SAML SSO の設定

Okta では、ClickHouse の各組織ごとに 2 つの App Integration を設定します。1 つは SAML アプリ、もう 1 つは 直接リンク を保持するためのブックマークです。

アクセス管理用のグループを作成する

1. Administrator として Okta インスタンスにログインします。
2. 左側で Groups を選択します。
3. Add group をクリックします。
4. グループの名前と説明を入力します。このグループは、SAML アプリと関連するブックマークアプリの間でユーザーを一致させるために使用します。
5. Save をクリックします。
6. 作成したグループ名をクリックします。
7. Assign people をクリックし、この ClickHouse 組織へのアクセスを許可するユーザーを割り当てます。

ユーザーがシームレスにログインできるようにブックマークアプリを作成する

1. 左側で Applications を選択し、次に Applications サブ見出しを選択します。
2. Browse App Catalog をクリックします。
3. Bookmark App を検索して選択します。
4. Add integration をクリックします。
5. アプリのラベルを選択します。
6. URL に https://console.clickhouse.cloud/?connection={organizationid} を入力します
7. Assignments タブに移動し、上で作成したグループを追加します。

接続を有効にするための SAML アプリを作成する

1. 左側で Applications を選択し、次に Applications サブ見出しを選択します。

2. Create App Integration をクリックします。

3. SAML 2.0 を選択し、Next をクリックします。

4. アプリケーション名を入力し、Don't display application icon to users の横にあるチェックボックスをオンにしてから Next をクリックします。

5. 次の値を使用して SAML 設定画面を入力します。

   フィールド	値
   Single Sign On URL	コンソールから Single Sign-On URL をコピーします
   Audience URI (SP Entity ID)	コンソールから Service Provider Entity ID をコピーします
   Default RelayState	空欄のままにします
   Name ID format	Unspecified
   Application username	Email
   Update application username on	Create and update

6. 次の Attribute Statement を入力します。

   Name	Name format	Value
   email	Basic	user.email

7. Next をクリックします。

8. Feedback 画面で必要な情報を入力し、Finish をクリックします。

9. Assignments タブに移動し、上で作成したグループを追加します。

10. 新しいアプリの Sign On タブで、Copy metadata URL ボタンをクリックします。

11. Add the metadata URL to your SAML configuration に戻り、手順を続けます。

multi-org SSO を使用する場合は、組織ごとに Google で 1 つの SAML アプリを設定し、ユーザーにはブックマーク用に直接リンク (https://console.clickhouse.cloud/?connection={organizationId}) を提供する必要があります。

Google のウェブアプリを作成する

1. Google Admin console (admin.google.com) に移動します。

   

2. Apps をクリックし、左側の Web and mobile apps をクリックします。

3. 上部メニューの Add app をクリックし、Add custom SAML app を選択します。

4. アプリ名を入力し、Continue をクリックします。

5. メタデータ URL をコピーして、控えておきます。

6. 以下の ACS URL と Entity ID を入力します。

   Field	Value
   ACS URL	コンソールから Single Sign-On URL をコピーします
   Entity ID	コンソールから Service Provider Entity ID をコピーします

7. Signed response のチェックボックスをオンにします。

8. Name ID Format には EMAIL を選択し、Name ID は Basic Information > Primary email のままにします。

9. Continue をクリックします。

10. 次の Attribute mapping を入力します。

    Field	Value
    Basic information	Primary email
    App attributes	email

11. Finish をクリックします。

12. アプリを有効にするには、まず全員に対して OFF をクリックし、設定を全員に対して ON に変更します。画面左側のオプションを選択すれば、アクセスをグループまたは組織単位に制限することもできます。

13. 続行するには、SAML 設定にメタデータ URL を追加する に戻ります。

Azure (Microsoft) SAML は、Azure Active Directory (AD) または Microsoft Entra と呼ばれることもあります。

Azure エンタープライズ アプリケーションを作成する

各組織に対して、それぞれ別個のサインオン URL を持つ 1 つのアプリケーション インテグレーションを設定します。

1. Microsoft Entra 管理センターにログインします。

2. 左側の Applications > Enterprise applications に移動します。

3. 上部メニューの New application をクリックします。

4. 上部メニューの Create your own application をクリックします。

5. 名前を入力し、Integrate any other application you don't find in the gallery (Non-gallery) を選択して、Create をクリックします。

   

6. 左側の Users and groups をクリックし、ユーザーを割り当てます。

7. 左側の Single sign-on をクリックします。

8. SAML をクリックします。

9. 次の設定を使用して、Basic SAML Configuration 画面を設定します。

   フィールド	値
   識別子 (Entity ID)	コンソールから Service Provider Entity ID をコピー
   Reply URL (Assertion Consumer Service URL)	コンソールから Single Sign-On URL をコピー
   Sign on URL	https://console.clickhouse.cloud/?connection={organizationid}
   Relay State	空欄
   Logout URL	空欄

10. Attributes & Claims で、以下を追加 (A) または更新 (U) します。

    クレーム名	フォーマット	ソース属性
    (U) Unique User Identifier (Name ID)	Email address	user.mail
    (A) email	Basic	user.mail
    (U) /identity/claims/name	Omitted	user.mail

    

11. metadata URL をコピーし、Add the metadata URL to your SAML configuration に戻って手順を続けます。

Duo 用の汎用 SAML サービスプロバイダを作成する

1. Duo Single Sign-On for Generic SAML Service Providers の手順に従ってください。

2. 次の Bridge Attribute のマッピングを使用します。

   Bridge Attribute	ClickHouse Attribute
   Email Address	email

3. 次の値を使用して、Duo の Cloud Application を更新します。

   Field	Value
   Entity ID	コンソールから Service Provider Entity ID をコピーします
   Assertion Consumer Service (ACS) URL	コンソールから Single Sign-On URL をコピーします
   Service Provider Login URL	https://console.clickhouse.cloud/?connection={organizationid}

4. metadata URL をコピーし、Add the metadata URL to your SAML configuration に戻って設定を続けます。