Connect」をご利用いただく際の設定・操作ガイドです。PEOPLEでは、認証方式を次の3種類に切り替えることができます。365を利用したシングルサインオンを併用できます。デフォルトではこちらが選択されています。特定の認証サービス(以降、「IdP」と表記します)に対してSAMLによる認証を実行します。SAML認証を設定後、特定のユーザのみローカル認証を行うこともできます。動作確認を実施しているIdPは「SAML認証において動作確認済みのIdP」を参照ください。Connect(以降、「OIDC」と表記します)特定のIdPに対してOIDCによる認証を実行します。OIDCを設定後、特定のユーザのみローカル認証を行うこともできます。UNO」のみとなります。PEOPLE管理者側での設定、並びにユーザによる認証手順について説明します。本機能は、連携するIdPの情報が必須となります。どのような情報が必要かは、IdP担当者にご確認ください。IdPの仕様によっては連携できない場合があるため、担当営業にご相談ください。認証設定が完了すると、管理者アカウントもSAML認証、またはOIDCによる認証を行うようになります。IdP側に、管理者アカウントと同等のアカウントを用意してください。Assist」(PACA)、MFP連携機能、また一部の連携機能はSAML認証、およびOIDCに対応していないため、認証設定が完了すると利用不可となります。iPhoneアプリはクライアント(デバイス)証明書を利用したSAML認証、およびOIDCに対応しておりません。IdPとしての機能(端末制限など)を組み合わせた場合の動作確認は実施しておりません。動作確認済みIdP動作確認済みのIdPは次のとおりです。ID/PWを用いた標準的な認証のみ動作を確認しております。IdP側の機能と組み合わせた場合の動作は未確認であるため、必ずご利用前に実環境での動作確認を行ってください。PEOPLEの各ユーザガイドの動作環境に記載のあるバージョンで確認しています。PEOPLEのスマートフォンアプリでのワンタイムパスワード入力が正常に動作しないことを確認しています。ADFSは環境(Windowsとしての機能)の影響を受けるため、必ずご利用前に実環境での動作確認を行ってください。Androidアプリは自己証明書に対応しておりません(アプリケーションとしてご利用になれません)。次のIdPは、ベンダ様やお客様から動作の確認が報告されています。PEOPLEのSPとしての仕様について記載します。認証方式変更前に、必ず本項とIdP側の仕様を照らし合わせ、連携可能か確認してください。PEOPLEのURLに読み替えてください。PEOPLEのログインID(メールアドレス形式)を返すようにしてください。PEOPLE管理者が任意で指定可能。IdP側でユニークな値を払い出し、入力してください。PEOPLEのURLに読み替えてください。PEOPLEのURLに読み替えてください。Responseから鍵情報を用いた署名を読み取る箇所IdP側の仕様に準拠し、次から選択。「レスポンス内&アサーション内」はAND条件となるため、両方に署名がある前提となります。片側にしか署名がない場合、SPとして署名の読み取りは失敗したと判断しログインできません。IdPによってサポートされる署名位置に差異があります。Responseに含める必要のあるユーザ属性なしクライアント証明書への対応PCブラウザ版、Androidアプリはクライアント証明書に対応して認証を実施できますが、iPhoneアプリは対応していないため、認証できません。PEOPLEのURLに読み替えてください。PEOPLEのURLに読み替えてください。PEOPLEのURLに読み替えてください。クライアント証明書への対応PCブラウザ版、Androidアプリはクライアント証明書に対応して認証を実施できますが、iPhoneアプリは対応していないため、認証できません。管理者設定SAML認証およびOIDCの設定について説明します。SAML認証の設定SAML認証を利用する際の設定手順は次のとおりです。画面右上のユーザ名>[管理]>[企業情報]タブ>[基本設定]タブを選択すると、画面内に「認証設定」のセクションが表示されます。「認証方式」から[SAML認証]を選択します。SSOエンドポイントURLSAMLリクエストの送信先となるIdPのURLです。IdPエンティティIDIdP側で発行して入力してください。PEOPLEとしては任意の値となります。IdP側でユニークな値となる文字列をIdP側で発行して入力してください。IdPの署名の位置IdP側の仕様に準拠し、次から選択してください。「レスポンス内&アサーション内」はAND条件となるため、両方に署名がある前提となります。片側にしか署名がない場合、SPとして署名の読み取りは失敗したと判断しログインできません。IdPによってサポートされる署名位置に差異があります。IdP公開鍵証明書IdPで発行した証明書(pemファイル)をアップロードしてください。