SAMLシングルサインオン¶

SAML SSOを設定するための基本的なワークフローは次のとおりです。

1. 前提条件を確認して、すべて満たします。
2. IDプロバイダーでSSOを設定し、DataRobotをサービスプロバイダーとして識別します。
3. DataRobotでSSOを設定します。
   • 設定オプションを選択して、エンティティIDとIdPメタデータを設定します。
   • マッピングを使用して、DataRobotとIdPの間での属性、グループ、ロールの同期方法を定義します。
4. すべてのユーザーに対してSSOをオプションまたは必須にするなど、SSOの要件を設定します。

セルフマネージドAIプラットフォームでは、SAML SSOが強化されています。

SAML SSOを設定するための基本的なワークフローは次のとおりです。

1. 前提条件を確認して、すべて満たします。
2. IDプロバイダーでSSOを設定し、DataRobotをサービスプロバイダーとして識別します。
3. DataRobotでSSOを設定します。
   • 設定オプションを選択して、エンティティIDとIdPメタデータを設定します。
   • マッピングを使用して、DataRobotとIdPの間での属性、グループ、ロールの同期方法を定義します。
4. セキュリティパラメーターを変更して、SAMLプロトコルのセキュリティ強度を調整します。
5. 高度なオプションを設定します。
6. すべてのユーザーに対してSSOをオプションまたは必須にするなど、SSOの要件を設定します。

アプリケーションのウェブサイトにログインするために、ユーザー名とパスワードを指定して認証するか、Googleに認証を任せるかを選択できます。 認証プロセスは、アプリケーションサーバーへのTLS 1.2を使用してHTTPSで行われます。 ユーザーが設定したパスワードは、上に示すデータベースに安全に格納されます。 保存する前にパスワードはSHA-512を使用して一意のソルト付きでハッシュされ、BPKDF2で追加の保護が適用されます。 元のパスワードは破棄され、恒久的に保存されることはありません。

アプリケーションのウェブサイトにログインするために、ユーザー名とパスワードを指定して認証するか、LDAPに認証を任せるかを選択できます。 SAML 2.0を使用したSSOもサポートされています。 認証プロセスは、アプリケーションサーバーへのTLS 1.2を使用してHTTPSで行われます。 ユーザーが設定したパスワードは、上に示すデータベースに安全に格納されます。 保存する前にパスワードはSHA-512を使用して一意のソルト付きでハッシュされ、BPKDF2で追加の保護が適用されます。 元のパスワードは破棄され、恒久的に保存されることはありません。

• SSOのSAMLが有効になっています。
• 組織には少なくとも1人の組織/システム管理者が必要です。SAML SSOを有効にした後、管理者がSAML SSOを設定します。

DataRobotの担当者に連絡してSAML SSOを有効にし、必要に応じて、最初の組織/システム管理者ユーザーを設定します（そのユーザーが、追加のユーザーを組織/システム管理者ロールに割り当てることができます）。

• SSOのSAMLが有効になっています。
• 組織には少なくとも1人の組織/システム管理者が必要です。SAML SSOを有効にした後、管理者がSAML SSOを設定します。

DataRobotの担当者に連絡してSAML SSOを有効にし、必要に応じて、第一システム管理者ユーザーを設定します（そのユーザーが、追加のユーザーをシステム管理者ロールに割り当てることができます）。

DataRobotでこの情報を取得するには、設定 > SSOを管理に移動し、URLの詳細が一覧表示されているサービスプロバイダーの詳細を見つけます。

組織名を追加したルートURLを使用します。 組織名は、DataRobotによってビジネスに割り当てられた名前で、スペースを入れずに小文字で入力します。

DataRobotでこの情報を取得するには、/admin/organizations/manage/<org_id>/ssoに移動し、URLの詳細が一覧表示されているサービスプロバイダーの詳細を見つけます。

