SAML SSO セットアップ

すべてのセットアップには組織 ID が必要です。組織 ID を取得するには：

1. ClickHouse Cloud 組織にサインインします。

   

2. 左下隅で、Organization の下にある組織名をクリックします。

3. ポップアップメニューで Organization details を選択します。

4. 以下で使用するために Organization ID をメモします。

ClickHouse はサービス プロバイダーが開始する SAML 接続を使用します。つまり、https://console.clickhouse.cloud または直接リンクを介してログインできます。現在、アイデンティティ プロバイダーが開始する接続はサポートしていません。基本的な SAML 設定には次のものが含まれます：

• SSO URL または ACS URL: https://auth.clickhouse.cloud/login/callback?connection={organizationid}

• Audience URI または Entity ID: urn:auth0:ch-production:{organizationid}

• アプリケーションユーザー名: email

• 属性マッピング: email = user.email

• 組織へのアクセス用直接リンク: https://console.clickhouse.cloud/?connection={organizationid}

  特定の設定手順については、以下のアイデンティティ プロバイダーに関する情報を参照してください。

アイデンティティ プロバイダーの SSO URL と x.509 証明書を取得します。この情報を取得する方法については、以下の特定のアイデンティティ プロバイダーを参照してください。

1. ClickHouse Cloud コンソールに戻ります。

2. 左の Help を選択し、次に Support サブメニューを選択します。

3. New case をクリックします。

4. 件名に「SAML SSO Setup」と入力します。

5. 説明に、上記の手順から収集したリンクを貼り付け、チケットに証明書を添付します。

6. この接続を許可するべきドメインもお知らせください（例: domain.com、domain.ai など）。

7. 新しいケースを作成します。

8. ClickHouse Cloud 内でセットアップを完了し、テストの準備ができたらお知らせします。

1. アイデンティティ プロバイダー内でユーザーアクセスを割り当てます。

2. https://console.clickhouse.cloud または上記の「SAML 統合の設定」で構成した直接リンクを介して ClickHouse にログインします。ユーザーには最初に「Member」ロールが割り当てられ、組織にログインし、個人設定を更新できます。

3. ClickHouse 組織からログアウトします。

4. 元の認証方法でログインし、新しい SSO アカウントに Admin ロールを割り当てます。

• メール + パスワードのアカウントの場合は、https://console.clickhouse.cloud/?with=email を使用してください。
• ソーシャルログインの場合は、適切なボタンをクリックしてください (Continue with Google または Continue with Microsoft)

5. 元の認証方法でログアウトし、再度 https://console.clickhouse.cloud または上記の「SAML 統合の設定」で構成した直接リンクを介してログインします。

6. 非 SAML ユーザーを削除して、組織の SAML を強制します。今後はユーザーがアイデンティティ プロバイダーを通じて割り当てられます。

1. Administrator として Okta インスタンスにログインします。

2. 左の Groups を選択します。

3. Add group をクリックします。

4. グループの名前と説明を入力します。このグループは、SAML アプリと関連するブックマークアプリの間でユーザーを一貫性を保つために使用されます。

5. Save をクリックします。

6. 作成したグループの名前をクリックします。

7. Assign people をクリックして、この ClickHouse 組織にアクセスさせたいユーザーを割り当てます。

1. 左の Applications を選択し、次に Applications のサブヘディングを選択します。

2. Browse App Catalog をクリックします。

3. Bookmark App を検索して選択します。

4. Add integration をクリックします。

5. アプリのラベルを選択します。

6. URL を https://console.clickhouse.cloud/?connection={organizationid} として入力します。

7. Assignments タブに移動し、上記で作成したグループを追加します。

1. 左の Applications を選択し、次に Applications のサブヘディングを選択します。

2. Create App Integration をクリックします。

3. SAML 2.0 を選択し、次に Next をクリックします。

4. アプリケーション名を入力し、Do not display application icon to users の横のボックスにチェックを入れてから Next をクリックします。

5. SAML 設定画面を以下の値で入力します。

   フィールド	値
   シングルサインオン URL	https://auth.clickhouse.cloud/login/callback?connection={organizationid}
   Audience URI (SP Entity ID)	urn:auth0:ch-production:{organizationid}
   デフォルト RelayState	何も入力しない
   Name ID 形式	指定なし
   アプリケーションユーザー名	Email
   アプリケーションユーザー名を更新する	作成して更新

