identity Provider Group Attribute Name (アイデンティティプロバイダのグループ属性名) フィールドで IdP のユーザを定義する SAML トークン属性を入力してください。Jamf Pro は Jamf Pro データベース内のグループをそれぞれ照合し、グループ名を比較します。ユーザには、Jamf Pro ローカルユーザと同様のアクセス権限が、全グループから与えられます。 AttributeValue 文字列を、複数の文字列か単一の文字列、あるいはセミコロンで区切られた値としてフォーマットすることができます。
       

       (例: http://schemas.xmlsoap.org/claims/Group

    4. (オプション) LDAP フォーマットである識別名 (DN) で送信された文字列からグループ名を抽出するために、RDN Key For LDAP Group (LDAP グループ用の RDN キー) 設定を使用してください。Jamf Pro は指定済みキーを備えた相対識別名 (RDN) を受信文字列で検索し、RDN キーの値を実際のグループ名として使用します。

       注: LDAP ディレクトリサービスの文字列内に、同一キー (すなわち、CN=管理者、CN=ユーザ、O=所属オーガニゼーション) を持つ RDN が複数含まれる場合、Jamf Pro は最も左端の RDN キー (CN=管理者) からグループ名を抽出します。RDN Key for LDAP Group (LDAP グループ用の RDN キー) フィールドが空欄になっている場合、Jamf Pro は LDAP フォーマット文字列全体を使用します。

12. (推奨) Jamf Pro Signing Certificate (Jamf Pro 署名証明書) からオプションを選択し、デジタル署名で SAML 通信を保護してください。Jamf Pro 署名証明書をアップロードする場合、SAML トークンの署名および暗号化用のプライベートキーを備えた署名証明書キーストア (.jks または .p12) をアップロードし、キーストアファイルのパスワードを入力した後、プライベートキーの alias を選択し、キーのパスワードを入力します。

13. Jamf Pro 用の以下の SSO オプションの 1 つまたは複数を構成してください。

    • Allow users to bypass the Single Sign-On authentication (シングルサインオン認証をバイパスすることをユーザに許可) を選択すると、Jamf Pro URL に直接移動した際に、ユーザは SSO なしに Jamf Pro にサインインできるようになります。ユーザが IdP を通じて Jamf Pro へアクセスしようとすると、SSO の認証と認可がまだ開始されます。

    • Enable Single Sign-On for Self Service for macOS (macOS 用 Self Service に対してシングルサインオンを有効化) を選択すると、ユーザは IdP ログインページを介して Self Service にログインできるようになります。Self Service は IdP の既存のユーザ名にアクセスすることができます。
      

      注:

      • 選択されると、macOS 用 Self Service のログイン設定が Self Service ユーザログイン設定を自動的に変更し、シングルサインオンが使用されるようになります。

      • Self Service の SSO を無効にすると、Self Service のユーザログイン設定が自動的に「ユーザはLDAP アカウントまたは Jamf Pro ユーザアカウントでログインし、使用可能な項目を確認できる」へ戻ります。

    • Enable Single Sign-On for User-Initiated Enrollment (User-Initiated Enrollment に対してシングルサインオンを有効化) を選択すると、ユーザは IdP ログインページを介して Jamf Pro に登録できるようになります。有効にされると、コンピュータまたはモバイルデバイスのインベントリをアップデートする際、IdP ログインページのユーザ名が Jamf Pro によりユーザと位置のカテゴリの Username (ユーザ名) フィールドに対して使用されます。IdP のすべてのユーザへのアクセスを許可にしたり、特定のユーザグループのみへのアクセスに制限したりできます。

      注:

      • LDAP が Jamf Pro に統合されている場合、Jamf Pro から LDAP へのルックアップを使用することによって、ユーザと位置情報をすべて読み込むことができます。

      • LDAP が Jamf Pro に統合されていない場合、ユーザと位置のカテゴリで自動入力される項目はユーザ名フィールドのみになります。登録中にユーザのルックアップは使用できません。

14. Save (保存) をクリックします。
    

15. (オプション) Jamf Pro メタデータファイルをダウンロードしてください。

ユーザはオーガニゼーションの IdP ログインページに自動的にリダイレクトされるようになり、これにより Jamf Pro の構成された部分にアクセスできるようになります。

SSO 認証設定をテストするには、ウェブブラウザで、Jamf Pro と IdP からログアウトしてから、Jamf Pro URL へ移動します。IdP ページが表示され、認証後に Jamf Pro Dashboard に正常にリダイレクトされるはずです。

SSO の使用中に発生する一般的なエラーを解決するには、Jamf Pro ナレッジベース資料 Troubleshooting Single Sign-On in Jamf Pro (Jamf Pro でのシングルサインオンのトラブルシュート) を参照してください。