SSO 経由の JIT ポータルログインを有効化

外部アイデンティティプロバイダー (IdP) と Tenable One Cloud Exposure の間に信頼を確立することで、ユーザーが SSO 経由で JIT ポータルにログインできるようにします。これにより、ユーザーの既存の企業アイデンティティを利用してユーザーのプロビジョニングを実行できます。

AWS Identity Center 経由でのログインの有効化 (SAML 2.0)

AWS Identity Center をアイデンティティプロバイダー (IdP) として使用して、SAML 2.0 経由での JIT ポータルへのログインを有効にします。

始める前に

  • 前提条件: 認証ドメイン AWS Identity Center ユーザーが使用する email ドメインを、 クラウドサイバーエクスポージャー で認証ドメインとして追加する必要があります。 ドメインが設定されていない場合、SSO のセットアップ中に SAML メタデータのアップロードが失敗します。

AWS Identity Center (SAML 2.0) を使用した JIT ポータルへのログインを有効にする方法

  1. AWS で、 AWS Identity Center を開きます。
  2. [アプリケーション] に移動し、[アプリケーションの追加] をクリックします。
  3. [セットアップするアプリケーションがあります]、[SAML 2.0] を選択して、[次へ] をクリックします。
  4. [アプリケーションの設定] で、[表示名] と [説明] を入力します (例: クラウドサイバーエクスポージャー) の SSO 経由での JIT ポータルアクセスの有効化)。

  5. [アプリケーションのプロパティ] で、 アプリケーションの開始 URL のリージョン固有の値を入力します。

    • グローバル (すべてのリージョン): app.tenable.com/user
    • 米国ガバメントクラウド: app.tenable.us/user
  6. [Application metadata] で以下を行います。

    1. アプリケーション ACS URL の値を入力します。
      https://{URL}/api/console/authentication/saml2/user/acs

      {URL} の場合

      • グローバル (すべてのリージョン): app.tenable.com
      • 米国ガバメントクラウド: app.tenable.us

    2. [Application SAML audience] (アプリケーション SAML オーディエンス) に、次のように入力します。
      urn:user.app.ermetic.com

      注意: アプリケーション SAML オーディエンス (エンティティ ID とも呼ばれます) は、JIT ポータルをサービスプロバイダーとして一意に識別します。この値はリージョン固有ではありません。
  7. 「 送信」 をクリックしてアプリケーションを作成します。
  8. [ユーザーとグループの割り当て] をクリックして、JIT ポータルにアクセスする必要があるユーザーまたはグループを割り当てます。
    1. 検索バーから、関連するユーザーまたはグループを追加します。
    2. [割り当て] をクリックします。
  9. アプリケーションが作成されたら、それを開き、[アクション] > [属性マッピングの編集] を選択します。

    1. 次の属性マッピングを確認または追加します*

      アプリケーションのユーザー属性この文字列の値またはユーザーにマップされます
      IAM Identity Center の属性      		フォーマット
      サブジェクト (NameID)${user:email}電子メールアドレス
      http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress${user:email}指定なし
      http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname${user:givenName}指定なし
      http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname${user:familyName}指定なし
      グループ (オプション)${user:groups}指定なし

      *グループ属性では大文字と小文字が区別されます。AWS グループを使用する場合は、表示されているとおりに入力してください。

    2. [変更を保存] をクリックします。
  10. アプリケーションページで、[アクション] > [設定の編集] を選択し、 IAM Identity Center SAML メタデータファイルをダウンロードします。
  11. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  12. [アイデンティティプロバイダーの追加] をクリックし、[SAML] を選択します。
  13. [アプリケーションの選択] ドロップダウンで、[JIT] を選択します。
  14. [ファイル] を選択し、AWS Identity Center からダウンロードしたメタデータファイルをアップロードして、[追加] をクリックします。

