SSOを有効にする¶

SAML SSOを設定するための基本的なワークフローは次のとおりです。

1. 前提条件を確認して、すべて満たします。
2. IDプロバイダーでSSOを設定し、DataRobotをサービスプロバイダーとして識別します。
3. DataRobotでSSOを設定します。
   • 設定オプションを選択して、エンティティIDとIdPメタデータを設定します。
   • マッピングを使用して、DataRobotとIdPの間での属性、グループ、ロールの同期方法を定義します。
4. すべてのユーザーに対してSSOをオプションまたは必須にするなど、SSOの要件を設定します。

セルフマネージドAIプラットフォームでは、SAML SSOが強化されています。

SAML SSOを設定するための基本的なワークフローは次のとおりです。

1. 前提条件を確認して、すべて満たします。
2. IDプロバイダーでSSOを設定し、DataRobotをサービスプロバイダーとして識別します。
3. DataRobotでSSOを設定します。
   • 設定オプションを選択して、エンティティIDとIdPメタデータを設定します。
   • マッピングを使用して、DataRobotとIdPの間での属性、グループ、ロールの同期方法を定義します。
4. セキュリティパラメーターを変更して、SAMLプロトコルのセキュリティ強度を調整します。
5. 高度なオプションを設定します。
6. すべてのユーザーに対してSSOをオプションまたは必須にするなど、SSOの要件を設定します。

• SSOのSAMLが有効になっています。
• 組織には少なくとも1人の組織/システム管理者が必要です。SAML SSOを有効にした後、管理者がSAML SSOを設定します。

DataRobotの担当者に連絡してSAML SSOを有効にし、必要に応じて、最初の組織/システム管理者ユーザーを設定します（そのユーザーが、追加のユーザーを組織/システム管理者ロールに割り当てることができます）。

• SSOのSAMLが有効になっています。
• 組織には少なくとも1人の組織/システム管理者が必要です。SAML SSOを有効にした後、管理者がSAML SSOを設定します。

DataRobotの担当者に連絡してSAML SSOを有効にし、必要に応じて、第一システム管理者ユーザーを設定します（そのユーザーが、追加のユーザーをシステム管理者ロールに割り当てることができます）。

組織名を追加したルートURLを使用します。 組織名は、DataRobotによってビジネスに割り当てられた名前で、スペースを入れずに小文字で入力します。

IdP側で以下の必須設定が完了していることを確認します。この例ではOktaを使用しています。

1. まだOkta開発者アカウントを持っていない場合は、GitHubのユーザー名またはメールアドレスを使って無料サインアップしてください。
2. Oktaの左側のナビゲーションでApplications > Applicationsをクリックします。

3. Create App Integrationをクリックし、SAML 2.0を選択してNextをクリックします。

   

4. 一般設定タブで、アプリケーションの名前を入力し、次へをクリックします。

   

5. SAMLの設定タブで、次のフィールドに入力します。

   • シングルサインオンURL
   • Audience URI (SP Entity ID)
   • Attribute Statement（username）

   

   備考

   シングルサインオンURLの末尾にはsigned-inが付いています。 DataRobotでSSOログインを成功させるためには、属性usernameにuser.emailを設定する必要があります。

6. フィードバックタブで、私はソフトウェアベンダーですを選択し、終了をクリックします。

   

7. 新しいアプリケーションを選択した状態で、アプリケーション > 課題をクリックし、アプリにユーザーまたはグループを割り当てます。

   

   1. サインオンタブで、SAML署名証明書セクションを見つけます。 SHA-2のActions > View IdP metadataを選択し、IdPメタデータのリンクアドレスをコピーします。これは、DataRobotでSSOを設定するために必要になります。

   

IdP側で以下の必須設定が完了していることを確認します。この例ではPingOneを使用しています。

1. Add a SAML appタイルをクリックします。

   

2. Applicationsの右側にある+アイコンをクリックします。

   

3. アプリケーションに名前を付け、SAML Application を選択し、保存をクリックします。

   

4. Manually Enterを選択し、以下をコピー＆ペーストします。

   • DataRobotからIdPが開始したログインURLをコピーして、ACS URLsフィールドに貼り付けます。
   • DataRobotからエンティティIDをコピーして、Entity IDフィールドに貼り付けます。 先頭のhttpsと末尾のパスを必ず削除してください。 DataRobotでPingOneを設定する場合、これは完全に一致する必要があります。

   

5. 保存をクリックします。

6. 設定タブを開いて、鉛筆アイコンをクリックします。

   

7. Sign Assertation & Responseが選択されていることを確認します。

   

8. Subject Named Formatドロップダウンまで下方向にスクロールします。 ドロップダウンをクリックして、urn:oasis:names:tc:SAML:2.0:name-id:transientを選択します。

   

9. 保存をクリックします。

10. トグルを使って、PingOneアプリケーションExample Ping1 integration with DataRobotをオンにします。

    

11. IdPメタデータURLを保存します。 これは、DataRobotでSSOを設定するために必要になります。

    

    属性のマッピング(オプション)

    属性をマッピングする場合、以下に示す両方の手順を完了する必要があります。 通常、DataRobotではユーザーの識別にメールアドレスを使用しますが、PingOneではユーザー名を使用します。 ユーザー名にメールアドレスがマッピングされるので、この手順をスキップしないでください。

    1. Attribute Mappingsタブをクリックし、鉛筆アイコンをクリックします。

       

    2. saml_subjectの横にあるPingOne MappingをEmail Addressに変更します。 Addをクリックして、Attributesでusernameを入力し、PingOne MappingでEmail addressを選択します。

       

