SSO 接続の追加

アイデンティティプロバイダ (IdP) で OIDC App を作成し、シングルサインオン (SSO) ドメインを検証したら、Jamf Account に SSO 接続を追加する必要があります。

将来、接続タイプや地域を更新する必要がある場合は、SSO 接続を削除し、Jamf Account で新しい接続を作成する必要があります。

警告：

現在、削除する IdP 接続でJamf App にログインしている場合は、新しい接続を設定する前にログアウトしないか、Jamf ID などの別の方法でログインできるようにしてください。

要件

一般的な Requirements for SSO を満たす必要があります。

組織 (Organization) > SSO に移動し、新規接続 (New Connection) をクリックします。
注：サイドナビゲーションに「組織」および「SSO」が表示されない場合は、SSO の編集に必要な権限が割り当てられていない可能性があります。SSO 接続を追加する場合は所属する組織の別の管理者に、権限を更新する場合はアカウント担当者にご連絡ください。ページの左下隅にあるリソースセンター (Resource Center) をクリックして、アカウントチームへ問い合わせる (Contact Account Team) をクリックします。
接続設定 (Connection Settings) で、接続タイプ (Connection Type) ポップアップメニューをクリックし、IdP に該当するオプションを選択します。
- Microsoft Entra ID —
  以下の権限要件に基づいて、Entra または汎用 OIDC (Generic OIDC) を選択します。
  組織が GroupMember.Read.All および User.Read 権限を付与できる場合は、"Entra" を選択します。
  組織が GroupMember.Read.All および User.Read 権限を付与できない場合、またはグループ名の代わりにグループ GUID を受け取ることを希望する場合は、"汎用 OIDC" を選択します。
  注：Microsoft Entra ID を扱う際には、以下の点に注意してください。
  Jamf では、一般的な環境では Entra 接続タイプを使用することをお勧めしています。ご使用の環境に適した接続タイプの選択に関する詳細なサポートが必要な場合は、Jamf サポートまでお問い合わせください。
  Microsoft Entra GCC High をご利用の場合、Jamf Account の "Microsoft Entra ID" オプションはご使用の環境と互換性がありません。代わりに"一般 IdP (Generic IdP)" オプションを使用してください。ご使用の構成に固有のガイダンスについては、Jamf サポートまでお問い合わせください。
  汎用 OIDC では、グループ名は表示名ではなく、デフォルトで Entra ID GUID になります。Jamf Pro 内のグループ名が Entra ID GUID と一致していることを確認する必要があります。
  次の必須フィールドに IdP の値を入力します。
  クライアント ID
  クライアントシークレット値
  (Entra 接続タイプのみ) Microsoft Entra ID ドメイン
  (Entra 接続タイプのみ) テナントドメイン
  (汎用 OIDC 接続タイプのみ) 発行者の URL
  注：
  IdP 値を入力する際には、以下の点に注意してください。
  発行者の URL には、Entra ID の「Open ID Connect メタデータドキュメント」URL を入力します。Entra ID 商用テナントの場合、この URL は次のフォーマットになります。https://login.microsoftonline.com/{TENANT_ID}/v2.0/.well-known/openid-configuration。
  Jamf Pro ユーザアカウントとグループでグループ名を使用して権限を割り当てるには、属性 (Attributes) のユーザグループを取得 (Get User Groups) を選択します。
  詳しくは、Jamf Account での Microsoft Entra ID 接続設定を参照してください。
- Okta —
  "Okta" を選択し、次の必須フィールドに IdP の値を入力します。
  クライアント ID
  クライアントシークレット値
  Okta ドメイン
  + スコープを追加 (オプション)
  注：
  値を次のように変更します。 email openid profile groups
  + カスタムマッピングを追加 (オプション)
  注：カスタムマッピングは接続の編集時には使用できますが、接続の作成時は使用できません。まず、組織 (Organization) > 設定 (Settings) でアドバンス機能を有効にする必要があります。Jamf は、グループが確実に正しく機能できるように、Okta 接続にマッピングテンプレートを適用します。マッピングを変更すると、グループが機能しなくなる可能性があります。
