シングルサインオン

重要:

  • 新規の Tenable One のお客様は、Tenable One 経由で SSO を設定する必要があります。ただし、アイデンティティプロバイダー (IdP) グループを使用する場合は、この記事のガイドラインに従ってグループのサポートを追加する必要があります。
  • JIT アクセス: SSO 経由で JIT ポータルのログインを有効にするには、 次のガイドラインに従います。

外部アイデンティティプロバイダー (IdP) と Tenable の間に信頼を確立し、個々のユーザーまたはグループメンバーが SSO 経由で Tenable One Cloud Exposure コンソールにログインできるようにします。このプロセスでは、ユーザーの既存の企業アイデンティティを利用して、簡単にユーザーのプロビジョニングを実行できるようにします。ただし、自動ユーザープロビジョニングは提供されないため、信頼が確立された後も、コンソールまたは API を介して新しいユーザーの追加または新しいグループを追加するを追加する必要があります。

既存の IdP グループを利用して、グループに関連付けられているすべてのユーザーに クラウドサイバーエクスポージャー で同一のアクセス許可を付与します。Tenable で IdP グループのサポートを追加するには、まず、下記の関連する手順を使用して、グループのクレームを Tenable に送信するように IdP のグループマッピングを構成してから、Tenableで新しいグループを追加する。

コンソールのログインは、次のいずれかの IdP を使用して有効にできます。

上記以外のプロバイダーを使用する場合は、SAML 2.0 のアイデンティティ仕様を利用することで、そのプロバイダー経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にすることができます。詳細については、 カスタム SAML 2.0 プロバイダー経由でのログインの有効化 を参照してください。

SSO ログインの有効化の詳細については、 サポートへの問い合わせ。。

Tenable One経由でのログインを有効にする

新規の Tenable One のお客様は、Tenable One 経由で SSO を設定するには 、以下のガイドライン に従ってください。

AWS Identity Center 経由でのログインの有効化 (SAML 2.0)

アイデンティティプロバイダー (IdP) として AWS Identity Center を使用して、SAML 2.0 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

始める前に

  • 前提条件: 認証ドメイン AWS Identity Center ユーザーが使用する電子メールドメインを、 クラウドサイバーエクスポージャー で認証ドメインとして追加する必要があります。 ドメインが設定されていない場合、SSO のセットアップ中に SAML メタデータのアップロードが失敗します。

AWS Identity Center (SAML 2.0) を使用したログインを有効にする方法

  1. AWS で、 AWS Identity Center を開きます。
  2. [アプリケーション] に移動し、[アプリケーションの追加] をクリックします。
  3. [セットアップするアプリケーションがあります]、[SAML 2.0] を選択して、[次へ] をクリックします。
  4. [アプリケーションの設定] で、[表示名] と [説明] を入力します (例: SSO 経由でのコンソールアクセスの有効化 クラウドサイバーエクスポージャー)。
  5. [アプリケーションのプロパティ] で、 アプリケーションの開始 URL の値を入力します。
    • グローバル (すべてのリージョン): app.tenable.com
    • 米国ガバメントクラウド: app.tenable.us
  6. [Application metadata] で以下を行います。

    1. アプリケーション ACS URL の値を入力します。
      https://{URL}/api/console/authentication/saml2/customer/acs

      {URL} の場合

      • グローバル (すべてのリージョン): app.tenable.com
      • 米国ガバメントクラウド: app.tenable.us

    2. [Application SAML audience] (アプリケーション SAML オーディエンス) に、次のように入力します
      urn:app.ermetic.com

      注意: アプリケーション SAML オーディエンス (エンティティ ID とも呼ばれます) は、 クラウドサイバーエクスポージャー をサービスプロバイダーとして一意に識別します。この値はリージョン固有ではありません。
  7. 「 送信」 をクリックしてアプリケーションを作成します。
  8. [ユーザーとグループの割り当て] をクリックして、 クラウドサイバーエクスポージャー コンソールにアクセスする必要があるユーザーまたはグループを割り当てます。
    1. 検索バーから、関連するユーザーまたはグループを追加します。
    2. [割り当て] をクリックします。
  9. アプリケーションが作成されたら、それを開き、[アクション] > [属性マッピングの編集] を選択します。

