SAML SSO セットアップ

このページはAIにより自動翻訳されており、不正確な内容が含まれている可能性があります。翻訳の誤りを報告するには、ページ右側の目次の下にあるフィードバックをご利用ください。

この記事では、BrazeアカウントでSAMLシングルサインオンを有効にする方法と、SAMLトレースを取得する方法について説明します。

要件

セットアップ時に、サインオン URL と Assertion Consumer Service（ACS）URL の入力を求められます。

要件	詳細
Assertion Consumer Service（ACS）URL	`https://<SUBDOMAIN>.braze.com/auth/saml/callback` 欧州連合ドメインの場合、ACS URL は `https://<SUBDOMAIN>.braze.eu/auth/saml/callback` です。一部の IdP では、Reply URL、Sign-On URL、Audience URL、または Audience URI と呼ばれることもあります。
Entity ID	デフォルトでは `braze_dashboard` です。IdP が会社固有の Entity ID を必要とする場合は、セキュリティ設定でカスタム Entity ID を有効にし、`braze_dashboard_<companyID>` を使用します。
RelayState API キー	設定 > セットアップとテスト > API と識別子に移動し、API キータブを開いて、`sso.saml.login` 権限を持つ API キーを作成します。生成された API キーを IdP 内で `RelayState` パラメーターとして入力します。詳細な手順については、RelayState の設定を参照してください。

SAML SSOの設定

ステップ1：IDプロバイダーの設定

以下の情報を使用して、IDプロバイダー（IdP）でBrazeをサービスプロバイダー（SP）として設定します。また、SAML属性マッピングも設定してください。

重要

IDプロバイダーとしてOktaを使用する予定がある場合は、Oktaサイトにある事前構築済みのインテグレーションを使用してください。

SAML属性	必須？	対応するSAML属性
`email`	必須	`email` `mail` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/email`
`first_name`	任意	`first_name` `firstname` `firstName` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/first_name`
`last_name`	任意	`last_name` `lastname` `lastName` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/last_name`

注

BrazeのSAMLアサーションではemailのみが必須です。

ステップ2：Brazeの設定

IDプロバイダーでBrazeの設定を完了すると、IDプロバイダーからターゲットURLとx.509証明書が提供されます。これらをBrazeアカウントに入力します。

アカウントマネージャーがアカウントのSAML SSOを有効にしたら、設定 > 会社の設定 > 管理者設定 > セキュリティ設定に移動し、SAML SSOセクションをオンに切り替えます。

同じページで以下の情報を入力します：

要件	詳細
SAML名	ログイン画面のボタンテキストとして表示されます。通常、「Okta」のようにIDプロバイダーの名前を入力します。
ターゲットURL	IdP内でBrazeを設定した後に提供されます。一部のIdPでは、これをSSO URLまたはSAML 2.0エンドポイントと呼びます。
証明書	IDプロバイダーから提供される`x.509`証明書です。

カスタムエンティティID

デフォルトでは、BrazeはエンティティID（一部のIdPではAudienceまたはAudience URIとも呼ばれます）としてbraze_dashboardを使用します。IdPで会社固有のエンティティIDが必要な場合は、以下の手順に従ってください：

セキュリティ設定で、カスタムエンティティIDをオンにします。
生成されたエンティティID（braze_dashboard_<companyID>）をコピーします。
その値をIdPのエンティティID、Audience、またはAudience URIフィールドに貼り付けます。
サインインをテストする前に、BrazeとIdPの両方で変更を保存します。