  詳しくは、Jamf Account での Okta 接続設定を参照してください。
- Google Identity —
  "Google Workspace" を選択し、次の必須フィールドに IdP の値を入力します。
  発行者の URL
  クライアント ID
  クライアントシークレット値
  詳しくは、Jamf Account での Google Identity 接続設定を参照してください。
- OneLogin —
  "汎用 OIDC (Generic OIDC)" を選択し、次の必須フィールドに IdP の値を入力します。
  発行者の URL
  クライアント ID
  クライアントシークレット値
  詳しくは、Jamf Account との SSO 統合用に OneLogin を構成するを参照してください。
- JumpCloud —
  "汎用 OIDC (Generic OIDC)" を選択し、次の必須フィールドに IdP の値を入力します。
  発行者の URL
  クライアント ID
  クライアントシークレット値
  詳しくは、Jamf Account との SSO 統合用に JumpCloud を構成します。を参照してください。
- PingOne —
  "汎用 OIDC (Generic OIDC)" を選択し、次の必須フィールドに IdP の値を入力します。
  発行者の URL
  クライアント ID
  クライアントシークレット値
  詳しくは、Jamf Account との SSO 統合用に PingOne を構成するを参照してください。
重要：Jamf High Compliance Cloud でホストされている Jamf Pro 環境で SSO を有効にする場合は、ホストされる地域ポップアップメニューで米国 (High Compliance Cloud) を選択します。
IdP グループ名フィルタの下に、特定の文字列を入力します。複数の文字列を区切るには、Return キーを押します。
ベストプラクティス：IdP ユーザーが 100 個以上のグループにスコープされている場合、Jamf ではフィルターを使用して許可するグループをカスタマイズすることをお勧めします。デフォルトでは、すべてのグループが許可されます。複数の文字列を追加できます。「and」を使用するとグループ名が入力したすべての文字列に一致する必要があり、「or」を使用するとグループ名が入力したいずれかの文字列に一致する必要があります。グループフィルターは大文字と小文字を区別します。
セッションオプション (Session options) で、希望するセッション期間と操作がないタイムアウトを入力します。
注：
セッションオプションを構成する際は、以下に注意してください。
非アクティブタイムアウトとは、ユーザーがアプリを操作しない期間のことです。非アクティブタイムアウトは通常、セッション時間よりも短く設定されます。
セッション時間とは、再サインインが必要になるまでにアプリを使用できる期間のことです。
これらの設定は、IdP を使用するすべてのアプリで適用されます。
関連ドメイン (Associated Domains) で、以前に検証された IdP のドメインを選択します。
注：
ドメインを扱う際には、以下の点に注意してください。
Jamf Account で接続を保存する際には、少なくとも1つのドメインを設定する必要があります。
同じドメインに複数の IdP を構成するには、まず組織 (Organization) > 設定 (Settings) でアドバンス機能を有効にする必要があります。選択した App のログインページには、IdP 接続セレクターが表示されます。接続が明確にラベル付けされていることを確認します。
未検証のユーザには、組織の検証済みドメインと一致しない E メールのドメインが存在します。これらのユーザが IdP 認証情報を使用して Jamf Account にアクセスできるようにする場合、またはこれらのユーザを組織に割り当てたくない場合は、ユーザと連絡先 (Users & contacts) ページでこれらのユーザを削除できます。
この接続を使用するアプリケーションを選択します。
コールバック URL をコピーして、自分の IdP に追加します。
保存をクリックします。
IdP 構成が保存され、アカウントの連絡先が検証されます。

これで、シングルサインオン (SSO) 接続を使用できるようになりました。SSO 接続により、IdP で構成されているユーザは、有効になっているすべての Jamf アプリケーションに対して SSO を使用してログインできるようになります。

注：

ユーザは、Jamf ID で続行をクリックすることで、Jamf ID を使用して Jamf アプリケーションにログインすることができます。

特定のユーザ認証の役割と権限を各 Jamf アプリケーションで構成する必要があります。