    1. 次の属性マッピングを確認または追加します*

      アプリケーションのユーザー属性この文字列の値またはユーザーにマップされます
      IAM Identity Center の属性      		フォーマット
      サブジェクト (NameID)${user:email}電子メールアドレス
      http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress${user:email}指定なし
      http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname${user:givenName}指定なし
      http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname${user:familyName}指定なし
      グループ (オプション)${user:groups}指定なし

      *グループ属性では大文字と小文字が区別されます。AWS グループを使用する場合は、表示されているとおりに入力してください。

    2. [変更を保存] をクリックします。
  10. アプリケーションページで、[アクション] > [設定の編集] を選択し、 IAM Identity Center SAML メタデータファイルをダウンロードします。
  11. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  12. [アイデンティティプロバイダーの追加] をクリックし、[SAML] を選択します。
  13. [アプリケーションの選択] ドロップダウンで、[クラウドサイバーエクスポージャー] を選択します。
  14. [ファイル] を選択し、AWS Identity Center からダウンロードしたメタデータファイルをアップロードして、[追加] をクリックします。

Google 経由でのログインを有効化

次のいずれかのアイデンティティ仕様を使用して、Google経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

注意: Google を IdP として使用して クラウドサイバーエクスポージャー 内の新しいグループを追加するを操作するには、OIDC ではなく SAML を使用する必要があります。

OIDC を使用した Google 経由でのログインの有効化

OIDC を使用したログインを有効にするには

  1. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  2. [アイデンティティプロバイダーの追加]、[Google] の順にクリックします。

  3. [Add Identity Provider] ダイアログで、[Add] をクリックします。

    注意: この方法で Google を IdP として追加すると、クラウドサイバーエクスポージャー コンソールと JIT ポータルの両方へのログインが有効になります。

SAML を使用した Google 経由でのログインの有効化

SAML を使用したログインを有効にする方法

  1. Google管理コンソールで、[アプリ] > [ウェブアプリとモバイルアプリ] に移動します。
  2. [アプリの追加] > [カスタム SAML アプリの追加] をクリックします。
  3. [アプリ名] を入力し、[続行] をクリックします。
  4. [Google ID プロバイダの詳細] ページで、[メタデータをダウンロード] をクリックします。
  5. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  6. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  7. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  8. [ファイル] を選択し、Google からダウンロードしたメタデータをアップロードして、[追加] をクリックします。
  9. Google 管理コンソールの [サービス プロバイダの詳細] ページで、それぞれのフィールドに次の値を入力します。

    • ACS URL: https://{URL}/api/console/authentication/saml2/customer/acs

      {URL} の場合

      • グローバル (すべてのリージョン): app.tenable.com
      • 米国ガバメントクラウド: app.tenable.us
    • エンティティ ID: urn:app.ermetic.com
    • 名前 ID の形式: メール
    • 名前 ID: 基本情報>プライマリメール
  10. [続行] をクリックします。

  11. [属性マッピング] ページで [マッピングの追加] をクリックし、次の属性を追加します。

    Google マッピングに対するディレクトリ属性 (アプリ属性):

    • 名: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    • 姓: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    • プライマリメール: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
  12. (オプション) Google グループのサポートを追加する。
  13. [終了] をクリックします。

Google グループのサポートを追加する

Google を IdP として使用している 新しいグループを追加する を操作するには、OIDC ではなく SAML を使用する必要があります。

Google グループのサポートを追加するには:

  1. Google 管理コンソールで、[アプリ] > [ウェブアプリとモバイルアプリ] に移動し、設定した SAML アプリケーションを開きます ( SAML を使用した Google 経由でのログインの有効化を有効にするを参照)。
  2. [SAML 属性マッピング] セクションを展開します。
  3. [グループメンバーシップ (オプション)] で、以下を入力します。
    • クラウドサイバーエクスポージャーでグループとして使用するGoogleグループ。
    • [アプリ属性] に「 groups」と入力します。
  4. [保存] をクリックします。
  5. 完了したら、クラウドサイバーエクスポージャーコンソールで新しいグループを追加する。

Microsoft Entra ID 経由でのログインの有効化

次のいずれかのアイデンティティ仕様を使用して、Microsoft Entra ID 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

OIDC を使用した Microsoft Entra ID 経由でのログインの有効化

OIDC を使用したログインを有効にするには

  1. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  2. [アイデンティティ プロバイダーの追加] をクリックし、[Microsoft] をクリックします。
  3. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、 クラウドサイバーエクスポージャーのリンクをクリックしてアクセス権を付与します。
  4. 組織で クラウドサイバーエクスポージャー 管理者に関連付けられているアカウントを選択します。

  5. リクエストされたアクセス許可を受け入れます。

    コンソールSSO1

  6. [アクセス権を許可したことを確認する] が選択されていることを確認し、[追加] をクリックします。

SAML を使用した Microsoft Entra ID 経由でのログインの有効化

SAML を使用したログインを有効にする方法

  1. Azure portal で、[エンタープライズ アプリケーション] に移動し、[新しいアプリケーション] を追加します。
  2. [独自のアプリケーションの作成] をクリックし、アプリの名前を入力します。
  3. [ギャラリーに見つからない他のアプリケーションを統合する (ギャラリー以外)] の既定値を選択し、[作成] をクリックします。
  4. 表示されるアプリの [概要] ページの [シングル サインオンの設定] ステップで、 [開始] をクリックします。
  5. SSO 方法として [SAML] を選択します。
  6. [基本的な SAML 構成] で、[編集] をクリックし、それぞれのフィールドに以下の値を入力します。
    • 識別子 (エンティティ ID): urn:app.ermetic.com

    • 応答 URL (アサーション コンシューマ サービス URL): https://{URL}/api/console/authentication/saml2/customer/acs

      {URL} の場合

      • グローバル (すべてのリージョン): app.tenable.com
      • 米国ガバメントクラウド: app.tenable.us
  7. [保存] をクリックします。

  8. [属性と要求] で [編集] をクリックし、[追加の要求] で user.userprincipalname 要求を削除します。

    コンソール SSO2

  9. [SAML 証明書] で、 フェデレーションメタデータ XML をクリックしてダウンロードします。
  10. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  11. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  12. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  13. [ファイル] を選択し、Azure からダウンロードしたメタデータをアップロードして、[追加] をクリックします。

Microsoft Entra ID グループのサポートの追加

Microsoft Entra ID グループのサポートを追加するには、Microsoft Entra ID で使用するアイデンティティプロトコルに応じて、以下の関連手順を実行します。

これにより、関連するグループのクレームが クラウドサイバーエクスポージャー に送信され、 新しいグループを追加する を Tenable に追加して、グループに関連付けられているすべてのユーザーに Tenable で同一のアクセス許可を付与できるようになります。

OIDC を使用した Microsoft Entra ID グループのサポートの追加

注意: この手順は、グループに直接割り当てられているユーザーにのみ適用され、たとえば別のグループ内にネストされているグループには適用されません。

Microsoft Entra ID グループのサポートを追加する方法

  1. Microsoft Entra ID 経由でのコンソールログインが有効になっていることを確認します。
  2. Azure ポータルで、 [エンタープライズ アプリケーション] ページに移動し、 クラウドサイバーエクスポージャー アプリケーションを選択します。
  3. [管理] で、[ユーザーとグループ] をクリックします。
  4. [ユーザー/グループの追加] をクリックします。
  5. [割り当ての追加] ページの [ユーザーとグループ] で、[選択なし] をクリックします。
  6. ユーザーとグループのリストから関連するグループを選択し、[選択] をクリックします。
  7. 完了したら、クラウドサイバーエクスポージャーコンソールで新しいグループを追加する。

