SAMLグループマッピングは、ユーザーのSAMLアサーションに含まれるグループからApidogチームへのアクセスを割り当てます。これにより、手作業によるチームメンバーシップ作業が減り、IDプロバイダーをグループメンバーシップのソースとして維持できます。
このチュートリアルではMicrosoft Entra IDを使用します。groupsクレームを追加し、EntraグループをApidogチームにマッピングし、サインイン時に割り当てられる初期プロジェクト権限を確認します。
始める前に
必要なもの：
- SAML SSOがすでに設定されているApidog Enterprise組織
- Apidogでの組織オーナーまたは組織管理者アクセス権
- Apidogで使用されるMicrosoft Entraエンタープライズアプリケーションへの管理者アクセス権
- 少なくとも1つのEntraグループとそのグループに割り当てられたテストユーザー
SAMLがまだ設定されていない場合は、まずMicrosoft Entra IDの設定を完了してください。
SAMLグループマッピングは、Apidogチームおよびプロジェクトへのアクセスを制御します。本番APIへのアクセスを許可したり、実行時承認を置き換えたりするものではありません。
初期プロジェクトアクセスが割り当てられる仕組み
グループが一致すると、Apidogはユーザーをマッピングされたチームに追加し、選択されたチームロールから初期プロジェクトアクセスを導き出します。
| マッピングされたチームロール | 初期プロジェクトロール |
|---|---|
| チーム管理者 | プロジェクトメンテナー |
| チームメンバー | プロジェクト閲覧専用 |
| チームゲスト | プロジェクト閲覧専用 |
Apidogは、不足しているプロジェクトメンバーシップを作成するか、まだロールがないプロジェクトメンバーシップを更新します。既存の手動で割り当てられたプロジェクトロールは、その後のSAMLサインイン時に上書きされません。
ステップ1：Microsoft Entra IDでgroupsクレームを追加する
- Microsoft Entra管理センターにサインインします。
- エンタープライズアプリケーションに移動し、Apidog SSOに使用されているアプリケーションを開きます。
- シングルサインオンを選択し、属性とクレームを開きます。
- グループクレームの追加を選択します。
- すべてのグループを選択します。
- グループクレームの名前をカスタマイズするを有効にし、クレーム名として
groupsを入力します。 - クレームを保存します。
Apidogがgroups属性でEntraグループのオブジェクトIDを受け取るように、グループクレームを設定します。
Apidogはこのクレーム内のグループオブジェクトIDを使用します。Microsoft Entra IDからグループに関する他の情報は取得しません。
ステップ2：Entraグループ名とオブジェクトIDをコピーする
- Microsoft Entra IDで、グループを開きます。
- Apidogでアクセスを許可するグループを選択します。
- その名前とオブジェクトIDをコピーします。
Entraグループページに表示されているオブジェクトIDを使用してください。アプリケーションID、テナントID、または表示名をオブジェクトIDの代わりに使用しないでください。
Apidogでマッピングを設定している間、このページを開いたままにしてください。
ステップ3：グループをApidogチームにマッピングする
- Apidogで組織を開きます。
- 組織のSAMLグループ設定に移動します。
- グループマッピングを追加します。
- Entraグループ名を入力し、そのオブジェクトIDを貼り付けます。
- グループがアクセスすべきApidogチームを選択します。
- マッピングされた各チームに必要なチームロールを選択します。
- マッピングを保存します。
EntraグループのオブジェクトIDを、必要なApidogチームとチームロールにマッピングします。
SAMLグループマッピングには、個別のプロジェクトロールセレクターはありません。初期プロジェクトロールは、上記の表に示すチームロールから派生します。異なるアクセスが必要な場合は、後でプロジェクトメンバー設定からユーザーのプロジェクトロールを調整してください。
ステップ4：マッピングをテストする
管理者アカウントではなく、テストアカウントを使用してください。
