Umbrellaでのマルチ組織およびMSPコンソール用のSAMLによるSSOの設定

はじめに

このドキュメントでは、Umbrellaのマルチ組織およびMSPコンソールのSAMLでシングルサインオン(SSO)を設定する方法について説明します。

SSO設定の範囲と制限事項

• この記事は、SAMLを使用してMulti-OrgまたはMSP UmbrellaコンソールをSSOプロバイダーと統合する場合に固有のものです。
• この記事では、一般的なSAML設定手順については説明しません。一般的な設定については、ドキュメント『シングルサインオンの有効化』を参照してください。
• SSO設定は、STC、MSSP、POV、またはCisco CECログインを使用するコンソールのユーザアカウントでは使用できません。Cisco CECを使用してログインするユーザは、別のSSOプロバイダーを使用できません。

マルチ組織またはMSPコンソールのSSO

Multi-OrgコンソールおよびMSPコンソールは、コンソールから直接SAML設定をサポートしていません。SSOは子組織レベルで有効にする必要があります。コンソール管理者に対してSSOを有効にするには、次の手順を実行します。

1. Single Sign Onという名前の新しい子組織を作成します。この組織は、SSOユーザ以外は空のままです。
2. シングルサインオン組織で新しいユーザを作成します。
   • このユーザはSAML設定に必要で、アイデンティティプロバイダーにも存在している必要があります。
   • SAMLは、MSPまたはマルチ組織管理者アカウントを使用して設定することはできません。ただし、この管理者が子組織に直接追加されている場合は除きます。
3. 「ファイルが見つかりません(File Not Found)」などのエラーが表示された場合は、現在ログインしているユーザが、SSOを設定している組織のダッシュボードでAdmin > Accountsの順に選択した管理者であることを確認します。
4. Umbrellaダッシュボードにシングルサインオンユーザとしてログインします。
5. シングルサインオン組織でSSO(SAML)を設定します。
6. 子組織ダッシュボードから読み取り専用として「シングルサインオン」組織に既存の管理者を招待します。
   • 承認されると、これらのユーザーは管理コンソールとこの単一の組織の両方のメンバーになります。
   • これらのユーザはSSO経由でサインインし、アカウントパスワードを使用する必要があります。
     
     
     

     警告：複数のSSO対応の子組織にユーザーを追加しないでください。1人のユーザーが複数のSSO対応の子組織に追加されると、そのユーザーは、別の管理者がそのユーザーを追加のSSO対応の組織から削除するまで、ダッシュボードからロックアウトされます。

よく寄せられる質問（FAQ）

Q:STC、MSSP、またはパートナーポータルを所有している場合、独自のSSOを使用できますか。

A：いいえ。Cisco IT Oktaパートナーポータルを使用する必要があります。Umbrellaへのアクセスは、Oktaアクセスレベルによって決定されます。取り消されたか無効になったOktaアカウントには、Umbrellaアクセス権がありません。

Q:1つの子組織のSSOは、ユーザのすべてのログインに適用されますか。

A：はい。ユーザはSSO経由でサインインする必要があり、SSOで認証されなければ組織にアクセスできません。

Q：複数の子組織でSSOを有効にできますか。

A：はい。ただし、SSOに設定する必要がある子組織は1つだけです。シングルサインオン組織に読み取り専用でユーザを追加し、任意のアカウントにSSOを適用します。

Q：なぜ読み取り専用なのですか。

A：これは必須ではありませんが、この空の組織の設定を変更することなく、任意のアカウントを組織に追加できます。

Q:SSOが有効な2番目の組織にユーザを追加するとどうなりますか。

A：ユーザがサインインできなくなります。少なくとも1つのSSO組織からユーザーを削除するか、サポートに問い合わせてアクセスを復元してください。

Q:SAMLを設定すると、検証テストが失敗し、「FILE NOT FOUND」エラーが表示されます。これは、なぜですか。

A：これは、SAML設定がMSPまたはMulti-Orgの管理者アカウントを使用して試行された場合に発生します。シングルサインオン組織のアカウントを使用してSAML設定を実行します。