Microsoft Entra IDを使用してWorkflow appsにSAMLベースのSSOを適用する
このガイドでは、Microsoft Entra IDを使用してWorkflow appsのSAMLベースのSSO認証を設定する方法を説明します。 Workflow appsとMicrosoft Entra IDの間でユーザーグループ同期を有効化する手順が含まれており、IDプロバイダー(IdP)を通じて特定のWorkflow appsへのアクセスを管理できます。
設定には、Workflow apps portalから値を取得し、Microsoft Entra IDでエンタープライズアプリケーションを作成し、ユーザーグループを同期し、Workatoで設定を完了する作業が含まれます。
WORKATO IDENTITY SAMLベースSSO用ではありません
このドキュメントはWorkflow apps専用です。 Agent Studio、Workato GO、MCPなどのWorkato Identity機能のSAML認証を設定するには、Workato Identity SAMLベースSSOを参照してください。
デフォルトのセッション期間
グループ同期を有効にせずにSAMLベースのSSOを使用して認証する場合、デフォルトのセッション期間は7日間です。 グループ同期を有効にしている場合、デフォルトのセッションタイムアウトは1日です。
条件付きアクセスのサインイン頻度ポリシーを使用して、ユーザーがMicrosoft Entra IDで再認証する必要がある頻度を制御できます。
前提条件
このガイドの手順を完了するには、以下が必要です。
Workato内:
- ワークスペースの権限モデルに応じて、次のいずれかが必要です:
- レガシーロール: AdminまたはAnalystのシステムロール。
- RBAC 2.0: Apps portal > Settings権限を付与するEnvironmentロール（Environment adminやEnvironment managerなど）。
- Workflow appsへのアクセス。
Microsoft Entra ID内:
- エンタープライズアプリケーションの追加、編集、管理を可能にする権限。
- ユーザーおよびグループを作成し、ユーザーをグループに割り当て、ユーザーおよびグループをアプリケーションに割り当てることができる権限。
Workatoから値を取得する
Microsoft Entra IDを設定するには、Workflow apps portalのシングルサインオンURLとサービスプロバイダー(SP)エンティティIDが必要です。 これらの値は、ポータルの認証方法をSAMLベースのSSOに設定した後に表示されます。
Workatoにサインインします。
プラットフォーム > Workflow apps portal > ポータル設定 > セキュリティに移動します。
認証方法フィールドでSAMLベースのSSOを選択します。 ポータルにシングルサインオンURLとサービスプロバイダー(SP)エンティティIDが表示されます。
シングルサインオンURLとサービスプロバイダー(SP)エンティティIDをコピーします。
URL形式は異なります
シングルサインオンURLとサービスプロバイダー(SP)エンティティIDは、Workflow apps portalのサブドメインまたはカスタムドメイン、ならびにアカウントが配置されているデータセンターごとに固有です。 これらは次の形式に従います。{subdomain}はポータルのサブドメイン、{custom-domain}はカスタムドメイン名です:
- シングルサインオンURL
- デフォルトドメイン:
https://{subdomain}.workato.app/portal/sso/saml/acs - カスタムドメイン:
https://{custom-domain}/portal/sso/saml/acs
- デフォルトドメイン:
- サービスプロバイダー（SP）のエンティティID
- デフォルトドメイン:
https://{subdomain}.workato.app/portal/sso/saml/metadata - カスタムドメイン:
https://{custom-domain}/portal/sso/saml/metadata
- デフォルトドメイン:
エンタープライズアプリケーションを作成する
VIRTUAL PRIVATE WORKATO (VPW)のお客様
この機能を使用するには、お使いのVirtual Private Workato（VPW）インスタンスに固有の設定手順が必要です。 VPWをご利用のお客様は、インスタンスの設定詳細について、VPWのプライベートドキュメントを参照してください。
Microsoft Entra IDでエンタープライズアプリケーションを登録し、Workflow apps portalのSAMLベースのSSOを設定するには、次の手順を実行します:
Microsoft Entra管理センターにサインインします。
Entra ID > エンタープライズアプリ > すべてのアプリケーションに移動し、新しいアプリケーションをクリックします。
独自のアプリケーションの作成をクリックします。
アプリの名前は何ですか?フィールドに、アプリの一意の名前を入力します。 例: Workflow apps。
ギャラリーにないその他のアプリケーションを統合します（ギャラリー以外）を選択し、作成をクリックします。
管理＞シングルサインオンに移動し、シングルサインオン方式としてSAMLを選択します。
基本的なSAML構成セクションに移動し、編集をクリックします。
Workatoから取得した値を入力します:
| Workatoの値 | Microsoft Entra IDフィールド |
