SAML SSO セットアップ

このページはAIにより自動翻訳されており、不正確な内容が含まれている可能性があります。翻訳の誤りを報告するには、ページ右側の目次の下にあるフィードバックをご利用ください。

この記事では、BrazeアカウントでSAMLシングルサインオンを有効にする方法と、SAMLトレースを取得する方法について説明します。

要件

設定時に、サインオン URL とアサーションコンシューマーサービス (ACS) URL を入力するよう求められます。

要件	詳細
アサーションコンシューマーサービス (ACS) URL	`https://<SUBDOMAIN>.braze.com/auth/saml/callback` 欧州連合ドメインの場合、ACS URL は `https://<SUBDOMAIN>.braze.eu/auth/saml/callback` です。一部の IdP では、Reply URL、Sign-On URL、Audience URL、または Audience URI と呼ばれることもあります。
エンティティ ID	デフォルトは `braze_dashboard` です。IdP で企業固有のエンティティ ID が必要な場合は、セキュリティ設定でカスタムエンティティ ID を有効にし、`braze_dashboard_<companyID>` を使用してください。
RelayState API キー	設定 > 設定とテスト > API と識別子に移動し、API キータブを開いて、`sso.saml.login` 権限を持つ API キーを作成します。生成された API キーを IdP 内の `RelayState` パラメーターとして入力してください。詳細な手順については、RelayState の設定を参照してください。

SAML SSOの設定

ステップ1：IDプロバイダーを設定する

IDプロバイダー（IdP）で、以下の情報を使用してBrazeをサービスプロバイダー（SP）として設定します。また、SAML属性マッピングも設定してください。

重要

IDプロバイダーとしてOktaを使用する予定がある場合は、Oktaサイトにある事前構築済みのインテグレーションを使用してください。

SAML属性	必須？	使用可能なSAML属性
`email`	必須	`email` `mail` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/email`
`first_name`	任意	`first_name` `firstname` `firstName` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/first_name`
`last_name`	任意	`last_name` `lastname` `lastName` `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/last_name`

注

BrazeはSAMLアサーションでemailのみを必要とします。

ステップ2：Brazeを設定する

IDプロバイダーでBrazeの設定が完了すると、IDプロバイダーからターゲットURLとx.509証明書が提供されます。これらをBrazeアカウントに入力します。

アカウントマネージャーがアカウントのSAML SSOを有効にしたら、設定 > 会社の設定 > 管理者設定 > セキュリティ設定に移動し、SAML SSOセクションをオンに切り替えます。

同じページで、以下を入力します：

要件	詳細
SAML名	これはログイン画面のボタンテキストとして表示されます。通常、「Okta」のようなIDプロバイダーの名前です。
ターゲットURL	これはIdP内でBrazeを設定した後に提供されます。一部のIdPでは、これをSSO URLまたはSAML 2.0エンドポイントと呼びます。
証明書	IDプロバイダーから提供される`x.509`証明書です。

カスタムエンティティID

デフォルトでは、BrazeはエンティティID（一部のIdPではAudienceまたはAudience URIとも呼ばれます）としてbraze_dashboardを使用します。IdPが会社固有のエンティティIDを必要とする場合：

セキュリティ設定で、カスタムエンティティIDをオンにします。
生成されたエンティティID（braze_dashboard_<companyID>）をコピーします。
その値をIdPのエンティティID、Audience、またはAudience URIフィールドに貼り付けます。
サインインをテストする前に、BrazeとIdPの両方で変更を保存します。

重要

エンティティIDがBrazeとIdPの両方で一致するまで、ユーザーはサインインできません。カスタムエンティティIDには、IDプロバイダーでの追加設定が必要です。

ダッシュボードに追加する際、x.509証明書が以下の形式に従っていることを確認してください：

-----BEGIN CERTIFICATE-----
<certificate>
-----END CERTIFICATE-----

SAML SSO設定画面（トグルが選択された状態）。

ステップ3：Brazeにサインインする

セキュリティ設定を保存してログアウトします。その後、IDプロバイダーを使用して再度サインインします。

カスタムエンティティIDの使用

デフォルトでは、すべてのBrazeダッシュボードは共有エンティティID braze_dashboard を使用します。カスタムエンティティIDを使用すると、ダッシュボードに一意の識別子が与えられ、IDプロバイダーがサインインリクエストがこの特定のダッシュボード向けであることを確認できるようになります。これは、同じIDプロバイダーで複数のBraze企業にまたがるSAML SSOを設定する場合に便利です。

カスタムエンティティIDの使用は任意です。有効にしない場合、ダッシュボードは引き続き braze_dashboard を使用します。

警告

あらかじめ構築されたBraze Oktaマーケットプレイスアプリは、共有エンティティID braze_dashboard を適用するため、カスタムエンティティIDとは互換性がありません。Braze OktaマーケットプレイスアプリでSAML SSOをすでに設定している場合、カスタムSAMLアプリを通じてOktaのエンティティIDフィールドを更新せずにカスタムエンティティIDをオンにすると、サインインが失敗し、ユーザーがダッシュボードからロックアウトされる可能性があります。OktaでカスタムエンティティIDを使用するには、代わりにカスタムSAMLアプリを設定してください。

