チュートリアル: Microsoft Entra シングル サインオン (SSO) と Salesforce Sandbox の統合

  • [アーティクル]

このチュートリアルでは、Salesforce Sandbox と Microsoft Entra ID を統合する方法について説明します。 Salesforce Sandbox と Microsoft Entra ID を統合すると、次のことができます。

  • Salesforce Sandbox にアクセスできるユーザーを Microsoft Entra ID で制御する。
  • ユーザーが自分の Microsoft Entra アカウントを使用して Salesforce Sandbox に自動的にサインインできるようにする。
  • 1 つの場所でアカウントを管理します。

前提条件

開始するには、次が必要です。

  • Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウントを取得できます。
  • Salesforce Sandbox でのシングル サインオン (SSO) が有効なサブスクリプション

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra シングル サインオンを構成してテストします。

  • Salesforce Sandbox では、SP と IDP によって開始される SSO がサポートされます
  • Salesforce Sandbox では、Just-In-Time ユーザー プロビジョニングがサポートされます
  • Salesforce Sandbox では、自動化されたユーザー プロビジョニングがサポートされます

Microsoft Entra への Salesforce Sandbox の統合を構成するには、ギャラリーから管理対象 SaaS アプリの一覧に Salesforce Sandbox を追加する必要があります。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] に移動します。
  3. [ギャラリーから追加する] セクションで、検索ボックスに、「Salesforce Sandbox」と入力します。
  4. 結果のパネルから [Salesforce Sandbox] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、SSO の構成に加えて、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当てを行うことができます。 Microsoft 365 ウィザードの詳細をご覧ください。

Salesforce Sandbox 用に Microsoft Entra SSO を構成してテストする

B.Simon というテスト ユーザーを使用して、Salesforce Sandbox に対する Microsoft Entra SSO を構成してテストします。 SSO が機能するには、Microsoft Entra ユーザーと Salesforce Sandbox の関連ユーザーとの間にリンク関係を確立する必要があります。

Salesforce Sandbox に対して Microsoft Entra SSO を構成してテストするには、次の手順を実行します:

  1. Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。
    1. Microsoft Entra のテスト ユーザーの作成 - B.Simon を使用して Microsoft Entra シングル サインオンをテストします。
    2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
  2. Salesforce Sandbox の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
    1. Salesforce Sandbox テスト ユーザーの作成 - Salesforce Sandbox で B.Simon に対応するユーザーを作成し、Microsoft Entra の B.Simon にリンクさせます。
  3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

次の手順に従って Microsoft Entra SSO を有効にします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Salesforce Sandbox]>[シングル サインオン] を参照します。

  3. [シングル サインオン方式の選択] ページで、 [SAML] を選択します。

  4. [SAML によるシングル サインオンのセットアップ] ページで、 [基本的な SAML 構成] の鉛筆アイコンをクリックして設定を編集します。

    基本的な SAML 構成を編集する

  5. サービス プロバイダー メタデータ ファイルを保持しており、IDP によって開始されるモードに構成したい場合は、 [基本的な SAML 構成] セクション上で次の手順を実行します。

    a. [メタデータ ファイルをアップロードします] をクリックします。

    メタデータ ファイルをアップロードする

    b. フォルダー ロゴをクリックしてメタデータ ファイルを選択し、 [アップロード] をクリックします。

    メタデータ ファイルを選択する

    注意

    このチュートリアルの後述するように、Salesforce Sandbox 管理ポータルからサービス プロバイダーのメタデータ ファイルを取得します。

    c. メタデータ ファイルが正常にアップロードされると、 [応答 URL] の値が [応答 URL] ボックスに自動的に入力されます。

    image

    Note

    [応答 URL] の値が自動的に設定されない場合は、要件に従って値を手入力してください。

  6. [Set up Single Sign-On with SAML](SAML でシングル サインオンをセットアップします) ページの [SAML Signing Certificate](SAML 署名証明書) セクションで、 [ダウンロード] をクリックして要件のとおりに指定したオプションからメタデータ XMLをダウンロードして、お使いのコンピューターに保存します。

    証明書のダウンロードのリンク

  7. [Salesforce Sandbox のセットアップ] セクションで、要件に従って適切な URL をコピーします。

    構成 URL をコピーする

Microsoft Entra テスト ユーザーを作成する

このセクションでは、B.Simon というテスト ユーザーを作成します。

  1. Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
  2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
  3. 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
  4. [ユーザー] プロパティで、以下の手順を実行します。
    1. "表示名" フィールドに「B.Simon」と入力します。
    2. [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、「 B.Simon@contoso.com 」のように入力します。
    3. [パスワードを表示] チェック ボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
    4. [Review + create](レビュー + 作成) を選択します。
  5. [作成] を選択します。