|---|---|
| サービスプロバイダー（SP）のエンティティID | 識別子（Entity ID） |
| シングルサインオンURL | 応答URL（Assertion Consumer Service URL） |
保存をクリックします。
Microsoft Entra IDの基本的なSAML構成
属性とクレームセクションに移動し、編集をクリックします。
+ 新しい要求の追加をクリックし、次の属性を追加して、保存をクリックします:
| 名前 | ソース属性 |
|---|---|
workato_app_user_name | user.displayname |
Microsoft Entra IDのユーザー名要求
任意です。 Microsoft Entra IDとWorkflow apps portalの間でユーザーグループの割り当てを同期します。 Microsoft Entra IDを通じてユーザーグループを管理する予定がない場合は、この手順をスキップします。
+ グループ要求の追加をクリックし、次の設定を構成して、保存をクリックします:
| 設定 | 値 |
|---|---|
| 要求で返す必要がある、ユーザーに関連付けられているグループはどれですか? | アプリケーションに割り当てられているグループ |
| ソース属性 | クラウドのみのグループ表示名 |
| グループクレームの名前をカスタマイズ | 有効 |
| 名前 | workato_app_user_groups |
| 名前空間 | 空のままにする |
Microsoft Entra IDのグループ要求
管理 > シングルサインオンに戻り、SAML証明書セクションまでスクロールして、アプリのフェデレーションメタデータURLをコピーします。 この値は、Workatoで設定を完了するでWorkatoに貼り付けます。
Microsoft Entra IDのSAMLユーザーグループ同期を設定する
Microsoft Entra IDとWorkflow apps portalの間でユーザーグループの割り当てを同期できます。 このセクションは、Microsoft Entra IDを通じてユーザーグループを管理する場合にのみ必要です。 エンタープライズアプリケーションを作成するでグループ要求を追加したら、同期を完了するためにグループとユーザーをアプリケーションに割り当てます。
グループ名は一致している必要があります
Workflow apps portalのユーザーグループ名は、Microsoft Entra IDのグループ表示名と完全に一致している必要があります。 名前が一致しない場合、グループの割り当ては同期されず、ユーザーは意図したアプリアクセスを受け取りません。
このプロセスには、次のタスクが含まれます:
グループをアプリケーションに割り当てる
Microsoft Entra IDグループをアプリケーションに割り当てるには、次の手順を実行します:
Microsoft Entra管理センターにサインインし、アプリケーションを開きます。
管理 > ユーザーとグループに移動します。
+ ユーザーまたはグループの追加をクリックします。
表示名がWorkflow apps portalのユーザーグループ名と一致するグループを1つ以上選択します。
割り当てをクリックします。
ユーザーをアプリケーションに割り当てる
ユーザーにアプリケーションへのアクセス権を付与するには、次の手順を実行します:
アプリケーションに割り当てたMicrosoft Entra IDグループにユーザーを追加します。 ユーザーは、Workflow apps portal内の一致するユーザーグループに付与されたものと同じアクセス権を受け取ります。
ユーザーがサインインしてWorkflow appsにアクセスできるように、Workflow apps portalのURLをユーザーに提供します。
Workatoで設定を完了する
Workatoに戻ってMicrosoft Entra IDのメタデータを提供し、SAMLベースのSSOを適用します。 次の手順を完了します:
Workatoにサインインします。
プラットフォーム > Workflow apps portal > ポータル設定 > セキュリティに移動します。
認証方法フィールドがSAMLベースのSSOに設定されていることを確認します。
Workato SAML設定
IDプロバイダーのメタデータURLはありますかフィールドではいを選択し、Microsoft Entra IDからコピーしたアプリのフェデレーションメタデータURLを貼り付けます。
SAML認証の適用対象フィールドを使用して、SAML認証をすべてのWorkflow appsユーザーに適用するか、特定のドメインのユーザーのみに適用するかを指定します。 指定されたドメイン外のユーザーは、パスワード認証でサインインできます。
任意です。 JIT (Just-In-Time)プロビジョニングを有効化をクリックすると、ユーザーがSSO経由で初めてサインインしたときにポータルに自動的に追加されます。
ユーザーグループ同期を有効化をクリックして、Microsoft Entra IDからユーザーグループを同期します。 Microsoft Entra IDを通じてユーザーグループを管理する予定がある場合、この手順は必須です。
グループ同期のタイミング
ユーザーグループ同期はすぐには有効になりません。 ユーザーがMicrosoft Entra IDを通じてポータルにサインインするたびに適用されます。
グループ同期に必要なSAML属性は、エンタープライズアプリケーションを作成するで設定されています。 そのセクションを完了している場合、ここで追加の設定は必要ありません。
変更を保存をクリックします。
最終更新日: