チュートリアル: Microsoft Entra シングル サインオン (SSO) と Salesforce Sandbox の統合
このチュートリアルでは、Salesforce Sandbox と Microsoft Entra ID を統合する方法について説明します。 Salesforce Sandbox と Microsoft Entra ID を統合すると、次のことができます。
- Salesforce Sandbox にアクセスできるユーザーを Microsoft Entra ID で制御する。
- ユーザーが自分の Microsoft Entra アカウントを使用して Salesforce Sandbox に自動的にサインインできるようにする。
- 1 つの場所でアカウントを管理します。
前提条件
開始するには、次が必要です。
- Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウントを取得できます。
- Salesforce Sandbox でのシングル サインオン (SSO) が有効なサブスクリプション
シナリオの説明
このチュートリアルでは、テスト環境で Microsoft Entra シングル サインオンを構成してテストします。
- Salesforce Sandbox では、SP と IDP によって開始される SSO がサポートされます
- Salesforce Sandbox では、Just-In-Time ユーザー プロビジョニングがサポートされます
- Salesforce Sandbox では、自動化されたユーザー プロビジョニングがサポートされます
ギャラリーからの Salesforce Sandbox の追加
Microsoft Entra への Salesforce Sandbox の統合を構成するには、ギャラリーから管理対象 SaaS アプリの一覧に Salesforce Sandbox を追加する必要があります。
- クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
- [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] に移動します。
- [ギャラリーから追加する] セクションで、検索ボックスに、「Salesforce Sandbox」と入力します。
- 結果のパネルから [Salesforce Sandbox] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。
または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細をご覧ください。
Salesforce Sandbox 用に Microsoft Entra SSO を構成してテストする
B.Simon というテスト ユーザーを使用して、Salesforce Sandbox に対する Microsoft Entra SSO を構成してテストします。 SSO が機能するには、Microsoft Entra ユーザーと Salesforce Sandbox の関連ユーザーとの間にリンク関係を確立する必要があります。
Salesforce Sandbox に対して Microsoft Entra SSO を構成してテストするには、次の手順を実行します:
- Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。
- Microsoft Entra のテスト ユーザーの作成 - B.Simon を使用して Microsoft Entra シングル サインオンをテストします。
- Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
- Salesforce Sandbox の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
- Salesforce Sandbox テスト ユーザーの作成 - Salesforce Sandbox で B.Simon に対応するユーザーを作成し、Microsoft Entra の B.Simon にリンクさせます。
- SSO のテスト - 構成が機能するかどうかを確認します。
Microsoft Entra SSO の構成
次の手順に従って Microsoft Entra SSO を有効にします。
クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
[ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Salesforce Sandbox]>[シングル サインオン] を参照します。
[シングル サインオン方式の選択] ページで、 [SAML] を選択します。
[SAML によるシングル サインオンのセットアップ] ページで、 [基本的な SAML 構成] の鉛筆アイコンをクリックして設定を編集します。
サービス プロバイダー メタデータ ファイルを保持しており、IDP によって開始されるモードに構成したい場合は、 [基本的な SAML 構成] セクション上で次の手順を実行します。
a. [メタデータ ファイルをアップロードします] をクリックします。
b. フォルダー ロゴをクリックしてメタデータ ファイルを選択し、 [アップロード] をクリックします。
Note
このチュートリアルの後述するように、Salesforce Sandbox 管理ポータルからサービス プロバイダーのメタデータ ファイルを取得します。
c. メタデータ ファイルが正常にアップロードされると、 [応答 URL] の値が [応答 URL] ボックスに自動的に入力されます。
Note
応答 URL の値が自動的に設定されない場合は、要件に応じて手動で値を入力してください。
[Set up Single Sign-On with SAML](SAML でシングル サインオンをセットアップします) ページの [SAML Signing Certificate](SAML 署名証明書) セクションで、 [ダウンロード] をクリックして要件のとおりに指定したオプションからメタデータ XMLをダウンロードして、お使いのコンピューターに保存します。
[Salesforce Sandbox のセットアップ] セクションで、要件に従って適切な URL をコピーします。
Microsoft Entra テスト ユーザーを作成する
このセクションでは、B.Simon というテスト ユーザーを作成します。
- Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
- [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
- 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
- [ユーザー] プロパティで、以下の手順を実行します。
- "表示名" フィールドに「
B.Simon」と入力します。 - [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、「
B.Simon@contoso.com」のように入力します。 - [パスワードを表示] チェック ボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
- [Review + create](レビュー + 作成) を選択します。
- "表示名" フィールドに「
- [作成] を選択します。
Microsoft Entra テスト ユーザーを割り当てる
このセクションでは、Salesforce Sandbox へのアクセスを許可することで、B.Simon がシングル サインオンを使用できるようにします。
- クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
- [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Salesforce Sandbox] を参照します。