重要

エンティティIDがBrazeとIdPの両方で一致するまで、ユーザーはサインインできません。カスタムエンティティIDを使用するには、IDプロバイダーで追加の設定が必要です。

x.509証明書をダッシュボードに追加する際は、以下の形式に従ってください：

-----BEGIN CERTIFICATE-----
<certificate>
-----END CERTIFICATE-----

トグルが選択された状態のSAML SSO設定。

ステップ3：Brazeにサインイン

セキュリティ設定を保存してログアウトします。その後、IDプロバイダーを使用して再度サインインします。

カスタムエンティティIDの使用

デフォルトでは、すべてのBrazeダッシュボードは共有エンティティID braze_dashboard を使用します。カスタムエンティティIDを使用すると、ダッシュボードに一意の識別子が付与されるため、IDプロバイダーがサインインリクエストがこの特定のダッシュボード向けであることを検証できます。これは、同一のIDプロバイダーで複数のBraze企業にわたってSAML SSOを設定する場合に便利です。

カスタムエンティティIDの使用は任意です。有効にしない場合、ダッシュボードは引き続き braze_dashboard を使用します。

警告

事前構築済みのBraze Oktaマーケットプレイスアプリは共有エンティティID braze_dashboard を強制しており、カスタムエンティティIDとは互換性がありません。Braze OktaマーケットプレイスアプリでSAML SSOをすでに設定している場合、カスタムSAMLアプリを使ってOktaのエンティティIDフィールドを更新せずにカスタムエンティティIDを有効にすると、サインインが中断し、ユーザーがダッシュボードからロックアウトされる可能性があります。OktaでカスタムエンティティIDを使用するには、代わりにカスタムSAMLアプリを設定してください。

ステップ1：カスタムエンティティIDを有効にする

設定 > 管理者設定 > セキュリティ設定に移動し、SAMLシングルサインオンセクションを開きます。カスタムエンティティIDトグルをオンにします。Brazeは braze_dashboard_<COMPANY_ID> の形式でダッシュボードの一意のエンティティIDを生成します。カスタムエンティティIDオプションが表示されない場合は、Brazeアカウントマネージャーにお問い合わせください。

ステップ2：IDプロバイダーを更新する

生成されたエンティティIDをコピーし、IDプロバイダーのBrazeアプリケーションのエンティティIDフィールドに貼り付けます。プロバイダーによっては、このフィールドはEntity ID、Audience、またはAudience URIと表示される場合があります。

重要

エンティティIDはBrazeとIDプロバイダーの両方で一致している必要があります。両方が同じ値を使用するまで、ユーザーはSAML SSOでサインインできません。ユーザーがロックアウトされないよう、このページを保存する前にIDプロバイダーを更新してください。

ステップ3：保存してテストする

セキュリティ設定を保存し、ログアウトしてから、IDプロバイダーを通じて再度サインインして、カスタムエンティティIDでサインインが機能することを確認します。

RelayStateの設定

Brazeで、設定 > セットアップとテスト > APIと識別子に移動します。
APIキータブで、APIキーを作成ボタンを選択します。
APIキー名フィールドに、キーの名前を入力します。
権限の下にあるSSOドロップダウンを展開し、sso.saml.loginにチェックを入れます。
APIキーを作成を選択します。
APIキータブで、作成したAPIキーの横にある識別子をコピーします。
RelayState APIキーをIdPのRelayStateに貼り付けます（IdPによっては「Relay State」または「Default Relay State」と表示される場合があります）。

一部の ID プロバイダーは IdP 主導のログインをサポートしており、ユーザーは Braze のログインページではなく IdP ポータルからログインを開始できます。IdP 主導のログインには、有効な RelayState API キーと正しい ACS URL の設定が必要です。プロバイダー別の設定ガイド:

注

Microsoft Entra SSO の IdP 主導のログインでは、Sign-On URL フィールドを空白のままにする必要があります。詳細については、Microsoft Entra SSO を参照してください。

SSOの動作

SSOの使用を選択したメンバーは、パスワードを使用できなくなります。パスワードを引き続き使用するユーザーは、以下の設定で制限されない限り、そのまま使用できます。

制限

組織のメンバーが Google SSO または SAML SSO のいずれかのみでサインインするように制限できます。制限を有効にするには、設定 > 会社の設定 > 管理者設定 > セキュリティ設定に移動し、Google SSO のみのログインを強制するまたはカスタム SAML SSO のみのログインを強制するを選択します。