SAML を使用して Microsoft Entra ID グループのサポートを追加する

次の手順を使用して、 クラウドサイバーエクスポージャー で次のいずれかを送信してグループのサポート (SAML) を追加します。

  • クラウドサイバーエクスポージャー SAML アプリケーションに割り当てられたグループ
  • すべてのグループ (アプリに割り当てられていません)

使用するオプションを選択する際は、関連する制限に注意してください。たとえば、すべてのグループを選択した場合、この方法で送信できるグループの数には制限があります。または、アプリケーションに割り当てられているグループを選択した場合、アプリケーションに手動でグループを割り当てる必要があり、ネストされているグループはサポートされません。詳細は 、関連する Microsoft ドキュメント を参照してください。

Microsoft Entra ID グループのサポートを追加する方法

  1. カスタム SAML 2.0 プロバイダー経由でのログインの有効化になっていることを確認します。
  2. Azure ポータルで、[エンタープライズ アプリケーション] ページに移動し、ログインを有効にしたときに クラウドサイバーエクスポージャー 用に作成した関連する SAML アプリケーションを選択します。
  3. (オプション) クラウドサイバーエクスポージャーで使用する特定のグループを選択します。
    1. [管理] で、[ユーザーとグループ] をクリックします。
    2. [ユーザー/グループの追加] をクリックします。
    3. [割り当ての追加] ページの [ユーザーとグループ] で、[選択なし] をクリックします。
    4. ユーザーとグループのリストから関連するグループを選択し、[選択] をクリックします。
  4. SAML アプリケーションの シングルサインオン ページに移動します。
  5. [属性 & クレーム] で、[編集] をクリックします。
  6. [グループの要求の追加] をクリックします。
  7. クレームでユーザーに関連付けられているどのグループを返す必要があるかを選択します。次のいずれかのオプションを選択します。
    • すべてのグループ。このオプションを選択すると、すべてのグループが Tenable に移動します。
    • アプリケーションに割り当てられているグループ。このオプションを選択すると、この手順の前半で Tenable SAML アプリケーションに割り当てたグループが Tenable に送信されます。
      詳細は 、関連する Microsoft ドキュメント を参照してください。
  8. ソース属性については、 グループ ID のデフォルト値を維持します。
  9. [詳細オプション] を開きます。

  10. [グループ クレームの名前のカスタマイズ] を選択し、[名前] に「 グループ」と入力します。

    重要: [名前] フィールドでは大文字と小文字が区別されます。groups の値はそのまま正確に入力する必要があります。
  11. [保存] をクリックします。
  12. 完了したら、クラウドサイバーエクスポージャーコンソールで新しいグループを追加する。

Okta 経由でのログインの有効化

SAML 2.0 のアイデンティティ仕様を利用して、Okta 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

Okta 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にする方法

  1. Okta 管理コンソールで、[アプリケーション] > [アプリケーション] の順に移動します。
  2. [アプリカタログを参照] をクリックします。
  3. [検索] フィールドに「 クラウドサイバーエクスポージャー 」と入力し、アプリケーションタイルをクリックして、[統合の追加] をクリックします。

  4. [General Settings] タブで、 コンソールドメインを入力します。ここで入力する値は、クラウドサイバーエクスポージャー コンソールへのログインに使用する URL の値によって異なります。

    • app.tenable.com
    • app.tenable.us
    注意: 値を入力しない場合、デフォルトで app.tenable.com になります。
  5. [SAML セットアップ] セクションで、[SAML セットアップ手順の表示] をクリックします。
  6. [Configuration Steps] (構成ステップ) で、ステップ 2 にリストされている URL の値をコピーします。
  7. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  8. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  9. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  10. URL を選択し、Okta の URL 値を貼り付けて、[追加] をクリックします。

