Apple School ManagerでIDプロバイダとのFederated Authenticationを使用する
Apple School ManagerでIDプロバイダ(IdP)をリンクすると、ユーザはIdPのユーザ名とパスワードでAppleデバイスにサインインできるようになります。これによりユーザは、IdPのユーザ名とパスワードを管理対象Apple IDとして利用できます。ユーザはその後、それらの認証情報を使用して、割り当て済みのiPhone、iPad、Mac、さらにWeb上のiCloudにサインインすることができます。
このプロセスは、主に次の4つの手順で構成されます:
1. ドメインを確認する
2. IdPにサインインして、新しいOpen ID Connect(OIDC)アプリまたは接続を作成する
3. アプリまたは接続を設定してテストする
4. Federated Authenticationを有効にする
開始する前に
開始する前に、SCIMを使用してIdPに同期するのか、それともFederated Authenticationのみを使用するのかを確認してください。SCIMを使用してIdPに同期する場合は、SCIM接続が正常に完了したことを確認してから、Federated Authenticationを有効にする必要があります。
Federated Authenticationのみを使用する場合は、以下の情報が必要です:
サインイン方法:OpenID Connect(OIDC)を使用します。
スコープアクセス:アクセスを
ssf.manage
およびssf.read
。Shared Signals Framework(SSF)構成用のURL:IdPのマニュアルを参照してください。
OpenID構成用のURL:IdPのマニュアルを参照してください。
手順1:ドメインを確認する
Apple School ManagerでIdPユーザを表示するには、使用するドメインを追加して確認する必要があります。Apple School Managerでドメインを追加して確認します。
「新しいドメインにリンクする」を参照してください。
注記: 確認プロセスにより、所属する組織が自分のドメインのドメイン・ネーム・サービス(DNS)レコードを変更する権限を持っていることを確認できます。たとえば、betterbag.comを自分のドメインとして使用するには、確認プロセスの開始時(「確認」ボタンを選択した時)から14暦日以内に特定のTXTレコードをドメイン・ネーム・サーバのゾーンファイルに追加します。
手順2:新しいOIDCアプリ(接続)を作成する
Apple School Managerに接続するには、Apple School Managerにリンクするための特定の設定が含まれたアプリがIdPに用意されている必要があります。用意されていない場合は、アプリを作成します。アプリの作成方法や特定の設定がある場所はIdPごとに異なるため、IdPのマニュアルでこのプロセスの実行方法を確認してください。
管理者としてIdPにサインインし、以下のいずれかの操作を実行します。
IdPによって作成されたアプリを選択します。この操作では、いくつかの手順を省略できる場合もあります。
アプリを作成できる場所または接続を確立できる場所に移動します。
以下の情報を使用してアプリ(接続)を作成します:
Apple School Manager:AppleSchoolManagerOIDC。
サインイン方法:OpenID Connect(OIDC)。
アプリのタイプ:Webアプリ。
グラントタイプ:リフレッシュトークン。
サインインのリダイレクトURI:https://gsa-ws.apple.com/grandslam/GsService2/acs.
アクセス:特定のユーザに許可。
スコープアクセス:アクセスを
ssf.manage
およびssf.read
。
変更内容を保存します。
後ほどこのページで、一部の情報をApple School Managerにペーストする必要があります。次のタスクは、この情報をテキストファイルまたはスプレッドシートファイルにコピーすることです。
新しいテキストファイルまたはスプレッドシートを開き、IdPから以下の値を取得して入力します:
OIDCクライアントID用に、OIDCクライアントIDをペーストします。
OIDCクライアントシークレット用に、OIDCクライアントシークレットをペーストします。
安全な場所にファイルを保存します。
手順3:接続を構成してテストする
Apple School Managerで、管理者、サイトマネージャ、またはユーザマネージャの役割を持つユーザでサインインします。
サイドバーの下部にある自分の名前を選択し、「環境設定」を選択して、「アカウント」を選択します。
Federated Authenticationの横にある「編集」を選択し、「カスタムIDプロバイダ」>「接続」の順に選択します。
Federated Authentication接続の名前を入力します。
使用できる文字数は最大128文字です。
前のセクションで保存したテキストファイルまたはスプレッドシートにあるクライアントIDとクライアントシークレットの値をコピーして、Apple School Managerにペーストします。
IdPに問い合わせて、以下の2つを構成するためのURLを取得します:
Shared Signals Framework(SSF)
OpenID
「続ける」を選択します。
入力した値がすべて有効であれば、IdPのサインインページが表示されます。手順8に進みます。
IdP管理者のユーザ名とパスワードでサインインします。
「完了」を選択します。
手順4:Federated Authenticationを有効にする
Apple School Managerで、管理者、サイトマネージャ、またはユーザマネージャの役割を持つユーザでサインインします。
サイドバーの下部にある自分の名前を選択し、「環境設定」を選択して、「アカウント」を選択します。
「ドメイン」セクションで「編集」を選択し、IdPと連携させるドメインの横にある「連携」を選択します。
処理が完了するまで待ちます。