「認証ルール」セクションの設定例。最小パスワード長は8文字、パスワードの再利用は3回までに設定されています。パスワードは180日後に期限切れとなり、ユーザーは1,440分間操作がない場合にログアウトされます。

制限を有効にすると、組織の Braze ユーザーは、以前にパスワードでログインしたことがあっても、パスワードを使用してログインできなくなります。

重要

SSO が強制された後、SSO 認証に失敗した場合のフォールバックオプションはありません。SSO の強制を有効にする前に、SSO の構成が正しいこと、すべての証明書が最新で更新されていること、およびセキュリティ設定が適切に管理されていることを確認して、ログインの問題を防止してください。

SAMLトレースの取得

SSOに関連するログインの問題が発生した場合、SAMLトレースを取得すると、SAMLリクエストで送信される内容を確認することで、SSO接続のトラブルシューティングに役立ちます。

前提条件

SAMLトレースを実行するには、SAMLトレーサーが必要です。お使いのブラウザに応じて、次の2つのオプションがあります。

ステップ1:SAMLトレーサーを開く

ブラウザのナビゲーションバーからSAMLトレーサーを選択します。Pauseが選択されていないことを確認してください。選択されていると、SAMLトレーサーがSAMLリクエストで送信される内容をキャプチャできなくなります。SAMLトレーサーを開くと、トレースが表示されます。

Google Chrome用のSAMLトレーサー。

ステップ2:SSOを使用してBrazeにサインインする

Brazeダッシュボードにアクセスし、SSOを使用してサインインを試みます。エラーが発生した場合は、SAMLトレーサーを開いて再度お試しください。https://dashboard-XX.braze.com/auth/saml/callbackのようなURLとオレンジ色のSAMLタグが表示された行がある場合、SAMLトレースが正常に取得されています。

ステップ3:エクスポートしてBrazeに送信する

Exportを選択します。Select cookie-filter profileでNoneを選択します。次にExportを選択します。これにより、トラブルシューティングのためにBrazeサポートに送信できるJSONファイルが生成されます。

「Export SAML-trace preferences」メニューで「None」オプションが選択されている状態。

トラブルシューティング

ユーザーのメールアドレスは正しく設定されていますか？

ERROR_CODE_SSO_INVALID_EMAIL というエラーが発生している場合、ユーザーのメールアドレスが無効です。SAMLトレースで saml2:Attribute Name="email" フィールドが、ユーザーがログインに使用しているメールアドレスと一致しているか確認してください。Microsoft Entra ID（旧 Azure Active Directory）を使用している場合、属性マッピングは email = user.userprincipalname です。

メールアドレスは大文字と小文字が区別され、IDプロバイダー（Okta、OneLogin、Microsoft Entra IDなど）で設定されたものを含め、Brazeで設定されたものと完全に一致する必要があります。

ユーザーのメールアドレスに問題があることを示すその他のエラーには、次のものがあります：

ERROR_CODE_SSO_EMAIL_DOES_NOT_EXIST：ユーザーのメールアドレスがダッシュボード内に存在しません。
ERROR_CODE_SSO_SESSION_SIGN_IN_EMAIL_MISSING：ユーザーのメールアドレスが空白であるか、その他の設定ミスがあります。
ERROR_CODE_SSO_SESSION_SIGN_IN_EMAIL_MISMATCH または ERROR_CODE_SSO_SIGN_IN_EMAIL_MISMATCH：ユーザーのメールアドレスがSSOの設定に使用されたものと一致しません。

有効なSAML証明書（x.509証明書）をお持ちですか？

このSAML検証ツールを使用してSAML証明書を検証できます。期限切れのSAML証明書も無効なSAML証明書であることにご注意ください。

正しいSAML証明書（x.509証明書）をアップロードしましたか？

SAMLトレースの ds:X509Certificate セクションの証明書が、Brazeにアップロードしたものと一致していることを確認してください。これには -----BEGIN CERTIFICATE----- ヘッダーと -----END CERTIFICATE----- フッターは含まれません。