IdP側で以下の必須設定が完了していることを確認します。この例ではOktaを使用しています。

1. まだOkta開発者アカウントを持っていない場合は、GitHubのユーザー名またはメールアドレスを使って無料サインアップしてください。
2. Oktaの左側のナビゲーションでApplications > Applicationsをクリックします。

3. Create App Integrationをクリックし、SAML 2.0を選択してNextをクリックします。

   

4. 一般設定タブで、アプリケーションの名前を入力し、次へをクリックします。

   

5. SAMLの設定タブで、次のフィールドに入力します。

   • シングルサインオンURL
   • Audience URI (SP Entity ID)
   • Attribute Statement（username）

   

   備考

   シングルサインオンURLの末尾にはsigned-inが付いています。 DataRobotでSSOログインを成功させるためには、属性usernameにuser.emailを設定する必要があります。

6. フィードバックタブで、私はソフトウェアベンダーですを選択し、終了をクリックします。

   

7. 新しいアプリケーションを選択した状態で、アプリケーション > 課題をクリックし、アプリにユーザーまたはグループを割り当てます。

   

   1. サインオンタブで、SAML署名証明書セクションを見つけます。 SHA-2のActions > View IdP metadataを選択し、IdPメタデータのリンクアドレスをコピーします。これは、DataRobotでSSOを設定するために必要になります。

   

IdP側で以下の必須設定が完了していることを確認します。この例ではPingOneを使用しています。

1. Add a SAML appタイルをクリックします。

   

2. Applicationsの右側にある+アイコンをクリックします。

   

3. アプリケーションに名前を付け、SAML Application を選択し、保存をクリックします。

   

4. Manually Enterを選択し、以下をコピー＆ペーストします。

   • DataRobotからIdPが開始したログインURLをコピーして、ACS URLsフィールドに貼り付けます。
   • DataRobotからエンティティIDをコピーして、Entity IDフィールドに貼り付けます。 先頭のhttpsと末尾のパスを必ず削除してください。 DataRobotでPingOneを設定する場合、これは完全に一致する必要があります。

   

5. 保存をクリックします。

6. 設定タブを開いて、鉛筆アイコンをクリックします。

   

7. Sign Assertation & Responseが選択されていることを確認します。

   

8. Subject Named Formatドロップダウンまで下方向にスクロールします。 ドロップダウンをクリックして、urn:oasis:names:tc:SAML:2.0:name-id:transientを選択します。

   

9. 保存をクリックします。

10. トグルを使って、PingOneアプリケーションExample Ping1 integration with DataRobotをオンにします。

    

11. IdPメタデータURLを保存します。 これは、DataRobotでSSOを設定するために必要になります。

    

    属性のマッピング(オプション)

    属性をマッピングする場合は、以下の2つの手順を両方実行する必要があります。 通常、DataRobotではユーザーの識別にメールアドレスを使用しますが、PingOneではユーザー名を使用します。 ユーザー名にメールアドレスがマッピングされるので、この手順をスキップしないでください。

    1. Attribute Mappingsタブをクリックし、鉛筆アイコンをクリックします。

       

    2. saml_subjectの横にあるPingOne MappingをEmail Addressに変更します。 Addをクリックして、Attributesでusernameを入力し、PingOne MappingでEmail addressを選択します。

       

12. 保存をクリックします。

IdP側で以下の必須設定が完了していることを確認します。この例ではAzure Active Directoryを使用しています。

1. クラウドアプリケーションの管理者としてAzureにサインインします。

2. Azure Active Directory > Enterprise applicationsに移動し、+ Create your own applicationをクリックします。

   

3. アプリケーションに名前を付け、Integrate any other application you don't find in the gallery (Non-gallery)を選択し、Addをクリックします。

   

4. Overviewページで、Set up single sign onを選択し、シングルサインオンの方法としてSAMLを選択します。

   

