Microsoft Entra IDを使用してWorkflow appsにSAMLベースのSSOを適用する
このガイドでは、Microsoft Entra IDを使用してWorkflow appsのSAMLベースのSSO認証を設定する方法を説明します。 Workflow appsとMicrosoft Entra IDの間でユーザーグループ同期を有効化する手順が含まれており、IDプロバイダー(IdP)を通じて特定のWorkflow appsへのアクセスを管理できます。
設定には、Workflow apps portalから値を取得し、Microsoft Entra IDでエンタープライズアプリケーションを作成し、ユーザーグループを同期し、Workatoで設定を完了する作業が含まれます。
WORKATO IDENTITY SAMLベースSSO用ではありません
このドキュメントはWorkflow apps専用です。 Agent Studio、Workato GO、MCPなどのWorkato Identity機能のSAML認証を設定するには、Workato Identity SAMLベースSSOを参照してください。
デフォルトのセッション期間
グループ同期を有効にせずにSAMLベースのSSOを使用して認証する場合、デフォルトのセッション期間は7日間です。 グループ同期を有効にしている場合、デフォルトのセッションタイムアウトは1日です。
条件付きアクセスのサインイン頻度ポリシーを使用して、ユーザーがMicrosoft Entra IDで再認証する必要がある頻度を制御できます。
前提条件
このガイドの手順を完了するには、以下が必要です。
Workato内:
- ワークスペースの権限モデルに応じて、次のいずれかが必要です:
- レガシーロール: AdminまたはAnalystのシステムロール。
- RBAC 2.0: Apps portal > Settings権限を付与するEnvironmentロール（Environment adminやEnvironment managerなど）。
- Workflow appsへのアクセス。
Microsoft Entra ID内:
- エンタープライズアプリケーションの追加、編集、管理を可能にする権限。
- ユーザーおよびグループを作成し、ユーザーをグループに割り当て、ユーザーおよびグループをアプリケーションに割り当てることができる権限。
Workatoから値を取得する
Microsoft Entra IDを設定するには、Workflow apps portalのシングルサインオンURLとサービスプロバイダー(SP)エンティティIDが必要です。 これらの値は、ポータルの認証方法をSAMLベースのSSOに設定した後に表示されます。
Workatoにサインインします。
プラットフォーム > Workflow apps portal > ポータル設定 > セキュリティに移動します。
認証方法フィールドでSAMLベースのSSOを選択します。 ポータルにシングルサインオンURLとサービスプロバイダー(SP)エンティティIDが表示されます。
シングルサインオンURLとサービスプロバイダー(SP)エンティティIDをコピーします。
URL形式は異なります
シングルサインオンURLとサービスプロバイダー(SP)エンティティIDは、Workflow apps portalのサブドメインまたはカスタムドメイン、ならびにアカウントが配置されているデータセンターごとに固有です。 これらは次の形式に従います。{subdomain}はポータルのサブドメイン、{custom-domain}はカスタムドメイン名です:
- シングルサインオンURL
- デフォルトドメイン:
https://{subdomain}.workato.app/portal/sso/saml/acs - カスタムドメイン:
https://{custom-domain}/portal/sso/saml/acs
- デフォルトドメイン:
- サービスプロバイダー（SP）のエンティティID
- デフォルトドメイン:
https://{subdomain}.workato.app/portal/sso/saml/metadata - カスタムドメイン:
https://{custom-domain}/portal/sso/saml/metadata
- デフォルトドメイン:
エンタープライズアプリケーションを作成する
Complete the following steps to register an enterprise application in Microsoft Entra ID and configure SAML-based SSO for your Workflow apps portal:
Sign in to the Microsoft Entra admin center.
Go to Entra ID > Enterprise apps > All applications and click New application.
独自のアプリケーションの作成をクリックします。
Provide a unique name for the app in the What's the name of your app? field. 例: Workflow apps。
ギャラリーにないその他のアプリケーションを統合します（ギャラリー以外）を選択し、作成をクリックします。
管理＞シングルサインオンに移動し、シングルサインオン方式としてSAMLを選択します。
基本的なSAML構成セクションに移動し、編集をクリックします。
Enter the values you retrieved from Workato:
| Workato value | Microsoft Entra ID field |
|---|---|
| サービスプロバイダー（SP）のエンティティID | 識別子（Entity ID） |
| シングルサインオンURL | 応答URL（Assertion Consumer Service URL） |
保存をクリックします。
Basic SAML Configuration in Microsoft Entra ID
属性とクレームセクションに移動し、編集をクリックします。
Click + Add new claim, add the following attribute, and click Save:
| 名前 | ソース属性 |
|---|---|
workato_app_user_name | user.displayname |
The user name claim in Microsoft Entra ID
任意です。 Sync user group assignments between Microsoft Entra ID and the Workflow apps portal. Skip this step if you don't plan to manage user groups through Microsoft Entra ID.
