OpenID Connect (OIDC) を使用してシングルサインオンを設定する
最小限の設定作業で、このコネクターは OIDC ベースのアイデンティティプロバイダー (IdP) との統合を可能にします。
ヒント:
SSO についての詳細や Logto での SSO の設定方法については、エンタープライズシングルサインオン (SSO) (SAML & OIDC) ドキュメントを参照して始めてください。
ステップ 1: IdP で OIDC アプリケーションを作成する
IdP 側でアプリケーションを作成することから OIDC SSO 統合を開始します。Logto サーバーから次の設定を提供する必要があります。
- Callback URI: Logto Callback URI は、リダイレクト URI または Reply URL とも呼ばれ、IdP が認証に成功した後にユーザーのブラウザをリダイレクトする特定のエンドポイントまたは URL です。ユーザーが IdP での認証に成功すると、IdP はユーザーのブラウザをこの指定された URI にリダイレクトし、認可コードを付与します。Logto はこの URI から受け取った認可コードに基づいて認証プロセスを完了します。
Logto Callback URI を IdP の OIDC アプリケーション設定フォームに入力し、アプリケーションの作成を続行します。（ほとんどの OIDC IdP は、選択可能なさまざまなアプリケーションタイプを提供しています。Logto で Web ベースの SSO コネクターを作成するには、Web Application タイプを選択してください。）
ステップ 2: Logto で OIDC SSO を設定する
IdP 側で OIDC アプリケーションを正常に作成した後、IdP の設定を Logto に戻す必要があります。Connection タブに移動し、次の設定を入力します：
- Client ID: IdP によって OIDC アプリケーションに割り当てられた一意の識別子。この識別子は、OIDC フロー中に Logto がアプリケーションを識別し認証するために使用されます。
- Client Secret: Logto と IdP の間で共有される機密の秘密。この秘密は、OIDC アプリケーションを認証し、Logto と IdP 間の通信を保護するために使用されます。
- 発行者 (Issuer): IdP の場所を指定する一意の識別子である発行者 URL。OIDC 設定の重要な部分であり、Logto が必要なエンドポイントを発見するのに役立ちます。 設定プロセスを簡単にするために、Logto は必要な OIDC エンドポイントと設定を自動的に取得します。これは、提供された発行者を利用し、IdP の OIDC 発見エンドポイントに呼び出しを行うことで行われます。発行者エンドポイントが有効で正確に設定されていることを確認し、Logto が必要な情報を正しく取得できるようにすることが重要です。 取得リクエストが成功すると、発行者セクションの下に解析された IdP 設定が表示されるはずです。
- スコープ (Scope): OIDC 認証 (Authentication) プロセス中に Logto が要求する権限またはアクセスレベルを定義するスペースで区切られた文字列のリスト。スコープパラメーターを使用して、Logto が IdP から要求する情報とアクセスを指定できます。
スコープパラメーターはオプションです。カスタムスコープ設定に関係なく、Logto は常に
openid、profile、およびemailスコープを IdP に送信します。 これは、Logto が IdP からユーザーのアイデンティティ情報とメールアドレスを適切に取得できるようにするためです。IdP からより多くの情報を要求するために、スコープパラメーターに追加のスコープを追加することができます。
ステップ 3: メールドメインを設定し、SSO コネクターを有効にする
Logto のコネクター SSO 体験 タブに組織の メールドメイン を提供します。これにより、SSO コネクターがこれらのユーザーの認証 (Authentication) 方法として有効になります。
指定されたドメインのメールアドレスを持つユーザーは、唯一の認証 (Authentication) 方法として SSO コネクターを使用するようにリダイレクトされます。