5. Basic SAML Configurationの右側にある鉛筆アイコンをクリックします。 次のフィールドに入力します。

   • Identifier (Entity ID)には、任意の文字列を入力します。
   • 応答URL（アサーションコンシューマーサービスURL）については、DataRobotからIdPが開始したログインURLをコピーして、フィールド（<domain>/sso/signed-in/<org_name>）に貼り付けます。

   

6. 保存をクリックします。

7. User Attributes & Claimsの右側にある鉛筆アイコンをクリックします。 デフォルトの追加クレームをすべて削除し、以下のクレームを追加します。

   • usernameを名前として追加します（詳細については、マッピングセクションを参照してください）。
   • SourceにはAttribute
   • Source attributeにはuser.userprincipalname

   

   Namespace値を入力しないとフォームを保存できない場合は、任意の文字列を指定してSaveをクリックし、再度編集してNamespace値を削除します。 保存後、新しいクレームがテーブルに表示されます。

8. 続行する前に、Azure Active Directory設定で、SAML応答とアサーションの両方に署名するように署名オプションが設定されていることを確認します。 そうでない場合、欠落した署名に対してSAML SSO認証が発生する可能性があります。

   • AzureのSAMLによるシングルサインオンのセットアップページで、SAML署名証明書の見出しを探し、編集アイコン（鉛筆）をクリックして、SAML署名証明書ページに移動します。
   • 署名オプションドロップダウンリストで、SAML応答とアサーションへの署名を選択します。
   • 保存をクリックして、新しいSAML署名証明書の設定を適用します。

   

9. テストアカウントがアプリケーションにアクセスできることを確認するには、左側のナビゲーションでUsers and groupsを開き、Add userをクリックします。

   

10. Identifier (Entity ID)とApp Federation Metadata URLをコピーします。これらの値は、DataRobotでSSOを設定するために必要になります。

    

以下のフィールドに入力します。

以下のフィールドに入力します。

以下のフィールドに入力します。

以下のフィールドに入力します。

ユーザーを自動生成を使用すると、最初のサインオン時にDataRobotに新しいユーザーが自動的に追加されます。

属性のマッピングを使用すると、DataRobot属性（ユーザーに関するデータ）をSAML応答のフィールドにマップできます。 つまり、DataRobotとIdPは異なる名前を使用できるため、このセクションでは、DataRobotがユーザーの表示名、ユーザー名、姓、名、およびメールアドレスを更新するSAML応答のフィールドの名前を設定できます。 ユーザー名フィールドは必須であり、DataRobotアプリケーションがログインユーザーの正しいユーザー名を抽出できるようにする設定において不可欠です。

組織のマッピングは、セルフマネージドAIプラットフォームでのみ利用可能です。 これにより、IdP組織と既存のDataRobot組織の間に複数のマッピングを作成できます。

マッピングは1対1のみ可能です。 マッピングされた組織のリストは、ログインが成功するたびにIdPから同期されます。 マッピングされていない組織はDataRobotで例外が発生するため、可能な限りすべての組織をマッピングする必要があります。

組織がIdPから提供されていない場合、またはユーザーがどの組織にも属していない場合、ユーザーは最初のログイン後にデフォルトの組織に移動されます。

ユーザーが割り当てられるデフォルトの組織を定義するには、システム設定 > 組織管理に移動します。

グループマッピングを使用して、IdPグループと既存のDataRobotグループの間で無制限のマッピングを作成します。 マッピングは1対1のみ可能です。 マッピングされたグループのリストは、ログインプロセスが成功するたびにIdPから同期されます。 マップされていないグループは、DataRobotで一意のエンティティとして使用でき、ログインプロセス後も変更されません。 カスタムRBACロールによって、新しいロールを作成して目的のグループに割り当てることで、DataRobotのIdPグループの各エントリーに1つのデフォルトロールをマッピングすることができます。

