IDPインテグレーション
概要
IDプロバイダーはデジタル・アイデンティティを保存・管理し、企業が高いセキュリティ基準を維持しながら、アクセスと権限を管理する手段を提供します。
IDPインテグレーションは、その情報を取り入れエンドユーザーのID検証、コンテンツのセグメンテーション機能の強化、ユーザーの行動監視の拡張のために利用できます。 すべての異なるシステムで利用可能で、信頼でき安全な共通のユーザーIDを提供するため、さまざまな変数を使用してシステムごとに一意のユーザーIDを定義する必要がありません。
IDPをユーザー識別子として使用することは、すべての新しいシステムの有効な解決策となります。
IDPインテグレーションは、admin.walkme.comの管理センターからアクセスできます。
ユースケース
- エンドユーザーのIDP認証をWalkMeコンテンツ表示の前提条件として使用。
- IDPパラメーター（例えばグループ、地域、部署など）によるコンテンツのセグメンテーションを拡張。
- システム全体で正確なデータ監視。
サポート対象プラットフォーム
WalkMeのIDPインテグレーションは、OAuth 2.0、OpenID Connect、SAMLを含む複数の認証プロトコルの使用をサポートしており、組織のIDPベンダーでユーザーを認証し、後にWalkMeでのセグメンテーションや分析に使用できるユーザー属性を取得します。 これらのプロトコルをサポートするすべてのIDPベンダーはWalkMeと連帯します。 WalkMeは、SPで開始されるフローをサポートしています。
OAuth 2.0とは？
OAuth 2.0は、「Open Authorization」の略で、ウェブサイトやアプリケーションが、ユーザーに代わって他のウェブアプリケーションがホストするリソースにアクセスできるようにするための規格です。 OAuth 2.0は、認証のための業界標準のプロトコルです。
OpenID Connectとは？
OpenID Connectは、OAuth 2.0プロトコル上のシンプルなアイデンティティ・レイヤーです。これにより、コンピューティング・クライアントは、認証サーバーによって実行された認証に基づいてエンドユーザーのアイデンティティを確認したり、相互運用可能なRESTライクな方法でエンドユーザーの基本プロファイル情報を取得したりすることができます。
現在IDPインテグレーションは以下のベンダーをサポートしています。
- Okta
- G-Suite
- ADFS
- AzureAD
- PingID
- OpenID を使用するIDプロバイダー
OpenID Connect以外の最も一般的な認証プロトコルはSAMLです。SAMLを使用した統合の作成と設定方法については、SAML IDPインテグレーションの記事を参照してください。
前提条件
IDPとWalkMeのIntegration Center（統合センター）の間の「橋渡し」の役目を果たすIDPアプリケーションを作成する必要があります。
指示ガイドは、対応するすべてシステムの管理センターの設定画面で利用できます。
IDプロバイダーの追加
1. 管理センターの［IDP Integrations（IDPインテグレーション）］タブで、［+ Add Identity Provider（IDプロバイダーの追加）］ボタンをクリックします
2. OAuth 2.0プロトコルタイプを選択します
3. 接続に適した構成設定を提供します
-
- IDP vendor（IDPベンダー）- リストからベンダーを選択します
- IDP Name（IDP名） – 接続名
- Client ID（クライアントID） – アプリの公開識別子
- Client Secret（クライアントシークレット）：アプリケーションと認証サーバーのみに知られている資格情報
- IDPプロバイダードメイン – 所属する組織のドメイン
- OpenID Connectの場合：
- IDP vendor（IDPベンダー） – Oath2.0ベンダーリストから［OpenID Connect］を選択します
- IDP Name（IDP名） – 接続名
- Client ID（クライアントID） – アプリの公開識別子
- Client Secret（クライアントシークレット）：アプリケーションと認証サーバーのみに知られている資格情報
- IDP Provider Discovery URL（IDPプロバイダーDiscovery URL）
- IDPプロバイダーの範囲
- コンテンツ・セキュリティーポリシー
- 利用しているIDPプロバイダー
- Use ID Token For Getting End-Users Properties（エンドユーザーのプロパティ取得にIDトークンを使用）- 有効にするにはトグルをチェックします
4. 準備ができたら［Save & Next（保存して次へ）］をクリックします
- サインログアウトURLは必要でないことにご注意ください
5. ユーザーを識別するためのユニークエンドユーザー識別子を選択します
- 必要なのは識別子一つのみで、追加のグループ情報や他の属性は不要です
6. 必要なプロパティを選択し、正しいデータタイプが選択されていることを確認します
-
- 文字列
- 番号
- 日付
ヒント：
- 選択されたデータタイプが適切であることを確認するには、「i」アイコンの上にカーソルを合わせることでそのプロパティの値を確認することができます。
- 選択されたデータタイプがプロパティに適していない場合、オレンジ色の「i」アイコンが表示され、識別されたデータタイプに戻ることを推奨します。