Okta グループのサポートの追加

Okta グループのサポートを追加するには

  1. Okta 管理コンソールで、「Okta 経由でのログインの有効化」で追加した Tenable Cloud Security アプリケーションに移動します
  2. [サインオン] タブに移動し、Settings の横にある [編集] をクリックし、[SAML 2.0] で [属性] セクションを展開します。

  3. [グループ属性ステートメント] の [名前] フィールドに「 グループ」と入力し、関連するフィルターを入力して、 クラウドサイバーエクスポージャーに送信するグループを定義します。たとえば、すべてのグループを送信する場合は、値 .* の正規表現の一致 を選択できます。

    重要: [名前] フィールドでは大文字と小文字が区別されます。groups の値はそのまま正確に入力する必要があります。
  4. [保存] をクリックします。
  5. 完了したら、クラウドサイバーエクスポージャーコンソールで新しいグループを追加する。

OneLogin 経由でのログインを有効にする

SAML 2.0 のアイデンティティ仕様を利用して、OneLogin 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

OneLogin 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にする方法

  1. OneLogin 管理コンソールで、[アプリケーション] > [アプリケーション] の順に移動します。
  2. [アプリの追加] をクリックします。
  3. [SAML Custom Connector (Advanced)] を検索して選択します。
  4. [設定] ページで、[表示名] (「クラウドサイバーエクスポージャー」など) を入力し、[保存] をクリックします。
  5. [Configuration] ( 構成 ) タブに移動し、これらのアプリケーションの詳細に次の値を入力します。
    • オーディエンス (エンティティ ID): urn:app.ermetic.com

    • ACS (コンシューマー) URL Validator/ACS (コンシューマー) URL: https://{URL}/api/console/authentication/saml2/customer/acs

      {URL} の場合

      • グローバル (すべてのリージョン): app.tenable.com
      • 米国ガバメントクラウド: app.tenable.us

  6. [パラメーター] タブに移動し、 Add icon をクリックして次の新しいフィールド/値を追加します。

    フィールド名と値:

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress: E メール
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname: 名
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname: 姓
    重要: 各フィールド/値で [Include in SAML assertion] (SAML アサーションに含める ) フラグが有効になっていることを確認します。
    注意: [NameID value] (NameID の値) フィールドは、OneLogin に標準装備で表示されます。このフィールドはそのままにしておくことができます。

    コンソール SSO5

  7. [SSO] タブに移動し、 SAML 署名アルゴリズム を SHA-256 に設定します。
  8. [その他のアクション] ドロップダウンをクリックし、[SAML メタデータ] を選択します。メタデータをコピーします。
  9. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  10. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  11. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  12. [ファイル] を選択し、OneLogin からコピーしたメタデータをアップロードして、[追加] をクリックします。

OneLogin ロールのサポートの追加

OneLoginでは、 ロールを使用して ユーザーを1つ以上のアプリケーションに割り当て、 グループ はユーザーセキュリティポリシーをユーザーに割り当てます。OneLogin ユーザーは、一度に 1 つの OneLogin グループにしか属することができません。

OneLoginグループは他のほとんどのアプリケーションとは異なる方法で機能するため、クラウドサイバーエクスポージャーで新しいグループを追加するを操作するには、OneLoginグループではなく、OneLoginロールをクラウドサイバーエクスポージャーグループにマッピングする可能性が高くなります。

OneLogin ロールのサポートを追加するには

  1. OneLogin 管理コンソールで、[アプリケーション] > [アプリケーション] の順に移動し、[OneLogin 経由でのログインを有効にする] で追加した クラウドサイバーエクスポージャー SAML アプリケーションを開きます。
  2. [パラメーター] タブに移動し、 Add icon をクリックして次の新しいフィールド/値を追加します。