PEOPLEをご利用の場合は、仕様としてログアウト/セッションアウト後はログイン画面に遷移します。メタデータについてSAML認証の設定が完了すると、「認証方式」のセクションからメタデータがダウンロードできるようになります。IdP側で必要な場合、ダウンロードしてご利用ください。設定OIDCを利用する際の設定手順は次のとおりです。画面右上のユーザ名>[管理]>[企業情報]タブ>[基本設定]タブを選択すると、画面内に「認証設定」のセクションが表示されます。Connect]を選択します。エンドポイントURLIdPの認証URLです。IdPのID/PWを入力し認証する画面のURLトークンエンドポイントURLOIDCトークンURLです。クライアントキーIdP側の値です。クライアントシークレットIdP側の値です。レスポンスモード「query」と「form_post」から、IdPが対応している方を選択します。PEOPLEスマホアプリからOIDCを行う場合は、「form_post」を選択していても、強制的に「query」が選択されます。Claimを入力します。Claimの場合、「sub」と入力します。Tokenが正しい値か検証するようになります。IdP側がnonceに未対応の場合はアンチェックとしてください。PEOPLEをご利用の場合は、仕様としてログアウト/セッションアウト後はログイン画面に遷移します。SAML認証やOIDC利用時のユーザの認証についてSAML認証やOIDCを利用する場合、基本的にすべてのユーザは連携設定を投入したIdPに対して認証を行うようになります。PEOPLEのローカル認証を利用したい場合、管理者側で設定ができます。画面右上のユーザ名>[管理]>[ユーザ]タブ>[ユーザ管理]タブを選択し、ローカル認証をさせたいユーザの氏名をクリックします。「ローカル認証」の[ローカル認証を利用する]にチェックを入れ、[更新]をクリックします。[新規登録]時も同様のオペレーションでローカル認証ユーザを作成できます。ユーザインポート時は「LOCAL_AUTH」列を“1”と指定することで、ローカル認証ユーザとすることができます。SSO」を選択されていても表示され、また、エクスポート時に列として出力されます。アカウントは、ローカル認証を利用できません。Connect」を設定すると、管理者アカウントでのログイン時はIdPに対して認証を行うようになります。そのため、必ず、IdP側に管理者アカウントと同等のアカウントを用意してください。付与したローカル認証ユーザを作成し、運用してください。スマホアプリからのログイン状態保持期間についてユーザがSAML認証やOIDCを利用してスマートフォンアプリからログインした場合、そのログイン状態の保持期間はIdPの設定に依存しません。PEOPLE管理者側で明示的に定義する必要があります。画面右上のユーザ名>[管理]>[企業情報]>[スマートフォン]タブを開きます。「スマートフォンアプリ(SAML/OIDC)のログイン状態保持期間」で指定した期間、スマホアプリのログイン状態が保持されます。期間を満了すると夜間のバッチ処理により、スマホアプリからログアウト状態になり、ユーザは次のアクセスから改めてSAML/OIDCによるログインを求められます。本処理はSAML/OIDC利用時のみの動作となります。ユーザ情報更新やTSVインポート機能などを用いてユーザのパスワードが変更された場合、本設定に関わらずログイン状態は破棄され、再ログインが要求されます。SSO」以外が設定されていて、ログインを試みるユーザの「ローカル認証」にチェックが入っていない場合、ログイン操作は次の手順となります。デスクトップ版にも対応しています。次の手順でログインをします。PCブラウザにて次のURLにアクセスします。https://お客様環境URL/ssoログインIDを入力します。[次へ]をクリックします。IdPのログイン画面が表示されるため、IDとPWを入力します。PEOPLEのログイン後の初期画面に遷移します。アクセスすると、元々ご利用になっていたログイン画面にはアクセスできなくなるためご注意ください。アクセスすることで通常のログイン画面に遷移します。次の手順でログインをします。PEOPLEのURL)を入力し、[次へ]をタップします。認証サービスのログイン画面が表示されるため、IDとPWを入力します。PEOPLEのログイン後の画面に遷移します。スマホアプリで初めてアクセスする場合、サービス利用規約への同意を求めるポップアップが表示されます。一度スマートフォンアプリからログインを行うと、「スマホアプリからのログイン状態保持期間の変更」で定義した期間は、常にログイン状態となります。PEOPLE管理者が次の手順で該当ユーザをログアウト状態に変更してください。画面右上のユーザ名>[管理]>[ユーザ]タブ>[ユーザ管理]タブを選択し、該当のユーザの氏名をクリックします。「スマートフォンアプリ(SAML/OIDC)」の[ログアウトさせる]にチェックを入れ、[更新]をクリックします。