チュートリアル: Microsoft Entra シングル サインオン (SSO) と SAP Business ByDesign との統合

  • [アーティクル]

このチュートリアルでは、SAP Business ByDesign と Microsoft Entra ID を統合する方法について説明します。 SAP Business ByDesign を Microsoft Entra ID を統合すると、次のことができます。

  • SAP Business ByDesign にアクセスできるユーザーを Microsoft Entra ID で制御する。
  • ユーザーが自分の Microsoft Entra アカウントを使って SAP Business ByDesign に自動的にサインインできるようにする。
  • 1 つの場所でアカウントを管理します。

前提条件

開始するには、次が必要です。

  • Microsoft Entra サブスクリプション。 サブスクリプションがない場合は、無料アカウントを取得できます。
  • シングル サインオン (SSO) が有効な SAP Business ByDesign サブスクリプション。

シナリオの説明

このチュートリアルでは、テスト環境で Microsoft Entra の SSO を構成してテストします。

  • SAP Business ByDesign では、SP によって開始される SSO がサポートされます

Microsoft Entra ID への SAP Business ByDesign の統合を構成するには、ギャラリーから管理対象 SaaS アプリの一覧に SAP Business ByDesign を追加する必要があります。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。
  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[新しいアプリケーション] に移動します。
  3. [ギャラリーから追加する] セクションで、検索ボックスに「SAP Business ByDesign」と入力します。
  4. 結果パネルから [SAP Business ByDesign] を選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、Enterprise App Configuration ウィザードを使用することもできます。 このウィザードでは、テナントへのアプリケーションの追加、アプリへのユーザーとグループの追加、ロールの割り当て、および SSO 構成の設定が可能です。 Microsoft 365 ウィザードの詳細をご覧ください。

Microsoft Entra SSO の構成とテスト

B.Simon というテスト ユーザーを使って、SAP Business ByDesign に対する Microsoft Entra SSO を構成してテストします。 SSO が機能するには、Microsoft Entra ユーザーと SAP Business ByDesign の関連ユーザーとの間にリンク関係を確立する必要があります。

SAP Business ByDesign に対する Microsoft Entra SSO を構成してテストするには、次の手順を行います。

  1. Microsoft Entra SSO を構成する - ユーザーがこの機能を使用できるようにします。
    1. Microsoft Entra のテスト ユーザーの作成 - B.Simon を使用して Microsoft Entra シングル サインオンをテストします。
    2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
  2. SAP Business ByDesign の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
    1. SAP Business ByDesign テスト ユーザーを作成する - SAP Business ByDesign で Britta Simon に対応するユーザーを作成し、Microsoft Entra のこのユーザーにリンクさせます。
  3. SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

次の手順に従って Microsoft Entra SSO を有効にします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[SAP Business ByDesign]>[シングル サインオン] の順に移動します。

  3. [シングル サインオン方式の選択] ページで、 [SAML] を選択します。

  4. [SAML によるシングル サインオンのセットアップ] ページで、 [基本的な SAML 構成] の鉛筆アイコンをクリックして設定を編集します。

    基本的な SAML 構成を編集する

  5. [基本的な SAML 構成] セクションで、次の手順を実行します。

    a. [サインオン URL] ボックスに、次のパターンを使用して URL を入力します。https://<servername>.sapbydesign.com

    b. [識別子 (エンティティ ID)] ボックスに、次のパターンを使用して URL を入力します。https://<servername>.sapbydesign.com

    注意

    これらは実際の値ではありません。 実際のサインオン URL と識別子でこれらの値を更新します。 これらの値を取得するには、SAP Business ByDesign クライアント サポート チームに連絡してください。 [基本的な SAML 構成] セクションに示されているパターンを参照することもできます。

  6. SAP Business ByDesign アプリケーションは、特定の形式で構成された SAML アサーションを受け入れます。 このアプリケーションには、次の要求を構成します。 これらの属性の値は、アプリケーション統合ページの [ユーザー属性] セクションで管理できます。 [SAML でシングル サインオンをセットアップします] ページで、 [編集] ボタンをクリックして [ユーザー属性] ダイアログを開きます。

    image1

  7. [編集] アイコンをクリックして、 [名前識別子の値] を編集します。

    Image2

  8. [ユーザー要求の管理] セクションで、以下の手順を実行します。

    image3

    a. [ソース] として [変換] を選択します。

    b. [変換] ドロップダウン リストで、 [ExtractMailPrefix()] を選択します。

    Note

    既定では、SAP Business ByDesign はユーザー マッピングに指定されていない NameID の形式を使用します。 このアプリケーションは、SAML アサーションの NameID を、SAP Business ByDesign ユーザーの別名にマップします。 さらに、このアプリケーションは、名前 ID の形式 emailAddress をサポートしています。 この場合、アプリケーションは、SAML アサーションの NameID を、SAP Business ByDesign 従業員の連絡先データの SAP Business ByDesign ユーザー メール アドレスにマップします。 詳細については、SAP Business ByDesign でのシングル サインオン (SSO) に関するページを参照してください。

  9. [SAML でシングル サインオンをセットアップします] ページの [SAML 署名証明書] セクションで、 [ダウンロード] をクリックして、要件のとおりに指定したオプションからフェデレーション メタデータ XML をダウンロードして、お使いのコンピューターに保存します。

