Workiva サポートセンター

組織セキュリティ管理者は以下の手順に従って、 SAML シングルサインオン設定を組織に設定することができます。SAML ベースのシングルサインオン（SSO）により、メンバーは ID プロバイダー（IdP）を通じて Workiva にアクセスできる。設定を構成する前に、 SAML シングル・サインオンとはを確認してください。

注：組織セキュリティ管理者は、組織管理者にアクセスするためにワークスペースに追加する必要があります。

ステップ 1: SAML SSO 設定に移動します

1. 組織管理へ移動します。
2. 左側のメニューでID およびアクセス管理をクリックする。
3. Authenticationタブにいることを確認する。
4. SSO 構成ページをクリックする。
   

既存の SSO（シングルサインオン）設定がある場合ページは次のようになる。

ステップ2：SAML SSO 設定を作成して ID プロバイダーを選択する

1. SSO 構成を作成をクリックする。
   
2. Configuration nameを入力してドロップダウンからIdentity provider （IdP）を選択する。
3. 続行するには構成を作成をクリックする。

ステップ3：Workiva メタデータを ID プロバイダー管理者に送信する

1. Workivaメタデータセクションの下に識別子（エンティティ ID）と返信 URLが表示される。
2. 詳細オプションをクリックしてサインオン URLとログアウト URLを表示する。
   これらのURLは、各組織に固有であり変更することはできず、次のいずれかのリージョンマーカーが含まれる。 app.wdesk.com、apac.wdesk.com、ca.wdesk.com、eu.wdesk.com。
3. これらの Workiva メタデータ URL を ID プロバイダー管理者に送信する。
   またはWorkiva メタデータ XML をダウンロードをクリックして Workiva メタデータ XML ファイルをダウンロードし ID プロバイダー管理者に送信することもできる。

4. クロックスキュー許容値を調整できる。クロックスキュー許容値とは SAML IDプロバイダーと Workivaの間で許容される最大時間差のことである。デフォルトは 300 秒 （5 分） である。

   ヒント： 値を大きくすると時間差の「許容ウィンドウ」が広がる。これにより拒否されるリクエストが減少し信頼性が向上する一方でセキュリティおよびパフォーマンスのリスクも生じる。逆に値を小さくするとタイムアウトによる認証失敗の可能性が高くなる。

5. Microsoft AzureをIDプロバイダーとして使用している場合、IDプロバイダー管理者は、ID ロバイダーでSAML SSOを構成するのAzureタブのステップ2を参照できる。
6. OktaをIDプロバイダーとして使用している場合、IDプロバイダー管理者は、IDプロバイダーでSAML SSOを構成するのOktaタブのステップ3を参照できる。
7. Microsoft AzureやOkta以外のIDプロバイダーを使用している場合、サポートが必要なときは、IDプロバイダーのカスタマーサポートに連絡する。

ステップ 4 Workiva に ID プロバイダーのメタデータを入力する

前提条件 続行する前に ID プロバイダー管理者から必要な ID プロバイダーのメタデータ情報を取得する必要がある。

• Microsoft AzureをIDプロバイダーとして使用している場合、IDプロバイダー管理者は、IDプロバイダーでSAML SSO を構成するのAzureタブのステップ4を参照できる。
• OktaをIDプロバイダーとして使用している場合、IDプロバイダー管理者は、IDプロバイダーでSAML SSOを構成するのOktaタブのステップ2を参照できる。
• Microsoft Azure や Okta 以外の ID プロバイダーを使用している場合は ID プロバイダーのカスタマーサポートに連絡して情報を取得する。

ID プロバイダーのメタデータセクション （例 Microsoft Azure metadata） で ID プロバイダーのメタデータを入力する。

1. まずご希望の仕分け方法ドロップダウンで ID プロバイダーのメタデータを入力する方法を選択する。フェデレーションメタデータ URLを入力するかメタデータ XMLファイルをアップロードするか手動入力でメタデータを入力できる。
   

2. ファイル選択ダイアログで ID プロバイダーのメタデータ情報が含まれるファイルを選択してインポートをクリックする。

   

   または手動で値を入力できる。
   

ステップ5：ユーザーマッピングを設定する

ユーザーマッピングセクションでドロップダウンをクリックしていずれかを選択する。

• ユーザーを Workiva ユーザー名にマップ（推奨）
• ユーザーをマニュアルでマップ

注：IDプロバイダーのメタデータ情報を手動で入力した場合はこのセクションの詳細オプションをオンに切り替える必要がある。

ユーザーを Workiva ユーザー名にマッピングする

ドロップダウンでユーザーを Workiva ユーザー名にマップを選択した場合、Workiva はユーザーがログインしたときに受信するPrimary NameID属性が、大文字小文字の区別を無視して Workivaユーザー名と一致することを期待する。例えば、User.Name.Example と、user.name.example をマッチさせることができます。