7. IDPインテグレーションを割り当てたいシステムを選択します
- 各システムごとに、目的の環境においてIDPインテグレーションを別々に有効にすることができます
8. トグルを使用して［Enforce SSO］を設定します
9. ［Finish（終了）］をクリックします
10. IDPが正常に追加されたかどうかのメッセージが表示されます
- 設定したデータフィールドタイプに応じた適切なフィルター条件で、インサイトやUser Attributes（ユーザー属性）>IDPのEditorでインポートされた属性を使ってコンテンツをセグメント化できるようになりました。
- 詳細については、こちらをご覧ください。
ヒント：
- 統合によってユーザーが識別され、要求されたすべての属性が収集されていることを検証するために、すべてのユーザーデータが表示されるinsights.walkme.comのインサイトのユーザーページを表示することをお勧めします。
- ユーザーはセッションが終了した後にテーブルに追加されるため、IDPを設定した後にユーザーが追加されるまで時間がかかる場合があります。
IDプロバイダーの管理
IDプロバイダーの行にカーソルを合わせると、いくつかのオプションが表示されます。
- 削除
- システム割り当ての管理
- プロパティのインポート
- 編集
- 展開
削除
- ゴミ箱のアイコンをクリックして、IDプロバイダーを「削除」します
システム割り当ての管理
- ［+］のアイコンをクリックすると、［Manage System Assignment（システム割り当ての管理）］画面が表示されます
- IDプロバイダーに割り当てたいシステムを選択または解除しまします
- また、トグルで「Enforce SSO」に設定にすることもできます
- 完了したら、［Save Changes（変更を保存）］ボタンをクリックします
プロパティのインポート
- リストのアイコンをクリックし、［Import Properties（プロパティのインポート）］ボタンをクリックして、新たにインポートしたプロパティを編集または追加します
これらの属性は、インサイトでのコンテンツのセグメンテーションとレポートに使用されます。
編集
- 鉛筆のアイコンをクリックして、IDプロバイダーの設定を編集します
- IDプロバイダーの初期設定で入力したすべてのフィールドを編集することができるようになります
展開/折りたたみ表示
- 矢印アイコンを使って、拡大表示を展開したり、折りたたんだりします
- 展開すると、IDプロバイダーに割り当てられているすべてのシステムと、Enforce SSOが有効になっているかどうかが表示されます
ベストプラクティス
［Enforce SSO］の設定
- 有効な場合 – エンドユーザーにウェブページを開く前に、IDP認証を行う必要があります。IDPトークンが認識されない場合、エンドユーザーはIDPログインページにリダイレクトされます。
- IDPがダウンした、お客様が認証情報を忘れた、エンドユーザーがIDPのアプリに割り当てられていない、などの理由でエンドユーザーがIDPへの認証に失敗するたびに、SSOは1時間無効になります。ユーザー識別子は、お客様の設定により、フォールバックして「WalkMe ID」方式に自動的にダウンスケールされるか、WalkMeが読み込まれなくなります。
- 1時間後 – IDPトークンがまだ認識されない場合、エンドユーザーは再びIDPログインページにリダイレクトされますが、そうでない場合はIDPへのログインは不要です。 この点をお客様にしっかりと伝えることが大切です。 そうでない場合は、このオプションを有効にしないでください。
- 無効な場合 – ページの読み込み時にIDP認証が試行されますが、IDP用のアクティブなトークンがない場合は、エンドユーザーはIDPにリダイレクトされません。 ユーザー識別子は、お客様の設定に応じて、「WalkMe ID」メソッドに自動的にダウンスケールされるか、WalkMeが読み込まれなくなります。
制限
- IDPではSafariブラウザーの拡張機能がサポートされていません
- ユーザー識別子の変更は、WalkMeによるエンドユーザー識別の方法に影響を与えるため、「Play once（一度だけ再生）」の設定がリセットされる場合があります
- ユーザーは管理センターの管理者権限を持っている必要があります
- IDPは、必要なシステム上で設定する必要があります
- エンドユーザーは、IDPを使ってそのシステムに認証を行う必要があります
- 会社がCSP（コンテンツ・セキュリティーポリシー）を導入している場合、IDPプロバイダーへのコールがブロックされます
- この問題を解決するには、拡張機能設定のCSP設定で正しいURLを追加する必要があります
- システムを割り当てた後は、割り当てたシステムのUUID設定が自動的にIDPに設定され、公開されるので、以降のアクションは不要です
- IDPの変更を有効にするためには、お客様のシステムをWalkMeの最新バージョンにアップデートする必要があります（これは設定のパブリッシュにより実行できます）
- エンタープライズアカウントの場合、公開時に［Update to the latest WalkMe version（WalkMeの最新バージョンに更新する）］をチェックする必要があります
Mobile Web：
- IDPの設定が完了すると、自動的にMobile Webが有効になります
- IDP / OneIDを有効化した後にMobile Webを追加した場合、Mobile WebをサポートするにはIDPを無効化してから再度有効化する必要があります