12. 保存をクリックします。

IdP側で以下の必須設定が完了していることを確認します。この例ではAzure Active Directoryを使用しています。

1. クラウドアプリケーションの管理者としてAzureにサインインします。

2. Azure Active Directory > Enterprise applicationsに移動し、+ Create your own applicationをクリックします。

   

3. アプリケーションに名前を付け、Integrate any other application you don't find in the gallery (Non-gallery)を選択し、Addをクリックします。

   

4. Overviewページで、Set up single sign onを選択し、シングルサインオンの方法としてSAMLを選択します。

   

5. Basic SAML Configurationの右側にある鉛筆アイコンをクリックします。 次のフィールドに入力します。

   • Identifier (Entity ID)には、任意の文字列を入力します。
   • Reply URL (Assertion Consumer Service URL)には、<domain>/sso/saml/signed-in/を入力します。

   

6. 保存をクリックします。

7. User Attributes & Claimsの右側にある鉛筆アイコンをクリックします。 デフォルトの追加クレームをすべて削除し、以下のクレームを追加します。

   • Nameにはusername
   • SourceにはAttribute
   • Source attributeにはuser.userprincipalname

   

   Namespace値を入力しないとフォームを保存できない場合は、任意の文字列を指定してSaveをクリックし、再度編集してNamespace値を削除します。 保存後、新しいクレームがテーブルに表示されます。

8. 続行する前に、Azure Active Directory設定で、SAML応答とアサーションの両方に署名するように署名オプションが設定されていることを確認します。 そうでない場合、欠落した署名に対してSAML SSO認証が発生する可能性があります。

   • AzureのSAMLによるシングルサインオンのセットアップページで、SAML署名証明書の見出しを探し、編集アイコン（鉛筆）をクリックして、SAML署名証明書ページに移動します。
   • 署名オプションドロップダウンリストで、SAML応答とアサーションへの署名を選択します。
   • 保存をクリックして、新しいSAML署名証明書の設定を適用します。

   

9. テストアカウントがアプリケーションにアクセスできることを確認するには、左側のナビゲーションでUsers and groupsを開き、Add userをクリックします。

   

10. Identifier (Entity ID)とApp Federation Metadata URLをコピーします。これらの値は、DataRobotでSSOを設定するために必要になります。

    

以下のフィールドに入力します。

以下のフィールドに入力します。

以下のフィールドに入力します。

以下のフィールドに入力します。

ユーザーを自動生成を使用すると、最初のサインオン時にDataRobotに新しいユーザーが自動的に追加されます。

属性のマッピングを使用すると、DataRobot属性（ユーザーに関するデータ）をSAML応答のフィールドにマップできます。 つまり、DataRobotとIdPは異なる名前を使用する可能性があるため、このセクションでは、DataRobotがユーザーの表示名、名、姓、および電子メールを更新するSAML応答のフィールドの名前を設定できます。

グループマッピングを使用して、IdPグループと既存のDataRobotグループの間で無制限のマッピングを作成します。 マッピングは1対1のみ可能です。

構成を行うには、以下を設定します。

ロールのマッピングでは、IdPのロールとDataRobotのロールの間でマッピングを無制限に作成できます。 作成できるマッピングは、1対1、1対多、または多対多です。

構成を行うには、以下を設定します。

SSOを強制した場合、ユーザー名とパスワードのログインは非表示になり、SSOログインのみが表示されます。

SSOがオプションの場合、ユーザーはログイン方法を選択できます。

SSOが設定されたら、DataRobotにサインインするためのSPが開始したログインURLをユーザーに提供します（SSOを管理 > サービスプロバイダーの詳細にあります）。 マネージドAIプラットフォームでは、app.datarobot.comのログイン画面からSSOにアクセスできません。

セッションとバインディングは、DataRobotとIdPの通信方法（SAML要件はIdPによって異なります）を制御します。

構成を行うには、以下を設定します。

クライアント設定では、ユーザーは秘密鍵と証明書を設定できます。

構成を行うには、以下を設定します。

DataRobotがSAML認証要求に署名するには、秘密鍵が設定されている必要があります。

秘密鍵を設定するには：

{
  "key_file": "/opt/datarobot/DataRobot-7.x.x/etc/certs/key.pem"
} 

key_fileはキーPEMファイルへのパスです。 同じことが証明書ファイルにも当てはまります（この場合はcert_fileフィールドを使用）。 次のJSONを指定してシークレットをコンテンツとしてアップロードすることもできます。

{
  "key_file_value": "-----BEGIN RSA PRIVATE KEY-----\n...\n-----END RSA PRIVATE KEY-----",
  "cert_file_value": "-----BEGIN CERTIFICATE-----\n...\n-----END CERTIFICATE-----"
} 

省略記号がある場合は、単一行として秘密鍵（PEM形式）を挿入します。 同じことが証明書ファイルにも当てはまります（この場合はcert_file_valueフィールドを使用）。

DataRobotがIdP SAML応答を解読するためのキーペアを記述します。 この手順は、IdPがその応答を暗号化する場合に必要です。

  {
    "encryption_keypairs" : [{
      "key_file" : "/opt/datarobot/DataRobot-7.x.x/etc/certs/key.pem",
      "cert_file" : "/opt/datarobot/DataRobot-7.x.x/etc/certs/cert.pem"
    }]
  } 

キーペアを記述する場合、Oktaには追加のパラメーターid_attr_name_cryptoが必要です。

  {
    "encryption_keypairs" : [{
      "key_file" : "/opt/datarobot/DataRobot-7.x.x/etc/certs/key.pem",
      "cert_file" : "/opt/datarobot/DataRobot-7.x.x/etc/certs/cert.pem"
    }],
    "id_attr_name_crypto" : "Id"
  } 

キーペアは、ファイルパスではなく、その内容で記述することもできます。 上記の秘密鍵の例を参照してください。