次にマッピングを設定ドロップダウンをクリックしてすべての SSO ID を Workiva ユーザー名に設定を選択しテーブルに値を入力できる。

続行するには構成を作成をクリックする。

ユーザーを手動でマッピングする

ドロップダウンでユーザーをマニュアルでマップを選択した場合はまず詳細オプションを確認する。NameIdentifier locationではほとんどの設定でNameIdentifier is in Subject statementオプションが選択されている。これは Workiva が Subject ステートメント内で NameIdentifier 要素をチェックすることを意味する。

ただしNameIdentifier は別の要素属性にありますオプションを選択して、NameIdentifier 要素属性を入力することでアプリケーションがSAML応答内で属性を検索するようにできる。

注： ほとんどの組織のセキュリティ管理者は、NameIdentifierの場所をデフォルトから変更しない。変更を加える前に、Workivaサポートに連絡してサポートを受ける。

ファイルインポートによるユーザーのマッピング

マッピングを設定をクリックしてSSO ID をファイル経由でインポートを選択しユーザーを .csv マッピングファイルの SSO ID にマッピングする （SAML ID .csv マッピングファイルの要件を参照）。

• マッピングファイルにヘッダーは必要ない。
• すべての行が処理され無効な行はスキップされる。
• 重複するユーザー名がある場合はそのユーザー名を持つ最初の行のみが使用される。
• 提供されたユーザー名に既存のマッピングがある場合、のマッピングはマッピングファイルで提供されたものに更新される。
• 行がスキップされた場合失敗はSAML シングルサインオンアクティビティログに記録される。

ユーザーを個別にマッピングする

ユーザーのSSO IDを個別に設定または編集する必要がある場合は、ユーザーを検索するか、SSO IDステータスフィルターを使用してユーザーをより簡単に見つける。次にテーブルでユーザーの横にあるSSO IDフィールドをダブルクリックして正しいSSO IDを入力する。

ユーザーマッピングを設定した後構成を作成をクリックして続行する。

SAML ID .csv マッピング・ファイルの要件

SAML ID .csv マッピング・ファイルの有効な行は、以下の形式に従います：

 samlId,ユーザー名

以下の場合、行は無効です：

• 2つ未満の項目が並んでいます。
• SAML ID および/またはユーザ名が提供されていません。
• 指定されたユーザー名が存在しません。
• 指定されたユーザー名のユーザーは組織のメンバーではありません。
• 指定されたユーザー名のユーザーの主組織が、現在変更されている組織と同じではありません。
• 指定された SAML ID は、別のユーザによって既に使用されています。

有効なマッピングファイルの例は次のようになります：

exampleSamlId,exampleUsername exampleSamlId2,exampleUsername2 exampleSamlId3,exampleUsername3

ステップ6：SAML SSO 設定を有効にする

SAML SSO 設定を作成した後設定を有効にするには明示的にアクティベートする必要がある。

設定でアクティブ化をクリックする。設定はアクティブとして表示される。

ステップ7：SAML SSO 認証オプションを更新する

Workiva は、ログインプロセスを簡素化して全体的なエクスペリエンスを向上させるベストプラクティスとしてユーザーに SSO（シングルサインオン）を使用してサインインすることを強制することを強く推奨する。SAML SSO設定を作成して、有効化した後次の手順を実行する。

1. シングルサインオンタブのSSO を強制し例外を設定セクションには 2 つの認証オプションが表示される。

   • SSO を使用してサインインするようユーザーに強制（推奨）：非管理者ユーザーは SSO（シングルサインオン）を使用することが強制されるが組織のセキュリティ管理者は引き続きユーザー名とパスワードを使用してサインインできる。このオプションは、会社としてSSO（シングルサインオン）を強制しつつ、SSOに問題が発生した場合でも組織のセキュリティ管理者がプラットフォームにアクセスできるようにしたい場合に、最も適している。

     注： このオプションを有効にする前に、包括的なテストを実施して、SAML SSOの設定に完全に自信があることを確認する。

   • 組織のセキュリティ管理者に SSO を使用してサインインすることを強制：組織のセキュリティ管理者は SSO（シングルサインオン）を使用することが強制される。このオプションは、会社のセキュリティポリシーによりユーザーを SSO（シングルサインオン）要件から除外したくない場合に最適である。このオプションを有効にするにはSSO を使用してサインインするようユーザーに強制もオンにする必要がある。これは認証タブのSSO要件ページにある。
     
2. オプションを選択した後、保存をクリックする。

必要に応じて特定のユーザーをSSO例外リストに追加することで、SAML SSOを使用せずにサインインできるようにすることができる。

注： SAML SSO を強制する前に、ユーザーがアカウントからロックアウトされないように必要なユーザーを SSO 例外リストに追加する。