Microsoft Entra テスト ユーザーを割り当てる

このセクションでは、Salesforce Sandbox へのアクセスを許可することで、B.Simon がシングル サインオンを使用できるようにします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[Salesforce Sandbox] を参照します。
  3. アプリの概要ページで、[ユーザーとグループ] を選択します。
  4. [ユーザーまたはグループの追加] を選択し、 [割り当ての追加] ダイアログで [ユーザーとグループ] を選択します。
    1. [ユーザーとグループ] ダイアログの [ユーザー] の一覧から [B.Simon] を選択し、画面の下部にある [選択] ボタンをクリックします。
    2. ユーザーにロールが割り当てられることが想定される場合は、 [ロールの選択] ドロップダウンからそれを選択できます。 このアプリに対してロールが設定されていない場合は、[既定のアクセス] ロールが選択されていることを確認します。
    3. [割り当ての追加] ダイアログで、 [割り当て] をクリックします。

Salesforce Sandbox の SSO の構成

  1. ブラウザーで新しいタブを開き、Salesforce Sandbox の管理者アカウントにサインインします。

  2. ページの右上隅の設定アイコンの下の [Setup](セットアップ) をクリックします。

    右上の

  3. 左側のナビゲーション ウィンドウの [設定] まで下にスクロールし、 [ID] をクリックして、関連セクションを展開します。 次に、 [シングル サインオンの設定] をクリックします。

    左側のペインの [Settings]\(設定\) メニューを示すスクリーンショット。[Identity]\(ID\) メニューの [Single Sign-On Settings]\(シングルサインオンの設定\) が選択されています。

  4. [シングル サインオンの設定] ページで、 [編集] ボタンをクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[Edit]\(編集\) ボタンが選択されています。

  5. [SAML 有効] を選択し、 [保存] をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[S A M L Enabled]\(S A M L 有効\) チェック ボックスがオンになっていて、[Save]\(保存\) ボタンが選択されています。

  6. SAML のシングル サインオン設定を構成するには、 [New from Metadata File]\(メタデータ ファイルから新規) をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[New from Metadata File]\(メタデータ ファイルから新規) ボタンが選択されています。

  7. [ファイルの選択] をクリックして、ダウンロードしたメタデータ XML ファイルをアップロードし、[作成] をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[Choose File]\(ファイルの選択\) および [Create]\(作成\) ボタンが選択されています。

  8. [SAML シングル サインオンの設定] ページでは、フィールドは自動的に入力されます。[保存] をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。フィールドは入力済みで、[Save]\(保存\) ボタンが選択されています。

  9. [シングル サインオンの設定] ページで [メタデータのダウンロード] ボタンをクリックし、サービス プロバイダーのメタデータ ファイルをダウンロードします。 前述の必要な URL を構成するために、Azure portal の [基本的な SAML 構成] セクションでこのファイルを使用します。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[Download Metadata]\(メタデータのダウンロード\) ボタンが選択されています。

  10. SP 開始モードでアプリケーションを構成する場合、その前提条件を以下に示します。

    a. 確認済みドメインを持っている必要があります。

    b. Salesforce Sandbox でドメインを構成して有効にする必要があります。手順については、このチュートリアルで後述します。

    c. Azure portal の [基本的な SAML 構成] セクションで [追加の URL を設定します] をクリックして、次の手順を実行します。

    Salesforce Sandbox Domain のドメインと URL のシングル サインオン情報

    [サインオン URL] ボックスに、https://<instancename>--Sandbox.<entityid>.my.salesforce.com のパターンを使用して値を入力します。

    注意

    この値は、ドメインを有効にした後で Salesforce Sandbox ポータルからコピーする必要があります。

  11. [SAML 署名証明書] セクションで [フェデレーション メタデータ XML] をクリックし、コンピューターに XML ファイルを保存します。

    証明書のダウンロードのリンク

  12. ブラウザーで新しいタブを開き、Salesforce Sandbox の管理者アカウントにサインインします。

  13. ページの右上隅の設定アイコンの下の [Setup](セットアップ) をクリックします。

    右上の

  14. 左側のナビゲーション ウィンドウの [設定] まで下にスクロールし、 [ID] をクリックして、関連セクションを展開します。 次に、 [シングル サインオンの設定] をクリックします。

