SAML サービスプロバイダーの登録

サービスプロバイダーの名称（日本語）を設定します。
この設定はサービスの表示名として扱い、ユーザー情報画面の、ユーザーの「許可するサービス」項目などに表示されます。
※ほかの許可するサービスとして設定可能なサービス設定と重複する名称は使用できません。

SAML認証応答を行う際に利用する、RelayStateとしてリダイレクトするURLの値を設定します。
本設定はIdP-Initiated SAMLで認証した場合または、SP-Initiated SAMLでSPからRelayStateの値が含まれない場合に初期値として利用します。

• urn:oasis:names:tc:SAML:2.0:nameid-format:persistent
• urn:oasis:names:tc:SAML:2.0:nameid-format:transient
• urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
• urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified

サービスプロバイダーへSAML認証応答として渡すName IDの値をSeciossLink側の属性から選択します。

※「IDの属性」項目で選択した値によって、選択可能な項目に以下の制限があります。

• urn:oasis:names:tc:SAML:2.0:nameid-format:persistent を選択した場合は、Transient IDは選択できません。
• urn:oasis:names:tc:SAML:2.0:nameid-format:transient を選択した場合は、Transient IDを選択する必要があります。
• urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress を選択した場合は、メールアドレスを選択してください。

また、「システム」-「追加属性」よりユーザーの属性に
"seciossExtensionAttribute;x-custom-<数字>" を追加している場合は、選択可能な項目として使用可能となります。

サービスプロバイダーへSAML認証応答として渡すsaml:Attributeの値を設定します。
サービスへ送信する、SeciossLinkのユーザー項目にチェックを行い、属性名にサービスが要求する、属性名を入力してください。

例：「メールアドレス」にチェックを入れ、属性名を「loginid」と設定した場合は、SeciossLinkでSAML認証を行うユーザーに設定されたメールアドレス情報を、サービスプロバイダー側に「loginid」属性として送信されます。

※送信する属性にチェックが一つもない場合はNameIDの属性を送信属性として送信されます。
※送信するNameID以外の属性にチェックが入っている場合、送信属性にNameIDの属性は含まれません。

送信する属性（固定値）

サービスプロバイダーへSAML認証応答として渡すsaml:Attributeの値を設定します。ユーザー情報に存在しない値をサービスへ送信したい場合に設定します。
１行目の属性名にサービスが要求する属性名を入力し、対応する値を入力します。また対応する値には、固定文字列を指定する他にシングルサインオンユーザー自身の属性を送信できるよう、特殊変数の指定が可能です。

書式：${＜属性名＞}
例：${sn}、${givenName} 

２行目の条件指定欄はこの属性送信設定に条件を設けることができます。
条件指定 項目に設定がある場合、ユーザーが持つ属性名に値が一致した場合にのみ、この設定を適応します。
値の設定には、正規表現 (PCREに準拠したもの)を使用することができます。

「追加」ボタンは入力項目を最大10個まで追加できます。

例：ユーザーIDが「tanaka.taro」「tanaka.jiro」であるユーザーの場合、サービスへ 属性「organizationName 」をユーザーが持たない情報「Secioss INC.」を値として送信する設定

サービスプロバイダーへのSAML認証にて、SAMLリクエストの署名検証、SAMLアサーションの暗号化に利用する証明書を「ファイルを選択」より登録します。
小項目ごとに設定が異なり、設定した証明書に応じてSAML認証時の挙動が次のようになります。

• SP証明書
  SAMLリクエストの署名検証、SAMLアサーションの暗号化に使用されます。基本的にはこの項目へ証明書を登録します。
• 署名検証用のセカンダリ証明書を登録する
  SAMLリクエストの署名検証に使用され、「SP証明書」で検証失敗した場合のセカンダリとして署名検証を行う場合に設定します。
  主な用途として、サービス側の証明書の入れ替え時などで署名検証に使用する２枚目の証明書を登録したい場合に利用します。
• 専用の暗号化用証明書を登録する
  SAMLアサーションの暗号化に使用されます。
  この項目に設定が行われている場合、SP証明書ではなく、優先的にこの項目の証明書を用いて、SAMLアサーションの暗号化を行い、SAML認証応答へ設定します。
  主な用途として、署名検証で利用する、SP証明書と異なる証明書でアサーションの暗号化を行う場合に利用します。

サービスプロバイダーからのSAML認証要求に設定された署名をSeciossLinkで検証する場合に設定します。
設定が有効な場合、「SP証明書」の項目の内容に沿って、SAML認証要求が改ざんされていないかの検証・確認を行います。

サービスプロバイダーへのSAML認証応答にて、SAMLアサーションを暗号化する場合に設定します。
設定が有効な場合、「SP証明書」の項目の内容に沿って、SAMLアサーションの暗号化が行われます。

サービスプロバイダーからのSAML認証要求にて、リクエストの署名検証に使用するアルゴリズムを設定します。
「リクエストの署名検証」が有効な場合に利用され、以下の選択肢から設定します。

• http://www.w3.org/2001/04/xmldsig-more#rsa-sha256
• http://www.w3.org/2001/04/xmldsig-more#rsa-sha384
• http://www.w3.org/2001/04/xmldsig-more#rsa-sha512
• http://www.w3.org/2000/09/xmldsig#rsa-sha1

アサーションの暗号化に
使用するアルゴリズム

サービスプロバイダーへのSAML認証応答にて、SAMLアサーションを暗号化する際に使用するアルゴリズムを以下から選択・設定します。
「アサーションの暗号化」が有効な場合に利用され、以下の選択肢から設定します。

• http://www.w3.org/2009/xmlenc11#aes256-gcm
• http://www.w3.org/2009/xmlenc11#aes192-gcm
• http://www.w3.org/2009/xmlenc11#aes128-gcm
• http://www.w3.org/2001/04/xmlenc#aes256-cbc
• http://www.w3.org/2001/04/xmlenc#aes192-cbc
• http://www.w3.org/2001/04/xmlenc#aes128-cbc

本画面のサービスプロバイダーへのSAML設定の入力項目を自動補完する設定です。
サービスプロバイダーが提供するXML形式のメタデータファイルをアップロードするか、そのメタデータがWebで公開されている場合はURLを入力し、設定します。
設定されたメタデータを読み取り、エンティティIDやAssertion Consumer Service、ユーザーIDの属性（NameIDFormatがemailAddressの場合）やSP証明書などの値が自動的に補完されます。

URLを指定した場合は、登録時の設定補助に加え、定期的にURLからメタデータを取得して、証明書など現状の設定と差分があれば、情報を自動的に最新化します。

ユーザーポータル画面に表示されるリンクURLを入力します。
本設定が未指定の場合は、ユーザーポータルにサービスのリンクは表示されません。

サービスプロバイダーへのSAML認証応答時、SSOユーザーが持つ情報をSAMLSPへレスポンス送信する前に、属性情報をユーザーに提示し、同意を求める場合は「有効」にチェックを入れます。

• 属性値の更新後に再度同意を取得
  過去にユーザーが属性送信に同意し同意画面の再表示を行わない状態で、管理者操作などによって、ユーザーが持つ情報の中で、「送信する属性」で使用されている値に更新がある場合に、明示的にユーザーへの再同意を求める場合に利用します。
• ユーザー同意にて必須とする属性
  ユーザー同意画面でSSOユーザーの操作に関わらず、サービスへの認証応答として必ず送信したい属性がある場合に利用します。
  必須とさせる対象の属性名を選択します。
  必須とさせる属性は「送信する属性」または「送信する属性（固定値）」で指定した属性名が選択可能です。