OneLoginとSlackをSAML連携しSSOを実現する手順

1. 目的

この記事ではOneLoginからビジネスプラスプランのご契約中のSlackの管理コンソールにSAML2.0を利用してシングルサインオンするための連携設定手順、連携解除手順をご紹介します。

SlackにはSSO有効化の際、NameID（Slackの場合はメールアドレス）をもとにSlackのアカウントとOneLoginのアカウントを紐付ける バインド と呼ばれる機能があります。バインドされた状態でSAML認証が実行されると、Slackのアカウント情報がOneLoginのアカウント情報によって更新されますので、ご注意ください。

前提条件

OneLoginとSlackをSAML連携するための前提条件は以下のとおりです。

OneLoginのライセンスが SSO, Advanced, Professional Bundleであること
OneLoginにおける管理者権限をお持ちであること
Slackのライセンスがビジネスプラスプランであること
Slackの管理者権限またはオーナー権限をお持ちであること

2. 手順

OneLogin側のSAML連携の設定

OneLoginの管理画面からApplicationsを選択し右上の ［Add App］ を押してSlackと検索しSAML2.0コネクタを選択します
Display NameでOneLoginポータル画面での表示名を設定し、［Save］ をクリックします正常にアプリが追加されると設定画面が表示されます。
Configuration > Slack Team にSlackでご利用中のサブドメインを入力します Slackのライセンスが Enterprise Grid のお客様は、 <subdomain>.enterprise と入力します
Access > Roles でSlackを割り当てるロールを選択し、［Save］ をクリックします
SSOタブを開き、Issuer URLとSAML2.0 Endpoint(HTTP)の内容とX.509 Certificateの ［View Details］ をクリックし表示されるX.509 Certificateの内容をコピーします

以上でOneLogin側での設定は完了です。

Slack側のSAML連携の設定

Slackに管理者またはオーナーとしてサインインし、メニューから ［設定と管理］ > ［ワークスペースの設定］ をクリックし ［認証］ タブを選択し、SAML認証の ［設定する］ をクリックします
認証に関する設定を変更する操作のため、パスワードの入力が求められるのでSlackのパスワードを入力し、 ［パスワードの確定］ をクリックします
画面に表示されたSAML2.0エンドポイント(HTTP)、ID プロバイダ発行者、公開証明書の入力欄にOneLogin側のSAML連携の設定の手順5でコピーしたSAML2.0 Endpoint(HTTP)、Issuer URL、X.509 Certificateの内容を入力します
次に、詳細設定の ［開く］ をクリックし、サービスプロバイダ発行者にhttps://slack.com と入力し、IDPからのSAMLレスポンス ［署名付きレスポンスのみ］ にチェックを入れます
下図の設定項目は、各社の運用ポリシーに準じてご選択ください
カスタマイズ > サインインアイコンラベルを、必要に応じて OneLogin と変更し、 ［設定を保存する］ をクリックします
「新しい認証設定が確認され、有効化されました。」と表示されればSAML連携の設定は完了です

以上でOneLoginとSlackのSAML連携は完了です。

SAML連携の解除手順

Slackに管理者またはオーナーとしてサインインし、メニューから ［設定と管理］ > ［ワークスペースの設定］ をクリックし ［認証］ タブの中の ［SSOをOFFにする］ をクリックします
確認画面が表示されますので、 ［オフにする］ をクリックします

OneLoginのポータル画面を開き、Slack をクリックしてログインできないことを確認できたらSAML連携の解除が完了です。

⁠3. 結論

OneLoginからSlackへのシングルサインオン

OneLoginのポータル画面から、SlackのアイコンをクリックすることでSlackへログインすることができます。

JIT Provisioningを利用したユーザー連携について

Slackは、ユーザーがSAML認証する際にOneLoginから送られるユーザー情報を利用して、自動でSlackアカウントを作成・更新するジャストインタイム（JIT）プロビジョニングという機能に対応しています。

JIT Provisioning によるユーザ作成は OFF にできません。 Slackでは、管理者の意思に関わらず、ユーザがSAMLを利用してログインした際にIdP側が引き渡したUsernameとSlackの既存アカウントのUsernameとのマッチング処理が行われ、一致しない場合はSlack側に新規アカウントが自動作成されます。

ペンティオでは、OneLoginをご契約いただいた方に向けて独自のドキュメントを無料で提供しています。