Google 経由でのログインを有効化

次のいずれかのアイデンティティ仕様を使用して、Google 経由で JIT ポータルへのログインを有効にします。

OIDC を使用した Google 経由でのログインの有効化

OIDC を使用したログインを有効にするには

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  2. [アイデンティティプロバイダーの追加]、[Google] の順にクリックします。

  3. [Add Identity Provider] ダイアログで、[Add] をクリックします。

    注意: この方法で Google を IdP として追加すると、クラウドサイバーエクスポージャー コンソールと JIT ポータルの両方へのログインが有効になります。

SAML を使用した Google 経由でのログインの有効化

SAML を使用したログインを有効にする方法

  1. Google管理コンソールで、[アプリ] > [ウェブアプリとモバイルアプリ] に移動します。
  2. [アプリの追加] > [カスタム SAML アプリの追加] をクリックします。
  3. [アプリ名] を入力し、[続行] をクリックします。
  4. [Google ID プロバイダの詳細] ページで、[メタデータをダウンロード] をクリックします。
  5. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  6. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  7. [アイデンティティプロバイダーの追加] ダイアログで、ドロップダウンから [JIT] を選択します。
  8. [ファイル] を選択し、Google からダウンロードしたメタデータをアップロードして、[追加] をクリックします。

  9. Google 管理コンソールの [サービス プロバイダの詳細] ページで、それぞれのフィールドに次の値を入力します。

    • ACS URL: https://{region}.app.ermetic.com/api/authentication/saml2/user/acs

    region に入力する値は、Tenable One Cloud Exposure コンソールにログインする際に使用する URL の値に依存します。リージョン別の Tenable コンソール URL を参照してください。

    • エンティティ ID: urn:user.app.ermetic.com
    • 名前 ID の形式: メール
    • 名前 ID: 基本情報>プライマリメール
  10. [続行] をクリックします。

  11. [属性マッピング] ページで [マッピングの追加] をクリックし、次の属性を追加します。

    Google マッピングに対するディレクトリ属性 (アプリ属性):

    • 名: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    • 姓: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    • プライマリメール: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
  12. (オプション) Google グループのサポートを追加します。
  13. [終了] をクリックします。

Microsoft Entra ID 経由でのログインの有効化

次のいずれかのアイデンティティ仕様を使用して、Microsoft Entra ID 経由での JIT ポータルへのログインを有効にします。

OIDC を使用した Microsoft Entra ID 経由でのログインの有効化

OIDC を使用したログインを有効にするには

  1. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  2. [アイデンティティ プロバイダーの追加] をクリックし、[Microsoft] をクリックします。
  3. [Add Identity Provider] (アイデンティティプロバイダーの追加) ダイアログで、 JIT のリンクをクリックしてアクセス権を付与します。
  4. 組織で クラウドサイバーエクスポージャー 管理者に関連付けられているアカウントを選択します。

  5. リクエストされたアクセス許可を受け入れます。

    The Microsoft Entra ID Permissions requested dialog for the JIT connector app

  6. [アクセス権を許可したことを確認する] が選択されていることを確認し、[追加] をクリックします。

SAML を使用した Microsoft Entra ID 経由でのログインの有効化

SAML を使用したログインを有効にする方法

  1. Azure portal で、[エンタープライズ アプリケーション] に移動し、[新しいアプリケーション] を追加します。
  2. [独自のアプリケーションの作成] をクリックし、アプリの名前を入力します。
  3. [ギャラリーに見つからない他のアプリケーションを統合する (ギャラリー以外)] の既定値を選択し、[作成] をクリックします。
  4. 表示されるアプリの [概要] ページの [シングル サインオンの設定] ステップで、 [開始] をクリックします。
  5. SSO 方法として [SAML] を選択します。
  6. [基本的な SAML 構成] で、[編集] をクリックし、それぞれのフィールドに以下の値を入力します。
    • 識別子 (エンティティ ID): urn:user.app.ermetic.com
    • 応答 URL (アサーションコンシューマサービス URL): https://app.tenable.com/api/authentication/saml2/user/acs
  7. [Save] (保存) をクリックします。

