特定の対象者向けページに SAML を要求する

特定の対象者向けページのシングル サインオンによって、ステータス ページを従業員のみに完全に限定して既存の SSO 資格情報で認証し、ページの表示と通知のサブスクライブの両方を行えます。Statuspage はいくつかの ID プロバイダーを公式にサポートしており、SAML 2.0 を使用する任意の IdP と統合できます。

注: 特定の対象者向けページの SSO には、すべての非公開ステータス ページが付属しています。SSO 従業員の数は非公開ページ プランに依存します。

ページ閲覧者の SAML を設定する

次のチュートリアルでは、従業員閲覧者向けの Statuspage SSO と統合するカスタム SAML アプリケーションを作成する方法について説明します。デモンストレーションのために Okta 内にカスタム アプリケーションを作成します。これらのステップは IdP の設定によって若干異なる場合があることにご注意ください。

1. 左側のサイドバーで [Your page (自分のページ)] をクリックします。

2. 左側のサイドバーに表示される 2 番目のメニューから [認証] をクリックします。

   • 認証タブが表示されない場合は、ご利用のアカウントで SSO が有効になっていないため、サポートについてお問い合わせください。

3. [SAML] の横にある [Configure (設定)] をクリックします。

4. このフォームの上部に、[ACS URL / Consumer URL (ACS URL / コンシューマー URL)] と [EntityID/Audience URL (EntityID/対象者 URL)] という 2 つの値が表示されます。これらの値は IdP 内で必要になります。

   • また、この組織のサービス プロバイダー メタデータ XML ファイルをクリックして、未処理の SAML メタデータを表示できます。

Okta における特定の対象者向け設定

特定の対象者向けグループにマップするように SAML アサーションを設定する必要があります。これには、Statuspage と Okta の両方の設定が必要です。

特定の対象者向けページに SAML を設定すると、Statuspage のメタデータに 2 つの追加属性が必要になることがわかります。その内の 1 つは「groups」と呼ばれます。Statuspage が受信 SAML アサーションを解析する際に、この値を解析して受信ユーザーに対してどの特定の対象者向けグループを照合するかを決定します。「groups」という属性を送信するように SAML アサーションを設定します。この属性には、グループ名またはその他の一意の ID のどちらかが含まれます。

1. Okta 管理者ポータルに移動して Statuspage.io アプリケーションを開きます。

2. [サインオン] タブを選択します。

3. 編集をクリックします。

4. [groups (グループ)] ドロップダウンで [Regex] を選択して、その隣のテキスト フィールドに ".*" を追加します。Regex 設定ではフィルタリングできるようになり、Okta アプリケーションがユーザーのグループ属性を渡せます。

5. [保存] をクリックします。

6. [Directory (ディレクトリ)] リンクをクリックします。

7. [Profile Editor (プロファイル エディタ)] を選択します。

8. Statuspage アプリケーションを選択または検索して、[Edit Profile (プロファイルを編集)] ボタンをクリックします。

9. [+Add Attribute (+ 属性を追加)] ボタンをクリックします。

10. [Display Name (表示名)] フィールドと [Variable Name (変数名)] フィールドに「Groups」という単語を入力します。

11. [Attribute Required (必要な属性)] チェックボックスをオンにします。

12. [保存] をクリックします。

Statuspage における特定の対象者向け設定

1. Statuspage 管理ポータルにログインして [Audience (対象者)] セクションを選択します。[Groups (グループ)] タブが表示されていることを確認して、[+Add Group (+ グループを追加)] ボタンをクリックします。

2. Okta からグループ名と外部 ID を追加します。ここで使用される外部 ID は Okta のグループ名です。

   • Statuspage 内の [Group Name (グループ名)] に指定はありませんが、[External Identifier (外部 ID)] は Okta 内の対応する [Group Name (グループ名)] と同じである必要があります。

3. シークレット/プライベート ブラウザ ウィンドウを開いて (キャッシュされた設定が使用されないようになります) Statuspage に移動します。これによって Okta ログイン ウィンドウが表示されます。

4. Statuspage で作成されたグループに属するユーザーの認証情報を使用してログインします。設定と構成が正しければユーザーはログイン済みになります。

特定の対象者向け Statuspage アカウントでシングル サインオンが有効になりました。

トラブルシューティング

特定の対象者向けページに SSO を設定する際に発生する最も一般的な問題では、エラー メッセージ [Hmmm, Looks like you’re sending a valid assertion, but we couldn’t match your group identifier with a Page Access Group! Are you sending the right value? (有効なアサーションが送信されているようですが、グループ ID がページ アクセス グループと一致しません。正しい価を送信していますか?)] が表示されます。

このメッセージは、Statuspage の表示が許可されている特定の対象者向けグループにユーザーが関連付けられていないことを示します。これを解決する主なステップは、ユーザーが Statuspage で設定された Okta のグループに属していることを確認することです。

特定の対象者向け環境の Okta SSO のセットアップで問題が発生した場合は、お問い合わせください。