ステップ1：カスタムエンティティIDをオンにする

設定 > 管理者設定 > セキュリティ設定に移動し、SAMLシングルサインオンセクションを開きます。カスタムエンティティIDトグルをオンにします。Brazeが braze_dashboard_<COMPANY_ID> の形式でダッシュボードの一意のエンティティIDを生成します。カスタムエンティティIDオプションが表示されない場合は、Brazeアカウントマネージャーに連絡してください。

ステップ2：IDプロバイダーを更新する

生成されたエンティティIDをコピーし、IDプロバイダーのBrazeアプリケーションのエンティティIDフィールドに貼り付けます。プロバイダーによっては、このフィールドがエンティティID、オーディエンス、またはオーディエンスURIとラベル付けされている場合があります。

重要

エンティティIDは、BrazeとIDプロバイダーの両方で一致している必要があります。両方が同じ値を使用するまで、ユーザーはSAML SSOでサインインできません。ユーザーがロックアウトされないよう、このページを保存する前にIDプロバイダーを更新してください。

ステップ3：保存してテストする

セキュリティ設定を保存し、ログアウトしてから、IDプロバイダーを通じて再度サインインして、カスタムエンティティIDでサインインが正常に動作することを確認します。

RelayState の設定

Braze で、設定 > 設定とテスト > API と識別子に移動します。
API キータブで、API キーを作成ボタンを選択します。
API キー名フィールドに、キーの名前を入力します。
権限の下にある SSO ドロップダウンを展開し、sso.saml.login にチェックを入れます。
API キーを作成を選択します。
API キータブで、作成した API キーの横にある識別子をコピーします。
RelayState API キーを IdP の RelayState に貼り付けます（IdP によっては「Relay State」または「Default Relay State」と表示される場合があります）。

一部の ID プロバイダーは IdP 起動ログインをサポートしており、ユーザーは Braze のログインページではなく IdP ポータルからログインを開始します。IdP 起動ログインには、有効な RelayState APIキーと正しい ACS URL の設定が必要です。プロバイダー固有の設定ガイド:

注

Microsoft Entra SSO の IdP 起動ログインでは、Sign-On URL フィールドを空白にしておく必要があります。詳細については、Microsoft Entra SSO を参照してください。

SSOの動作

SSOの使用を選択したメンバーは、パスワードを使用できなくなります。パスワードを引き続き使用するユーザーは、以下の設定によって制限されない限り、そのまま使用できます。

制限

組織のメンバーが Google SSO または SAML SSO のみでサインインするように制限できます。制限を有効にするには、設定 > 会社の設定 > 管理者設定 > セキュリティ設定に移動し、Google SSO のみのログインを強制するまたはカスタム SAML SSO のみのログインを強制するを選択します。

「認証ルール」セクションの設定例。最小パスワード長は8文字、パスワードの再利用回数は3回です。パスワードは180日後に期限切れとなり、ユーザーは1,440分間操作がない場合にログアウトされます。

制限を有効にすると、組織のBrazeユーザーは以前にパスワードでログインしたことがあっても、パスワードを使用してログインできなくなります。

重要

SSO が強制された後、SSO 認証が失敗した場合のフォールバックオプションはありません。SSO の強制を有効にする前に、SSO の設定が正しいこと、すべての証明書が最新で更新されていること、セキュリティ設定が適切に管理されていることを確認し、ログインの問題を防いでください。

SAMLトレースの取得

SSOに関連するログインの問題が発生した場合、SAMLトレースを取得することで、SAMLリクエストで送信される内容を特定し、SSO接続のトラブルシューティングに役立てることができます。

前提条件

SAMLトレースを実行するには、SAMLトレーサーが必要です。ブラウザに応じて、以下の2つのオプションがあります。

ステップ1：SAMLトレーサーを開く

ブラウザのナビゲーションバーからSAMLトレーサーを選択します。Pauseが選択されていないことを確認してください。選択されている場合、SAMLトレーサーがSAMLリクエストで送信される内容をキャプチャできなくなります。SAMLトレーサーを開くと、トレースが表示されるのを確認できます。

Google Chrome用のSAMLトレーサー。

ステップ2：SSOを使用してBrazeにサインインする

Brazeダッシュボードにアクセスし、SSOを使用してサインインを試みます。エラーが発生した場合は、SAMLトレーサーを開いて再度試してください。https://dashboard-XX.braze.com/auth/saml/callbackのようなURLとオレンジ色のSAMLタグが表示された行がある場合、SAMLトレースが正常に収集されています。

ステップ3：エクスポートしてBrazeに送信する

Exportを選択します。Select cookie-filter profileでNoneを選択し、Exportを選択します。これにより、Brazeサポートに送信してさらなるトラブルシューティングに役立てることができるJSONファイルが生成されます。