    左側のナビゲーション ウィンドウの [Settings]\(設定\) メニューを示すスクリーンショット。[Identity]\(ID\) メニューの [Single Sign-On Settings]\(シングルサインオンの設定\) が選択されています。

  15. [シングル サインオンの設定] ページで、 [編集] ボタンをクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[Edit]\(編集\) ボタンが選択されています。

  16. [SAML 有効] を選択し、 [保存] をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[S A M L Enabled]\(S A M L 有効\) チェック ボックスがオンになっていて、[Save]\(保存\) ボタンが選択されています。

  17. SAML のシングル サインオン設定を構成するには、 [New from Metadata File]\(メタデータ ファイルから新規) をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[New from Metadata File]\(メタデータ ファイルから新規) ボタンが選択されています。

  18. [ファイルの選択] をクリックし、メタデータ XML ファイルをアップロードして [作成] をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。[Choose File]\(ファイルの選択\) ボタンと [Create]\(作成\) ボタンが選択されています。

  19. [SAML Single Sign-On Settings](SAML のシングル サインオン設定) ページのフィールドには自動的に値が入力されています。 [名前] ボックスに構成の名前 (例: SPSSOWAAD_Test) を入力し、[保存] をクリックします。

    [Single Sign-On Settings]\(シングルサインオンの設定\) ページを示すスクリーンショット。フィールドは入力済みで、[Name]\(名前\) テキストボックスには名前の例が入力され、[Save]\(保存\) ボタンが選択されています。

  20. Salesforce Sandbox でドメインを有効にするには、次の手順を実行します。

    注意

    ドメインを有効にする前に、Salesforce Sandbox 上に同じドメインを作成する必要があります。 詳細については、「ドメイン名の定義」をご覧ください。 ドメインを作成したら、ドメインが正しく構成されていることを確認してください。

  21. Salesforce Sandbox の左側のナビゲーション ウィンドウで、 [Company Settings](会社の設定) をクリックして関連するセクションを展開し、 [My Domain](マイ ドメイン) をクリックします。

    左側のナビゲーション ウィンドウを示すスクリーンショット。[Company Settings]\(会社の設定\) と [My Domain]\(マイ ドメイン\) が選択されています。

  22. [Authentication Configuration](認証の構成) セクションで、 [Edit](編集) をクリックします。

    [Authentication]\(認証\) セクションを示すスクリーンショット。[Edit]\(編集\) ボタンが選択されています。

  23. [Authentication Configuration](認証の構成) セクションで、 [Authentication Service](認証サービス) として、Salesforce Sandbox の SSO 構成時に設定した [SAML Single Sign-On Setting](SAML シングル サインオン設定) の名前を選択し、 [Save](保存) をクリックします。

    Configure single sign-on

Salesforce Sandbox テスト ユーザーの作成

このセクションでは、Britta Simon というユーザーを Salesforce Sandbox に作成します。 Salesforce Sandbox では、Just-In-Time プロビジョニングがサポートされています。この設定は既定で有効になっています。 このセクションでは、ユーザー側で必要な操作はありません。 ユーザーがまだ Salesforce Sandbox に存在しない場合は、Salesforce Sandbox にアクセスしようとしたときに新しいユーザーが作成されます。 Salesforce Sandbox は、自動ユーザー プロビジョニングもサポートしています。自動ユーザー プロビジョニングの構成方法の詳細については、こちらを参照してください。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

SP Initiated:

  • [このアプリケーションをテストする] をクリックすると、ログイン フローを開始できる Salesforce Sandbox のサインオン URL にリダイレクトされます。

  • Salesforce Sandbox のサインオン URL に直接移動し、そこからログイン フローを開始します。

IDP Initiated:

  • [このアプリケーションをテストする] をクリックすると、SSO を設定した Salesforce Sandbox に自動的にサインインされます

また、Microsoft マイ アプリを使用して、任意のモードでアプリケーションをテストすることもできます。 マイ アプリで [Salesforce Sandbox] タイルをクリックすると、SP モードで構成されている場合は、ログイン フローを開始するためのアプリケーション サインオン ページにリダイレクトされます。IDP モードで構成されている場合は、SSO を設定した Salesforce Sandbox に自動的にサインインされます。 マイ アプリの詳細については、マイ アプリの概要に関するページを参照してください。

次のステップ

Salesforce Sandbox を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用することができます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を強制する方法をご覧ください。