6. 以下の Attribute Statement を入力します。

   名称	名称形式	値
   email	Basic	user.email

7. Next をクリックします。

8. フィードバック画面でリクエストされた情報を入力し、Finish をクリックします。

9. Assignments タブに移動し、上記で作成したグループを追加します。

10. 新しいアプリの Sign On タブで View SAML setup instructions ボタンをクリックします。

    

11. これら 3 つの項目を集め、プロセスを完了するために「サポートケースを提出する」を参照してください。

• アイデンティティ プロバイダーのシングル サインオン URL
• アイデンティティ プロバイダーの発行者
• X.509 証明書

1. Google 管理コンソール (admin.google.com) にアクセスします。

2. 左の Apps をクリックし、次に Web and mobile apps をクリックします。

3. 上部メニューから Add app をクリックし、次に Add custom SAML app を選択します。

4. アプリの名前を入力し、Continue をクリックします。

5. 次の 2 つの項目を集め、「サポートケースを提出する」のステップに進み、情報を送信します。注意：このデータをコピーする前にセットアップを完了した場合は、アプリのホーム画面から DOWNLOAD METADATA をクリックして X.509 証明書を取得します。

• SSO URL
• X.509 証明書

7. 以下の ACS URL と Entity ID を入力します。

   フィールド	値
   ACS URL	https://auth.clickhouse.cloud/login/callback?connection={organizationid}
   Entity ID	urn:auth0:ch-production:{organizationid}

8. Signed response のチェックボックスをオンにします。

9. 名称 ID フォーマットに EMAIL を選択し、名称 ID を Basic Information > Primary email. として残します。

10. Continue をクリックします。

11. 以下の属性マッピングを入力します：

13. Finish をクリックします。

14. アプリを有効にするために、すべてのユーザーに対して OFF をクリックし、設定を ON に変更します。アクセスは、画面左側のオプションを選択することで、グループまたは組織単位に制限することもできます。

各組織のために独自のサインオン URL を持つ 1 つのアプリケーション統合を設定します。

1. Microsoft Entra 管理センターにログインします。

2. 左の Applications > Enterprise アプリケーションに移動します。

3. 上部メニューの New application をクリックします。

4. 上部メニューの Create your own application をクリックします。

5. 名前を入力し、Integrate any other application you don't find in the gallery (Non-gallery) を選択してから Create をクリックします。

   

6. 左の Users and groups をクリックし、ユーザーを割り当てます。

7. 左の Single sign-on をクリックします。

8. SAML をクリックします。

9. 基本的な SAML 設定画面を以下の設定で入力します。

   フィールド	値
   Identifier (Entity ID)	urn:auth0:ch-production:{organizationid}
   Reply URL (Assertion Consumer Service URL)	https://auth.clickhouse.cloud/login/callback?connection={organizationid}
   Sign on URL	https://console.clickhouse.cloud/?connection={organizationid}
   Relay State	空白
   Logout URL	空白

10. 属性および請求の下に次の項目を追加 (A) または更新 (U) します：

    クレーム名	形式	ソース属性
    (U) Unique User Identifier (Name ID)	メールアドレス	user.mail
    (A)メール	Basic	user.mail
    (U) /identity/claims/name	省略	user.mail

    

11. プロセスを完了するために、上記で「サポートケースを提出する」で参照した 2 つのアイテムを集めます：

• ログイン URL
• 証明書 (Base64)

1. Duo Single Sign-On for Generic SAML Service Providers の指示に従います。

2. 次のブリッジ属性マッピングを使用します：

   ブリッジ属性	ClickHouse 属性
   メールアドレス	email

3. Duo のクラウドアプリケーションを更新するために次の値を使用します：

   フィールド	値
   Entity ID	urn:auth0:ch-production:{organizationid}
   Assertion Consumer Service (ACS) URL	https://auth.clickhouse.cloud/login/callback?connection={organizationid}
   サービスプロバイダーログインURL	https://console.clickhouse.cloud/?connection={organizationid}

4. プロセスを完了するために、上記で「サポートケースを提出する」で参照した 2 つのアイテムを集めます：

   • シングル サインオン URL
   • 証明書