構成を行うには、以下を設定します。

セルフマネージド環境では、組織のマッピングを使用して、組織に個別のグループマッピングを定義することもできます。 それ以外の場合、マッピングはデフォルトの組織と結び付けられます。

Roles mapping allows you to create an unlimited number of one-to-one mappings between IdP and DataRobot roles. マッピングされたロールのリストは、ログインプロセスが成功するたびにIdPから同期されます。

マップされていないグループは、DataRobotで一意のエンティティとして使用でき、ログインプロセス後も変更されません。

構成を行うには、以下を設定します。

セルフマネージド環境では、組織のマッピングを使用して、組織に個別のロールマッピングを定義することもできます。 それ以外の場合、マッピングはデフォルトの組織と結び付けられます。

トグル	説明
シングルサインオンを有効にする	ユーザーのSSOをオプションにします。有効にすると、ユーザーはSSOまたは別の認証方法（ユーザー名/パスワード）を使用してDataRobotにサインインできます。
シングルサインオンを強制します	ユーザーのSSOを必須にします。有効にすると、組織内のユーザーはSSOを使用してサインインする必要があります。

SSOが設定されたら、ユーザーに/sign-in/<name>を提供して、DataRobotにサインインできるようにします。 以下の例では、https://app.eu.datarobot.com/sign-in/datarobot-saml-ssoがSAML SSOのリンク、datarobot-saml-ssoがSAML SSO設定のカスタム名、/sign-in/datarobot-saml-ssoがユーザーに提供される組織のSAML SSOログインフォームのURLです。 これは、基本のログインフォームの代わりに使用する必要があります。 マネージドAIプラットフォームでは、app.datarobot.comのログイン画面からSSOにアクセスできません。

どちらの場合でも、SSOログインが有効であれば、ユーザーがSSOボタンをクリックするとIdPの認証ページにリダイレクトされ、サインオンに成功するとDataRobotにリダイレクトされます。

トグル	説明
シングルサインオンを有効にする	ユーザーのSSOをオプションにします。有効にすると、ユーザーはSSOまたは別の認証方法（ユーザー名/パスワード）を使用してDataRobotにサインインできます。
シングルサインオンを強制します	ユーザーのSSOを必須にします。有効にすると、組織内のユーザーはSSOを使用してサインインする必要があります。

どちらの場合でも、SSOログインが有効であれば、ユーザーがSSOボタンをクリックするとIdPの認証ページにリダイレクトされ、サインオンに成功するとDataRobotにリダイレクトされます

セッションとバインディングは、DataRobotとIdPの通信方法（SAML要件はIdPによって異なります）を制御します。

構成を行うには、以下を設定します。

クライアント設定では、ユーザーは秘密鍵と証明書を設定できます。 この設定は、セルフマネージド環境専用です。

構成を行うには、以下を設定します。

DataRobotがSAML認証要求に署名するには、秘密鍵が設定されている必要があります（「署名済み認証リクエスト」および「署名済みログアウトリクエスト」オプションの要件です）。

秘密鍵を設定するには：

DataRobotがIdP SAML応答を解読するためのキーペアを記述します。 この手順は、IdPがその応答を暗号化する場合に必要です。 次のJSONを指定してシークレットをコンテンツとしてアップロードすることもできます。

{
  "key_file_value": "-----BEGIN RSA PRIVATE KEY-----\n...\n-----END RSA PRIVATE KEY-----",
  "cert_file_value": "-----BEGIN CERTIFICATE-----\n...\n-----END CERTIFICATE-----"
} 

省略記号がある場合は、単一行として秘密鍵（PEM形式）を挿入します。 同じことが証明書ファイルにも当てはまります（この場合はcert_file_valueフィールドを使用）。

なお、Oktaではキーペアを記述する際に追加のパラメーター（id_attr_name_crypto）が必要です（DataRobot v10.2以前でのみ必要）。

キーペアは、ファイルパスではなく、その内容で記述することもできます。 上記の秘密鍵の例を参照してください。