- アプリの概要ページで、[ユーザーとグループ] を選択します。
- [ユーザーまたはグループの追加] を選択し、 [割り当ての追加] ダイアログで [ユーザーとグループ] を選択します。
- [ユーザーとグループ] ダイアログの [ユーザー] の一覧から [B.Simon] を選択し、画面の下部にある [選択] ボタンをクリックします。
- ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。 このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。
- [割り当ての追加] ダイアログで、 [割り当て] をクリックします。
Salesforce Sandbox の SSO の構成
ブラウザーで新しいタブを開き、Salesforce Sandbox の管理者アカウントにサインインします。
ページの右上隅の設定アイコンの下の [Setup](セットアップ) をクリックします。
左側のナビゲーション ウィンドウの [設定] まで下にスクロールし、 [ID] をクリックして、関連セクションを展開します。 次に、 [シングル サインオンの設定] をクリックします。
[シングル サインオンの設定] ページで、 [編集] ボタンをクリックします。
[SAML 有効] を選択し、 [保存] をクリックします。
SAML のシングル サインオン設定を構成するには、 [New from Metadata File]\(メタデータ ファイルから新規) をクリックします。
[ファイルの選択] をクリックして、ダウンロードしたメタデータ XML ファイルをアップロードし、[作成] をクリックします。
[SAML シングル サインオンの設定] ページでは、フィールドは自動的に入力されます。[保存] をクリックします。
[シングル サインオンの設定] ページで [メタデータのダウンロード] ボタンをクリックし、サービス プロバイダーのメタデータ ファイルをダウンロードします。 前述の必要な URL を構成するために、Azure portal の [基本的な SAML 構成] セクションでこのファイルを使用します。
SP 開始モードでアプリケーションを構成する場合、その前提条件を以下に示します。
a. 確認済みドメインを持っている必要があります。
b. Salesforce Sandbox でドメインを構成して有効にする必要があります。手順については、このチュートリアルで後述します。
c. Azure portal の [基本的な SAML 構成] セクションで [追加の URL を設定します] をクリックして、次の手順を実行します。
[サインオン URL] ボックスに、
https://<instancename>--Sandbox.<entityid>.my.salesforce.comのパターンを使用して値を入力します。注意
この値は、ドメインを有効にした後で Salesforce Sandbox ポータルからコピーする必要があります。
[SAML 署名証明書] セクションで [フェデレーション メタデータ XML] をクリックし、コンピューターに XML ファイルを保存します。
ブラウザーで新しいタブを開き、Salesforce Sandbox の管理者アカウントにサインインします。
ページの右上隅の設定アイコンの下の [Setup](セットアップ) をクリックします。
左側のナビゲーション ウィンドウの [設定] まで下にスクロールし、 [ID] をクリックして、関連セクションを展開します。 次に、 [シングル サインオンの設定] をクリックします。
[シングル サインオンの設定] ページで、 [編集] ボタンをクリックします。
[SAML 有効] を選択し、 [保存] をクリックします。
SAML のシングル サインオン設定を構成するには、 [New from Metadata File]\(メタデータ ファイルから新規) をクリックします。
[ファイルの選択] をクリックし、メタデータ XML ファイルをアップロードして [作成] をクリックします。
[SAML Single Sign-On Settings](SAML のシングル サインオン設定) ページのフィールドには自動的に値が入力されています。 [名前] ボックスに構成の名前 (例: SPSSOWAAD_Test) を入力し、[保存] をクリックします。
Salesforce Sandbox でドメインを有効にするには、次の手順を実行します。
注意
ドメインを有効にする前に、Salesforce Sandbox 上に同じドメインを作成する必要があります。 詳細については、「ドメイン名の定義」をご覧ください。 ドメインを作成したら、ドメインが正しく構成されていることを確認してください。
Salesforce Sandbox の左側のナビゲーション ウィンドウで、 [Company Settings](会社の設定) をクリックして関連するセクションを展開し、 [My Domain](マイ ドメイン) をクリックします。
[Authentication Configuration](認証の構成) セクションで、 [Edit](編集) をクリックします。
[Authentication Configuration](認証の構成) セクションで、 [Authentication Service](認証サービス) として、Salesforce Sandbox の SSO 構成時に設定した [SAML Single Sign-On Setting](SAML シングル サインオン設定) の名前を選択し、 [Save](保存) をクリックします。
Salesforce Sandbox テスト ユーザーの作成
このセクションでは、Britta Simon というユーザーを Salesforce Sandbox に作成します。 Salesforce Sandbox では、Just-In-Time プロビジョニングがサポートされています。この設定は既定で有効になっています。 このセクションでは、ユーザー側で必要な操作はありません。 ユーザーがまだ Salesforce Sandbox に存在しない場合は、Salesforce Sandbox にアクセスしようとしたときに新しいユーザーが作成されます。 Salesforce Sandbox は、自動ユーザー プロビジョニングもサポートしています。自動ユーザー プロビジョニングの構成方法の詳細については、こちらを参照してください。
SSO のテスト
このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。
SP Initiated:
[このアプリケーションをテストする] をクリックすると、ログイン フローを開始できる Salesforce Sandbox のサインオン URL にリダイレクトされます。
Salesforce Sandbox のサインオン URL に直接移動し、そこからログイン フローを開始します。
IDP Initiated:
- [このアプリケーションをテストする] をクリックすると、SSO を設定した Salesforce Sandbox に自動的にサインインされます
また、Microsoft マイ アプリを使用して、任意のモードでアプリケーションをテストすることもできます。 マイ アプリで [Salesforce Sandbox] タイルをクリックすると、SP モードで構成されている場合は、ログイン フローを開始するためのアプリケーション サインオン ページにリダイレクトされます。IDP モードで構成されている場合は、SSO を設定した Salesforce Sandbox に自動的にサインインされます。 マイ アプリの詳細については、マイ アプリの概要に関するページを参照してください。
次のステップ
Salesforce Sandbox を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用することができます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。