SAML証明書（x.509証明書）に誤字やフォーマットの不備はありませんか？

Brazeダッシュボードに送信した証明書に、空白や余分な文字がないことを確認してください。

Brazeに証明書を入力する際は、Privacy Enhanced Mail（PEM）エンコードで正しくフォーマットされている必要があります（-----BEGIN CERTIFICATE----- ヘッダーと -----END CERTIFICATE----- フッターを含む）。

正しくフォーマットされた証明書の例を次に示します：

ユーザーのセッショントークンは有効ですか？

影響を受けたユーザーにブラウザのキャッシュとCookieをクリアしてもらい、SAML SSOで再度ログインを試してもらってください。

RelayStateは設定していますか？

ERROR_CODE_SSO_INVALID_RELAY_STATE というエラーが発生している場合、RelayStateの設定が正しくないか、存在していない可能性があります。まだ設定していない場合は、IdP管理システムでRelayStateを設定する必要があります。手順については、RelayStateの設定を参照してください。

RelayStateが正しく設定されていない場合に、この問題が発生することがあります。IdPログイン用のAPIキーを（設定 > セットアップとテスト > APIと識別子で）作成し、そのAPIキーをIdPの RelayState パラメーターとして設定したことを確認してください。RelayStateは、サインインする企業アカウントを識別するものです。詳しい手順については、RelayStateの設定を参照してください。

それでもサインインできない場合は、可能であればSAMLトレースを添えてBrazeサポートに連絡してください。トレースの取得方法については、SAMLトレースの取得を参照してください。

ユーザーがOkta SSOとBrazeダッシュボードの間を循環してサインインできない場合は、Oktaに移動してSSOのURL宛先をBrazeインスタンス（例：https://dashboard-07.braze.com）に設定する必要があります。

他のIdPを使用している場合は、正しいSAMLまたはx.509証明書がBrazeにアップロードされているか確認してください。

手動インテグレーションを使用していますか？

IdPのアプリストアからBrazeアプリをダウンロードしていない場合は、事前構築されたインテグレーションをダウンロードする必要があります。たとえば、OktaがIdPの場合は、OktaのインテグレーションページからBrazeアプリをダウンロードします。

Google SSO

会社がカスタムSAMLの代わりにGoogle SSOを使用している場合は、BrazeアカウントマネージャーにワークスペースのGoogle SSOの有効化を依頼してください。有効化された後、設定 > 会社設定 > 管理者設定 > セキュリティ設定に移動し、Enforce Google SSO only loginを選択して、すべての会社ユーザーにGoogle認証を要求します。

Google SSOの強制が有効になると、ユーザーはGoogle認証でサインインする必要があり、Brazeパスワードは使用できなくなります。各ユーザーは、Brazeダッシュボードのメールアドレスと一致するGoogleアカウントでサインインする必要があります。サインイン時に別のGoogleアカウントを選択した場合、Brazeは認証の試行を拒否します。

一部のユーザーがGoogle SSOでサインインできない場合は、以下を確認してください:

ユーザーのGoogleアカウントのメールアドレスがBrazeダッシュボードのメールアドレスと完全に一致していること。
ユーザーが会社のメールアドレスに対応するGoogleアカウントにアクセスできること。
ユーザーがBrazeで停止されていないこと（設定 > 会社ユーザー）。

次のステップ

SAML SSOを設定した後、以下のことができます。

セキュリティ設定でSSOのみのログインを強制し、ユーザーがパスワードでログインすることを制限します。
SAMLジャストインタイムプロビジョニングを設定し、新しいユーザーが初回のSSOサインイン時にBrazeアカウントを自動的に作成できるようにします。

New Stuff!

サービスプロバイダー (SP) 主導のログイン

要件