  8. [属性と要求] で [編集] をクリックし、[追加の要求] で user.userprincipalname 要求を削除します。

    コンソール SSO2

  9. [SAML 証明書] で、 フェデレーションメタデータ XML をクリックしてダウンロードします。
  10. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  11. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  12. [アイデンティティプロバイダーの追加] ダイアログで、ドロップダウンから [JIT] を選択します。
  13. [ファイル] を選択し、Azure からダウンロードしたメタデータをアップロードして、[追加] をクリックします。

Okta 経由でのログインの有効化

SAML 2.0 のアイデンティティ仕様を利用して、Okta 経由での JIT ポータルへのログインを有効にします。

Okta 経由での JIT ポータルへのログインを有効にする方法

  1. Okta 管理コンソールで、[アプリケーション] > [アプリケーション] の順に移動します。
  2. [アプリカタログを参照] をクリックします。
  3. [検索] フィールドに「 クラウドサイバーエクスポージャー JIT 」と入力し、アプリケーションタイルをクリックして、[追加] をクリックします。
  4. アプリの [サインオン] タブを選択し、[編集] をクリックします。

  5. [高度なサインオン] Settingsまでスクロールし、[リージョン] を入力します。ここで入力する値は、JIT ポータルへのログインに使用する URL (https://{region}.app.ermetic.com/user/) の値によって異なります。

    詳しくは、リージョン別の Tenable コンソール URL を参照してください。

  6. [SAML セットアップ] セクションで、[SAML セットアップ手順の表示] をクリックします。
  7. [Configuration Steps] (構成ステップ) で、ステップ 2 にリストされている URL の値をコピーします。
  8. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  9. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  10. [アイデンティティプロバイダーの追加] ダイアログで、ドロップダウンから [JIT] を選択します。
  11. URL を選択し、Okta の URL 値を貼り付けて、[追加] をクリックします。

OneLogin 経由でのログインを有効にする

SAML 2.0 のアイデンティティ仕様を利用して、OneLogin 経由での JIT ポータルへのログインを有効にします。

OneLogin 経由での JIT ポータルへのログインを有効にする方法

  1. OneLogin 管理コンソールで、[アプリケーション] > [アプリケーション] の順に移動します。
  2. [アプリの追加] をクリックします。
  3. [SAML Custom Connector (Advanced)] を検索して選択します。
  4. [設定] ページで、[表示名] (「クラウドサイバーエクスポージャー」など) を入力し、[保存] をクリックします。

  5. [Configuration] ( 構成 ) タブに移動し、これらのアプリケーションの詳細に次の値を入力します。

    • オーディエンス (エンティティ ID): urn:user.app.ermetic.com
    • ACS (コンシューマー) URL Validator/ACS (コンシューマー) URL: https://{region}.app.ermetic.com/api/authentication/saml2/user/acs

    region に入力する値は、Tenable One Cloud Exposure コンソールにログインする際に使用する URL の値に依存します。リージョン別の Tenable コンソール URL を参照してください。

  6. [パラメーター] タブに移動し、 Add icon をクリックして、次の新しいフィールド/値を追加します。
    フィールド名を値に追加します。

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress: E メール
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname: 名
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname: 姓
    重要: 各フィールド/値で [Include in SAML assertion] (SAML アサーションに含める ) フラグが有効になっていることを確認します。
    注意: [NameID value] (NameID の値) フィールドは、OneLogin に標準装備で表示されます。このフィールドはそのままにしておくことができます。

    The OneLogin SAML Custom Connector fields, with the email, first name, and last name claims

  7. [SSO] タブに移動し、 SAML 署名アルゴリズム を SHA-256 に設定します。
  8. [その他のアクション] ドロップダウンをクリックし、[SAML メタデータ] を選択します。メタデータをコピーします。
  9. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  10. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  11. [アイデンティティプロバイダーの追加] ダイアログで、ドロップダウンから [JIT] を選択します。
  12. [ファイル] を選択し、OneLogin からコピーしたメタデータをアップロードして、[追加] をクリックします。