- テストユーザーがマッピングされたEntraグループに属していることを確認します。
- Apidogからサインアウトします。
- 組織のSSOエントリーポイントからサインインします。
- マッピングされたチームを開き、利用可能であることを確認します。
- ユーザーのチームロールを確認します。
- チームのプロジェクトを開き、初期プロジェクトロールを確認します。
ユーザーがすでに手動で割り当てられたプロジェクトロールを持っていた場合、別のSSOサインイン後もそのロールが変更されていないことを確認します。
メンバーシップの削除を確認する
展開前にグループ削除もテストする必要があります。
- マッピングされたEntraグループからテストユーザーを削除します。
- IDプロバイダーの変更が完了するのを待ちます。
- ユーザーにSSO経由で再度サインインさせます。
- 対応するチームメンバーシップとプロジェクトメンバーシップを確認します。
ユーザーがマッピングされたグループに含まれなくなった場合、ApidogはSAML同期中に対応するチームからユーザーを削除することがあります。チームメンバーシップが削除されると、そのチーム内のプロジェクトメンバーシップも削除されます。
最初の削除テストには本番アカウントを使用しないでください。ID構成とオフボーディング手順のために、観察された結果を記録してください。
トラブルシューティング
| 問題 | 確認事項 |
|---|---|
| ユーザーはサインインするが、チームに追加されない | クレームが正確にgroupsと名付けられているか、アサーションに予期されたオブジェクトIDが含まれているか、ApidogのオブジェクトIDに余分なスペースがないかを確認してください。 |
| アサーションにグループ値がない | ユーザーがグループに属しているか、Entraエンタープライズアプリケーションがグループクレームを送信しているかを確認してください。多数のグループメンバーシップを持つユーザーの場合、Microsoftのグループクレーム超過ガイダンスを確認してください。 |
| ユーザーのプロジェクトロールが間違っている | マッピングされたチームロールを確認してください。既存の割り当てられたプロジェクトロールは、その後のSAML同期によって上書きされません。 |
| グループの変更が反映されない | 変更がEntraに到達したことを確認し、Apidogが現在のアサーションを同期できるように新しいSSOサインインを開始してください。 |
| ユーザーは組織に残留する | SAMLグループマッピングは、マッピングされたチームアクセスを管理します。組織のメンバーシップは、招待、SSO、またはSCIMを通じて管理される場合もあります。 |
重要な制限事項
- ApidogはSCIMを通じてIDプロバイダーグループを作成または削除しません。
- SAMLグループマッピングは、各プロジェクトに個別のロール設定を提供しません。
- 既存の割り当てられたプロジェクトロールは、その後のSSOサインイン時にリセットされません。
- 同じユーザーとチームに複数のマッピングが適用される可能性がある場合、優先順位規則を仮定するのではなく、展開前に結果をテストしてください。
- ワークスペースロールは、デプロイされたAPIへの呼び出しを認証しません。
関連するAPIガバナンスチュートリアル：
これらのチュートリアルでは、エンタープライズAPIワークスペースを管理するための補完的な制御について説明しています：
- APIガバナンスフレームワーク — 所有権、制御、証拠、およびライフサイクル決定を接続します。
- Microsoft Entra IDを使用したSAMLグループマッピング — IDプロバイダーグループからチームアクセスを割り当てます。
- シークレットスキャナー — サポートされているApidogアセットで露呈する可能性のある資格情報をレビューします。
- 監査ログ — 管理組織のアクティビティを調査およびエクスポートします。
- SCIMプロビジョニング — IDライフサイクルを通じて組織ユーザーを管理します。
- エンタープライズポリシー — 資格情報、メンバーシップ、SSOセッション、および招待制御を設定します。
- セルフサービスAPIチーム — 所有権の監視を維持しながら、メンバーが作成したチームを許可します。
- GitHub Enterprise Cloud統合 — OpenAPIワークフロー用にサポートされているGHE.comリポジトリを接続します。
関連する公式ドキュメント：