    証明書のダウンロードのリンク

  10. [SAP Business ByDesign のセットアップ] セクションで、アプリケーションに必要な適切な URL をコピーします。

    構成 URL をコピーする

Microsoft Entra テスト ユーザーを作成する

このセクションでは、B.Simon というテスト ユーザーを作成します。

  1. Microsoft Entra 管理センターにユーザー管理者以上でサインインしてください。
  2. [ID]>[ユーザー]>[すべてのユーザー] の順に移動します。
  3. 画面の上部で [新しいユーザー]>[新しいユーザーの作成] を選択します。
  4. [ユーザー] プロパティで、以下の手順を実行します。
    1. "表示名" フィールドに「B.Simon」と入力します。
    2. [ユーザー プリンシパル名] フィールドに「username@companydomain.extension」と入力します。 たとえば、「 B.Simon@contoso.com 」のように入力します。
    3. [パスワードを表示] チェック ボックスをオンにし、 [パスワード] ボックスに表示された値を書き留めます。
    4. [Review + create](レビュー + 作成) を選択します。
  5. [作成] を選択します。

Microsoft Entra テスト ユーザーを割り当てる

このセクションでは、B.Simon に SAP Business ByDesign へのアクセスを許可することで、このユーザーがシングル サインオンを使用できるようにします。

  1. クラウド アプリケーション管理者以上として Microsoft Entra 管理センターにサインインします。

  2. [ID]>[アプリケーション]>[エンタープライズ アプリケーション]>[SAP Business ByDesign] の順に移動します。

  3. アプリの概要ページで、 [管理] セクションを見つけて、 [ユーザーとグループ] を選択します。

  4. [ユーザーの追加] を選択し、 [割り当ての追加] ダイアログで [ユーザーとグループ] を選択します。

  5. [ユーザーとグループ] ダイアログの [ユーザー] の一覧から [B.Simon] を選択し、画面の下部にある [選択] ボタンをクリックします。

  6. ユーザーに割り当てるさまざまなロールがアプリでサポートされている場合は、[ロールの選択] ドロップダウンからロールを選択できます。 このアプリに対して使用できるロールがない場合は、[既定のアクセス] ロールが選択されていることを確認します。

  7. [割り当ての追加] ダイアログで、 [割り当て] をクリックします。

SAP Business ByDesign の SSO の構成

  1. SAP Business ByDesign ポータルに管理者権限でサインオンします。

  2. [Application and User Management Common Task (アプリケーションとユーザー管理の共通タスク)] に移動し、 [ID プロバイダー] タブをクリックします。

  3. [新しい ID プロバイダー] をクリックし、ダウンロードしたメタデータの XML ファイルを選択します。 メタデータをインポートした後、必要な署名証明書と暗号化証明書が、アプリケーションによって自動的にアップロードされます。

    シングル サインオンの構成 1

  4. Assertion Consumer Service URL を SAML 要求に追加するには、 [Include Assertion Consumer Service URL (Assertion Consumer Service URL を含める)] を選択します。

  5. [Activate Single Sign-On (シングル サインオンを有効にする)] をクリックします。

  6. 変更を保存します。

  7. [My System (自分のシステム)] タブをクリックします。

    シングル サインオンの構成 2

  8. [Microsoft Entra ID サインオン URL] テキストボックスに、先ほどコピーしたログイン URL の値を貼り付けます。

    シングル サインオンの構成 3

  9. ユーザー ID とパスワードでログオンするか、SSO でログオンするかを従業員が手動で選択できるかどうかを、 [Manual Identity Provider Selection (ID プロバイダーの手動選択)] を選択して指定します。

  10. [SSO URL] セクションには、従業員がアプリケーションへのサインオンに使用する URL を指定します。 [URL Sent to Employee (従業員に送信する URL)] ボックスの一覧で、次のオプションを選択できます。

    [Non-SSO URL (非 SSO URL)]

    従業員に送信されるのは、システムの通常の URL のみです。 従業員のサインオンに SSO は使用できず、パスワードまたは証明書を使用する必要があります。

    [SSO URL (SSO の URL)]

    従業員に送信されるのは、SSO の URL のみです。 従業員は SSO を使用してサインオンすることができます。 認証要求は IdP を介してリダイレクトされます。

    [Automatic Selection (自動選択)]

    SSO が有効ではない場合、システムの通常の URL が従業員に送信されます。 SSO が有効である場合は、従業員がパスワードを持っているかどうかがシステムによってチェックされます。 パスワードを持っていた場合は、SSO の URL と非 SSO の URL の両方が従業員に送信されます。 一方、従業員がパスワードを持っていない場合は、SSO の URL だけが従業員に送信されます。

  11. 変更を保存します。

SAP Business ByDesign テスト ユーザーの作成

このセクションでは、SAP Business ByDesign で Britta Simon というユーザーを作成します。 SAP Business ByDesign プラットフォームにユーザーを追加する方法についてご不明な点がある場合は、SAP Business ByDesign クライアント サポート チームにお問い合わせください。

注意

NameID 値は必ず、SAP Business ByDesign プラットフォームのユーザー名フィールドと一致させてください。

SSO のテスト

このセクションでは、次のオプションを使用して Microsoft Entra のシングル サインオン構成をテストします。

  1. [このアプリケーションをテストします] をクリックします。これにより、Web ブラウザーが SAP Business ByDesign のサインオン URL にリダイレクトされます。ここでログイン フローを開始することができます。

  2. SAP Business ByDesign のサインオン URL に直接移動し、そこからログイン フローを開始します。

  3. Microsoft マイ アプリを使用することができます。 マイ アプリで [SAP Business ByDesign] タイルをクリックすると、Web ブラウザーが SAP Business ByDesign のサインオン URL にリダイレクトされます。 マイ アプリの詳細については、「マイ アプリの概要」を参照してください。

次のステップ