    • フィールド名: groups

      重要: 名前フィールドでは大文字と小文字が区別されます。groups の値はそのまま正確に入力する必要があります。
    • 値: ユーザーロール
    • フラグ: SAML アサーションに含めるが 有効

  3. [保存] をクリックします。

    コンソールSSO6

  4. 完了したら、クラウドサイバーエクスポージャーコンソールで新しいグループを追加する。

Ping Identity 経由でのログインの有効化

SAML 2.0 のアイデンティティ仕様を利用して、Ping Identity 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

Ping Identity 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にする方法

  1. Ping Identity 管理コンソールで、[接続] > [アプリケーション] に移動します。
  2. Add icon をクリックしてアプリケーションを追加します。
  3. アプリケーション名を入力します。たとえば、「クラウドサイバーエクスポージャー」と入力します。
  4. [アプリケーションタイプ] として [SAML アプリケーション] を選択し、[構成] をクリックします。
  5. [SAML Configuration] (SAML 構成) で、[Manually Enter] (手動入力 ) を選択し、次の詳細を入力します。

    • ACS の URL:https://{URL}/api/console/authentication/saml2/customer/acs

      {URL} の場合

      • グローバル (すべてのリージョン): app.tenable.com
      • 米国ガバメントクラウド: app.tenable.us
    • エンティティ ID: urn:app.ermetic.com
  6. [保存] をクリックします。

  7. [Attribute Mappings] (属性マッピング) タブに移動し、 ![Edit consoleSSO8] (コンソールSSO8 の編集) をクリックして、次の属性を追加します。

    PingOne マッピングの属性:

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress: メールアドレス
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname: 名
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname: 姓

  8. ラジオボタンをクリックしてアプリを有効にします。

    The Ping Identity application, with its toggle on

  9. [構成] タブに移動し、[メタデータのダウンロード] をクリックします。
  10. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  11. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  12. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  13. [ファイル] を選択し、OneLogin からコピーしたメタデータをアップロードして、[追加] をクリックします。

Ping Identity グループのサポートの追加

Ping Identity グループのサポートを追加するには

  1. Ping Identity 管理コンソールで、[接続] > [アプリケーション] に移動し、Ping Identity 経由でのログインの有効化 で追加したクラウドサイバーエクスポージャー SAML アプリケーションを開きます。
  2. [Attribute Mappings] (属性マッピング) タブに移動し、 コンソールSSO8 の編集 (Edit consoleSSO8 ) をクリックして、次の属性を追加します。
    • 属性: グループ

    • PingOne マッピング: グループ名

      重要: [属性] フィールドでは大文字と小文字が区別されます。groups の値はそのまま正確に入力する必要があります。
  3. [保存] をクリックします。
  4. 完了したら、クラウドサイバーエクスポージャーコンソールで新しいグループを追加する。

JumpCloud 経由でのログインの有効化

SAML 2.0 のアイデンティティ仕様を利用して、JumpCloud 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にします。

JumpCloud 経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にする手順

  1. JumpCloud 管理ポータルで、[ユーザーグループ] ([ユーザー管理] の下) に移動し、 クラウドサイバーエクスポージャー SSO アプリケーションの新しいグループを作成してから、関連するユーザーを追加します。
  2. SSO に移動し、[新しいアプリケーションの追加] をクリックします。

  3. [カスタム SAML アプリ] を検索して選択します。

    コンソールSSO10

  4. [一般情報] タブで、 表示ラベル を入力します (例: *Tenable_SSO)。

  5. [SSO] タブに移動し、各フィールドに次の値を入力します。

    フィールド 値
    IdP エンティティ ID urn:{your-domain.com}
    ここで、 your-domain.com は会社のプライマリドメイン名です。たとえば、urn:ermetic.com.
    SP エンティティ ID urn:app.ermetic.com
    ACS の URL

    https://{URL}/api/console/authentication/saml2/customer/acs

    {URL} の場合

    • グローバル (すべてのリージョン): app.tenable.com
    • 米国ガバメントクラウド: app.tenable.us
    SAMLSubject NameID email
    SAMLSubject NameID format urn:oasis:names:tc:SAML:1.0:nameid-format:unspecified (デフォルト)
    署名アルゴリズム RSA-SHA256
    符号アサーション 有効化/選択済み

