OpenID Connect (OIDC) を使用してシングルサインオンを設定する
最小限の設定作業で、このコネクターは OIDC ベースのアイデンティティプロバイダー (IdP) との統合を可能にします。
ヒント:
SSO についての詳細や Logto での SSO の設定方法については、エンタープライズシングルサインオン (SSO) (SAML & OIDC) ドキュメントを参照して始めてください。
ステップ 1: IdP に OIDC アプリケーションを作成する
OIDC SSO 統合を開始するには、IdP 側でアプリケーションを作成します。Logto サーバーから次の設定を提供する必要があります。
- コールバック URI: Logto コールバック URI は、リダイレクト URI または返信 URL とも呼ばれ、IdP が認証に成功した後にユーザーのブラウザをリダイレクトする特定のエンドポイントまたは URL です。ユーザーが IdP での認証に成功すると、IdP はユーザーのブラウザをこの指定された URI に認可コードと共にリダイレクトします。Logto は、この URI から受け取った認可コードに基づいて認証プロセスを完了します。
IdP の OIDC アプリケーション設定フォームに Logto コールバック URI を入力し、アプリケーションの作成を続行します。（ほとんどの OIDC IdP は、選択可能なさまざまなアプリケーションタイプを提供しています。Logto で Web ベースの SSO コネクターを作成するには、Web Application タイプを選択してください。）
ステップ 2: Logto で OIDC SSO を設定する
IdP 側で OIDC アプリケーションを正常に作成した後、IdP の設定を Logto に戻す必要があります。Connection タブに移動し、次の設定を入力してください：
- Client ID: IdP によってあなたの OIDC アプリケーションに割り当てられた一意の識別子。この識別子は、OIDC フロー中に Logto がアプリケーションを識別し認証するために使用されます。
- Client Secret: Logto と IdP の間で共有される機密の秘密。この秘密は、OIDC アプリケーションを認証し、Logto と IdP 間の通信を保護するために使用されます。
- 発行者 (Issuer): IdP の一意の識別子である発行者 URL。OIDC アイデンティティプロバイダーの場所を指定します。これは OIDC 設定の重要な部分であり、Logto が必要なエンドポイントを発見するのに役立ちます。 設定プロセスを簡単にするために、Logto は必要な OIDC エンドポイントと設定を自動的に取得します。これは、提供された発行者を利用し、IdP の OIDC 発見エンドポイントに呼び出しを行うことで行われます。発行者エンドポイントが有効で正確に設定されていることを確認し、Logto が必要な情報を正しく取得できるようにすることが重要です。 取得リクエストが成功した後、発行者セクションの下に解析された IdP 設定が表示されるはずです。
- スコープ (Scope): OIDC 認証プロセス中に Logto が要求する権限またはアクセスレベルを定義するスペースで区切られた文字列のリスト。スコープパラメーターを使用して、Logto が IdP から要求する情報とアクセスを指定できます。
スコープパラメーターはオプションです。カスタムスコープ設定に関係なく、Logto は常に
openid、profile、およびemailスコープを IdP に送信します。 これは、Logto が IdP からユーザーのアイデンティティ情報とメールアドレスを適切に取得できるようにするためです。IdP からより多くの情報を要求するために、スコープパラメーターに追加のスコープを追加することができます。
ステップ 3: メールドメインを設定し、SSO コネクターを有効にする
Logto のコネクターの SSO 体験 タブで、組織の メールドメイン を提供してください。これにより、これらのユーザーに対する認証 (Authentication) 方法として SSO コネクターが有効になります。
指定されたドメインのメールアドレスを持つユーザーは、唯一の認証 (Authentication) 方法としてあなたの SSO コネクターを使用するようにリダイレクトされます。