「Export SAML-trace preferences」メニューで「None」オプションが選択されている状態。

トラブルシューティング

ユーザーのメールアドレスは正しく設定されていますか？

ERROR_CODE_SSO_INVALID_EMAIL というエラーが表示される場合、ユーザーのメールアドレスが無効です。SAML トレースで saml2:Attribute Name="email" フィールドが、ユーザーがログインに使用しているメールアドレスと一致していることを確認してください。Microsoft Entra ID（旧 Azure Active Directory）を使用している場合、属性マッピングは email = user.userprincipalname です。

メールアドレスは大文字と小文字が区別され、ID プロバイダー（Okta、OneLogin、Microsoft Entra ID など）で設定されたものを含め、Brazeで設定されたものと完全に一致する必要があります。

ユーザーのメールアドレスに問題があることを示すその他のエラーには、以下のものがあります。

ERROR_CODE_SSO_EMAIL_DOES_NOT_EXIST：ユーザーのメールアドレスがダッシュボード内に存在しません。
ERROR_CODE_SSO_SESSION_SIGN_IN_EMAIL_MISSING：ユーザーのメールアドレスが空であるか、設定に誤りがあります。
ERROR_CODE_SSO_SESSION_SIGN_IN_EMAIL_MISMATCH または ERROR_CODE_SSO_SIGN_IN_EMAIL_MISMATCH：ユーザーのメールアドレスが SSO の設定に使用されたものと一致しません。

有効な SAML 証明書（x.509 証明書）を持っていますか？

この SAML 検証ツールを使用して SAML 証明書を検証できます。期限切れの SAML 証明書も無効な SAML 証明書であることに注意してください。

正しい SAML 証明書（x.509 証明書）をアップロードしましたか？

SAML トレースの ds:X509Certificate セクション内の証明書が、Brazeにアップロードしたものと一致していることを確認してください。これには -----BEGIN CERTIFICATE----- ヘッダーと -----END CERTIFICATE----- フッターは含まれません。

SAML 証明書（x.509 証明書）の入力ミスやフォーマットの誤りはありませんか？

Brazeダッシュボードで送信した証明書に空白や余分な文字がないことを確認してください。

Brazeに証明書を入力する際は、Privacy Enhanced Mail（PEM）でエンコードされ、正しくフォーマットされている必要があります（-----BEGIN CERTIFICATE----- ヘッダーと -----END CERTIFICATE----- フッターを含む）。

以下は正しくフォーマットされた証明書の例です。

ユーザーのセッショントークンは有効ですか？

該当するユーザーにブラウザーのキャッシュと Cookie をクリアしてもらい、SAML SSO で再度ログインを試みてください。

RelayState を設定しましたか？

ERROR_CODE_SSO_INVALID_RELAY_STATE というエラーが表示される場合、RelayState の設定が誤っているか、存在しない可能性があります。まだ設定していない場合は、IdP 管理システムで RelayState を設定する必要があります。手順については、RelayState の設定を参照してください。

これは RelayState が正しく設定されていない場合に発生することがあります。IdP サインイン用の API キーを（設定 > セットアップとテスト > API と識別子で）作成し、その API キーを IdP の RelayState パラメーターとして設定したことを確認してください。RelayState は、サインインする会社アカウントを識別します。ステップごとの手順については、RelayState の設定を参照してください。

それでもサインインできない場合は、可能であれば SAML トレースを添えて Braze サポートに連絡してください。トレースの取得方法については、SAML トレースの取得を参照してください。

ユーザーが Okta SSO と Braze ダッシュボードの間を繰り返しループしてサインインできない場合は、Okta に移動して SSO URL の宛先をBraze インスタンス（例：https://dashboard-07.braze.com）に設定する必要があります。

別の IdP を使用している場合は、正しい SAML または x.509 証明書が Braze にアップロードされているかどうかを確認してください。

手動インテグレーションを使用していますか？

会社が IdP のアプリストアから Braze アプリをダウンロードしていない場合は、ビルド済みのインテグレーションをダウンロードする必要があります。例えば、Okta を IdP として使用している場合は、Okta のインテグレーションページから Braze アプリをダウンロードします。

Google SSO

会社がカスタムSAMLの代わりにGoogle SSOを使用している場合は、BrazeアカウントマネージャーにワークスペースのGoogle SSOの有効化を依頼してください。有効化された後、設定 > 会社設定 > 管理者設定 > セキュリティ設定に移動し、Enforce Google SSO only loginを選択して、すべての会社ユーザーにGoogle認証を要求します。

Google SSOの強制が有効になると、ユーザーはGoogle認証でサインインする必要があり、Brazeパスワードは使用できなくなります。各ユーザーは、Brazeダッシュボードのメールアドレスと一致するGoogleアカウントでサインインする必要があります。サインイン時に別のGoogleアカウントを選択した場合、Brazeは認証の試行を拒否します。

一部のユーザーがGoogle SSOでサインインできない場合は、以下を確認してください:

ユーザーのGoogleアカウントのメールアドレスがBrazeダッシュボードのメールアドレスと完全に一致していること。
ユーザーが会社のメールアドレスに対応するGoogleアカウントにアクセスできること。
ユーザーがBrazeで停止されていないこと（設定 > 会社ユーザー）。

次のステップ

SAML SSOを設定した後、以下を行うことができます。

New Stuff!

サービスプロバイダー (SP) 主導のログイン

要件