  6. [属性] > [ユーザー属性マッピング] で、[属性の追加] をクリックし、以下の各マッピングを追加します。

    サービスプロバイダー属性名 JumpCloud 属性名
    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress メール
    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname firstname
    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname 姓
  7. [ユーザーグループ] タブに移動し、先ほど作成したグループを追加して、[アクティブ化] をクリックします。
  8. 作成したアプリをクリックし、[SSO] に移動して、[メタデータのエクスポート] をクリックします。
  9. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  10. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  11. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  12. [ファイル] を選択し、JumpCloud からコピーしたメタデータをアップロードして、[追加] をクリックします。

JumpCloud グループのサポートの追加

JumpCloud グループのサポートを追加するには

  1. JumpCloud 管理コンソールで、[SSO] に移動し、[JumpCloud 経由でのログインの有効化] で追加した クラウドサイバーエクスポージャー SAML アプリケーションを開きます。

  2. [SSO] タブに移動し、[GROUP ATTRIBUTES] で [include group attribute] を選択してから、「 groups」と入力します。

    重要: [Attribute] (属性) フィールドでは大文字と小文字が区別されます。groups の値はそのまま正確に入力する必要があります。
  3. [保存] をクリックします。

カスタム SAML 2.0 プロバイダー経由でのログインの有効化

上記のセクションで説明されていないプロバイダーを使用する場合は、SAML 2.0 のアイデンティティ仕様を利用することで、そのプロバイダー経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にすることができます。

注意: 各プロバイダーでは、以下にリストされている詳細、パラメーター、属性を参照する際に、若干異なる名前や用語が使用される場合があります。以下の値が正しいパラメーターに構成されていることを確認してください。

カスタム SAML プロバイダー経由での クラウドサイバーエクスポージャー コンソールへのログインを有効にする方法

  1. 対象プロバイダーごとに概説しているステップに従って、クラウドサイバーエクスポージャー 専用のアプリケーションを追加します。必要に応じて、関連するドキュメントを参照してください。

  2. アプリケーションで、以下の SAML の詳細を設定します。

    SAML パラメーター 値
    エンティティ ID urn:app.ermetic.com
    ACS (リダイレクト URL)

    https://{URL}/api/console/authentication/saml2/customer/acs

    {URL} の場合

    • グローバル (すべてのリージョン): app.tenable.com
    • 米国ガバメントクラウド: app.tenable.us
    暗号化 SHA-256
    SAML NameID の形式 メール

  3. 以下の SAML 属性を追加し、必要に応じてそれらを指定されたプロバイダーにマッピングします:

    属性 マッピング 名前の形式
    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress メールアドレス 指定なし
    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname 名 指定なし
    http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname 姓 指定なし
  4. メタデータをダウンロードします。
  5. クラウドサイバーエクスポージャー コンソールで、Settings > Access Management > Single Sign-On に移動します。
  6. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  7. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、ドロップダウンから [クラウドサイバーエクスポージャー] を選択します。
  8. [ファイル] を選択し、前にダウンロードしたメタデータをアップロードして、[追加] をクリックします。

グループのサポートの追加

カスタム SAML 2.0 プロバイダーを使用するグループのサポートを追加する方法

ネイティブ IdP グループ属性を クラウドサイバーエクスポージャー グループ 属性にマッピングします。

重要: グループ属性では大文字と小文字が区別されます。値はそのまま正確に入力する必要があります。