Click + Add a group claim, configure the following settings, and click Save:
| 設定 | 値 |
|---|---|
| Which groups associated with the user should be returned in the claim? | アプリケーションに割り当てられているグループ |
| ソース属性 | クラウドのみのグループ表示名 |
| グループクレームの名前をカスタマイズ | 有効 |
| 名前 | workato_app_user_groups |
| 名前空間 | 空のままにする |
The group claim in Microsoft Entra ID
Go back to Manage > Single sign-on, scroll to the SAML Certificates section, and copy the App Federation Metadata URL. You paste this value into Workato in Complete setup in Workato.
VIRTUAL PRIVATE WORKATO (VPW)のお客様
この機能を使用するには、お使いのVirtual Private Workato（VPW）インスタンスに固有の設定手順が必要です。 VPWをご利用のお客様は、インスタンスの設定詳細について、VPWのプライベートドキュメントを参照してください。
Microsoft Entra IDのSAMLユーザーグループ同期を設定する
Microsoft Entra IDとWorkflow apps portalの間でユーザーグループの割り当てを同期できます。 このセクションは、Microsoft Entra IDを通じてユーザーグループを管理する場合にのみ必要です。 エンタープライズアプリケーションを作成するでグループ要求を追加したら、同期を完了するためにグループとユーザーをアプリケーションに割り当てます。
グループ名は一致している必要があります
Workflow apps portalのユーザーグループ名は、Microsoft Entra IDのグループ表示名と完全に一致している必要があります。 名前が一致しない場合、グループの割り当ては同期されず、ユーザーは意図したアプリアクセスを受け取りません。
このプロセスには、次のタスクが含まれます:
グループをアプリケーションに割り当てる
Microsoft Entra IDグループをアプリケーションに割り当てるには、次の手順を実行します:
Microsoft Entra管理センターにサインインし、アプリケーションを開きます。
管理 > ユーザーとグループに移動します。
+ ユーザーまたはグループの追加をクリックします。
表示名がWorkflow apps portalのユーザーグループ名と一致するグループを1つ以上選択します。
割り当てをクリックします。
ユーザーをアプリケーションに割り当てる
ユーザーにアプリケーションへのアクセス権を付与するには、次の手順を実行します:
アプリケーションに割り当てたMicrosoft Entra IDグループにユーザーを追加します。 ユーザーは、Workflow apps portal内の一致するユーザーグループに付与されたものと同じアクセス権を受け取ります。
ユーザーがサインインしてWorkflow appsにアクセスできるように、Workflow apps portalのURLをユーザーに提供します。
Workatoで設定を完了する
Workatoに戻ってMicrosoft Entra IDのメタデータを提供し、SAMLベースのSSOを適用します。 次の手順を完了します:
Workatoにサインインします。
プラットフォーム > Workflow apps portal > ポータル設定 > セキュリティに移動します。
認証方法フィールドがSAMLベースのSSOに設定されていることを確認します。
Workato SAML設定
IDプロバイダーのメタデータURLはありますかフィールドではいを選択し、Microsoft Entra IDからコピーしたアプリのフェデレーションメタデータURLを貼り付けます。
SAML認証の適用対象フィールドを使用して、SAML認証をすべてのWorkflow appsユーザーに適用するか、特定のドメインのユーザーのみに適用するかを指定します。 指定されたドメイン外のユーザーは、パスワード認証でサインインできます。
任意です。 JIT (Just-In-Time)プロビジョニングを有効化をクリックすると、ユーザーがSSO経由で初めてサインインしたときにポータルに自動的に追加されます。
ユーザーグループ同期を有効化をクリックして、Microsoft Entra IDからユーザーグループを同期します。 Microsoft Entra IDを通じてユーザーグループを管理する予定がある場合、この手順は必須です。
グループ同期のタイミング
ユーザーグループ同期はすぐには有効になりません。 ユーザーがMicrosoft Entra IDを通じてポータルにサインインするたびに適用されます。
グループ同期に必要なSAML属性は、エンタープライズアプリケーションを作成するで設定されています。 そのセクションを完了している場合、ここで追加の設定は必要ありません。
変更を保存をクリックします。
最終更新日: