Microsoft Entra ID SAML 実装

この記事には、SAML 2.0を介したSSOでのログインを設定するためのAzure特有のヘルプが含まれています。別のIdPでSSOを使用したログインの設定についてのヘルプは、

を参照してください。

設定は、BitwardenウェブアプリとAzure Portalを同時に操作することを含みます。進行するにあたり、両方をすぐに利用できる状態にして、記録されている順序で手順を完了することをお勧めします。



tip

すでにSSOの専門家ですか？この記事の指示をスキップして、自分の設定と比較するためのサンプル設定のスクリーンショットをダウンロードしてください。



クイックリファレンスガイド

Bitwardenウェブアプリにログインし、製品スイッチャー（）を使用して管理者コンソールを開きます。

あなたの組織の設定 → シングルサインオン画面を開きます：

まだ作成していない場合は、あなたのSSO識別子を組織用に作成し、タイプのドロップダウンからSAMLを選択してください。この画面を開いたままにして、簡単に参照できるようにしてください。

この段階で、必要であればユニークなSPエンティティIDを設定するオプションをオフにすることができます。これを行うと、組电IDがSPエンティティID値から削除されますが、ほとんどの場合、このオプションをオンにしておくことをお勧めします。



tip

代替のメンバー復号化オプションがあります。

信頼できるデバイスでのSSOの使い方

または

キーコネクター

の使い方を学びましょう。

Azure Portalで、Microsoft Entra IDに移動し、ナビゲーションメニューからエンタープライズアプリケーションを選択します:

 新しいアプリケーション ボタンを選択してください:

Microsoft Entra IDギャラリー画面で、 あなた自身のアプリケーションを作成するボタンを選択します:

あなた自身のアプリケーションを作成する画面で、アプリケーションにユニークでBitwarden特有の名前を付け、（ギャラリー以外）のオプションを選択してください。終了したら、作成ボタンをクリックしてください。

アプリケーション概要画面から、ナビゲーションからシングルサインオンを選択してください。

シングルサインオン画面で、SAMLを選択してください。

編集ボタンを選択し、次のフィールドを設定してください：

Azureによって構築されるデフォルトのクレームは、SSOでのログインで動作しますが、必要に応じてこのセクションを使用して、AzureがSAMLレスポンスで使用するNameIDフォーマットを設定することができます。

編集ボタンを選択し、ユニークユーザー識別子（名前ID）エントリを選択してNameIDクレームを編集します：

オプションには、デフォルト、メールアドレス、永続的、未指定、およびWindowsの資格付けられたドメイン名が含まれます。詳細については、

を参照してください。

後のステップで使用するために、Base64証明書をダウンロードしてください。

。

このセクションのログインURLとMicrosoft Entra ID識別子をコピーまたはメモして、

してください：



note

If you receive any key errors when logging in via SSO, try copying the X509 certificate information from the Federation Metadata XML file instead.

ナビゲーションからユーザーとグループを選択してください。

ユーザーまたはグループレベルでSSOアプリケーションへのログインアクセスを割り当てるには、ユーザー/グループを追加ボタンを選択してください。

この時点で、Azure Portalのコンテキスト内で必要なすべてを設定しました。設定を完了するためにBitwardenウェブアプリに戻ってください。

シングルサインオン画面は、設定を2つのセクションに分けています：

• SAML サービス プロバイダーの構成によって、 SAML リクエストの形式が決まります。

• SAML IDプロバイダーの設定は、SAMLのレスポンスで期待する形式を決定します。

次のフィールドを設定してください:

サービスプロバイダーの設定が完了したら、作業を保存してください。

IDプロバイダーの設定では、アプリケーションの値を取得するために、しばしばAzure Portalを参照する必要があります。



note

X509証明書を完成させるとき、有効期限の日付をメモしてください。SSOエンドユーザーへのサービスの中断を防ぐために、証明書を更新する必要があります。証明書が期限切れになった場合でも、管理者と所有者のアカウントは常にメールアドレスとマスターパスワードでログインできます。

IDプロバイダーの設定が完了したら、保存してください。



tip

シングルサインオン認証ポリシーを有効にすることで、ユーザーにSSOでログインすることを要求することができます。メモしてください、これは単一の組織ポリシーも同時に活性化する必要があります。

もっと学ぶ

設定が完了したら、

に移動して、メールアドレスを入力し、続行を選択し、エンタープライズシングルオンボタンを選択してテストしてください。

設定された

を入力し、ログインを選択してください。あなたの実装が正常に設定されている場合、Microsoftのログイン画面にリダイレクトされます。

あなたのAzureの認証情報で認証した後、Bitwardenのマスターパスワードを入力して保管庫を復号化してください！



note

Bitwardenは勝手なレスポンスをサポートしていませんので、あなたのIdPからログインを開始するとエラーが発生します。SSOログインフローはBitwardenから開始されなければなりません。Azure SAML管理者は、ユーザーがBitwardenウェブ保管庫ログインページに誘導されるように

アプリ登録

を設定することができます。

1. 既存のBitwardenボタンを無効にするには、すべてのアプリケーションページで現在のBitwardenエンタープライズアプリケーションに移動し、プロパティを選択し、ユーザーに表示オプションをいいえに設定します。

2. アプリ登録に移動して、新規登録を選択することでアプリ登録を作成します。

3. アプリケーションに名前を付けてください。例えば、Bitwarden SSOなど。リダイレクトURLを指定しないでください。フォーラムを完了するには、登録を選択してください。

4. アプリが作成されたら、ナビゲーションメニューにあるブランディング＆プロパティに移動します。

5. 次の設定をアプリケーションに追加してください：

   1. エンドユーザーの認識のためにロゴをアップロードしてください。Bitwardenのロゴは

      ここ
      から取得できます。

   2. ホームページのURLをあなたのBitwardenクライアントログインページ、例えばhttps://vault.bitwarden.com/#/loginまたはyour-self-hostedURL.comに設定します。

このプロセスが完了すると、指定されたユーザーはBitwardenアプリケーションを持つことになり、それによりユーザーは直接Bitwardenのウェブ保管庫ログインページにリンクされます。