Ping Identity 経由でのログインの有効化

SAML 2.0 のアイデンティティ仕様を利用して、Ping Identity 経由での JIT ポータルへのログインを有効にします。

Ping Identity 経由での JIT ポータルへのログインを有効にする方法

  1. Ping Identity 管理コンソールで、[接続] > [アプリケーション] に移動します。
  2. [ Add icon ] をクリックしてアプリケーションを追加します。
  3. アプリケーション名を入力します。たとえば、「クラウドサイバーエクスポージャー」と入力します。
  4. [アプリケーションタイプ] として [SAML アプリケーション] を選択し、[構成] をクリックします。
  5. [SAML Configuration] (SAML 構成) で、[Manually Enter] (手動入力 ) を選択し、次の詳細を入力します。

    • ACS の URL:https://{region}.app.ermetic.com/api/authentication/saml2/user/acs

      region に入力する値は、Tenable One Cloud Exposure コンソールにログインする際に使用する URL の値に依存します。リージョン別の Tenable コンソール URL を参照してください。

    • エンティティ ID: urn:user.app.ermetic.com
  6. [保存] をクリックします。

  7. [Attribute Mappings] タブに移動し、[Edit] Edit icon をクリックして、次の属性を追加します。

    PingOne マッピングの属性:

    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress: メールアドレス
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname: 名
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname: 姓

  8. ラジオボタンをクリックして、

    The Ping Identity application, with its toggle on

  9. [構成] タブに移動し、[メタデータのダウンロード] をクリックします。
  10. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  11. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  12. [アイデンティティプロバイダーの追加] ダイアログで、ドロップダウンから [JIT] を選択します。
  13. [ファイル] を選択し、OneLogin からコピーしたメタデータをアップロードして、[追加] をクリックします。

カスタム SAML 2.0 プロバイダー経由でのログインの有効化

上記のセクションで説明されていないプロバイダーを使用する場合は、SAML 2.0 のアイデンティティ仕様を利用することで、そのプロバイダー経由での JIT ポータルへのログインを有効にすることができます。

注意: 各プロバイダーでは、以下にリストされている詳細、パラメーター、属性を参照する際に、若干異なる名前や用語が使用される場合があります。以下の値が正しいパラメーターに構成されていることを確認してください。

カスタム SAML プロバイダー経由での JIT ポータルへのログインを有効にする方法

  1. 対象プロバイダーごとに概説しているステップに従って、クラウドサイバーエクスポージャー 専用のアプリケーションを追加します。必要に応じて、関連するドキュメントを参照してください。
  2. アプリケーションで、以下の SAML の詳細を設定します。
    • エンティティ ID: urn:user.app.ermetic.com

    • ACS (リダイレクト URL): https://{region}.app.ermetic.com/api/authentication/saml2/user/acs

      region に入力する値は、Tenable One Cloud Exposure コンソールにログインする際に使用する URL の値に依存します。リージョン別の Tenable コンソール URL を参照してください。

    • 暗号化: SHA-256
    • SAML NameID の形式: メール

  3. 以下の SAML 属性を追加し、必要に応じてそれらを指定されたプロバイダーにマッピングします:

    マッピングする属性:

    • メールアドレス: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    • 名: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    • 姓: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    注意: 名前の形式 = 指定なし
  4. メタデータをダウンロードします。
  5. クラウドサイバーエクスポージャー コンソールで、[Settings > Single Sign-On] に移動します。
  6. [アイデンティティプロバイダーの追加]、[SAML] の順にクリックします。
  7. [アイデンティティプロバイダーの追加] ダイアログで、ドロップダウンから [JIT] を選択します。
  8. [ファイル] を選択し、前にダウンロードしたメタデータをアップロードして、[追加] をクリックします。