目的
Cloudflare Zero Trust と Gluegent Gate を SAML で SSO 連携します。
Gluegent Gate とは
国産 IDaaS ソリューションです。
Gluegent Gate から証明書をダウンロード
Gluegent Gate 管理画面「システム」－「idP証明書」にて、「使用中」となっている証明書をダウンロードします。
次のステップで使用します。
Cloudflare (SP) 側で Gluegent Gate (IdP) を登録
以下の手順に沿って進めます。
Gluegent Gate (IdP) 側 SAML 情報は、以下からパラメータを参考にします。
Gluegent Gate のユーザーグループは groups として SAML attribute を登録することで、Cloudflare Gateway ポリシーの User Group セレクタで利用できます。
ユーザーグループ
このグループは Gluegent Gate のアクセス制御に利用できる他、連携するクラウドサービス (Google Workspace、Microsoft 365 など) のグループとしても同期されます。
| フィールド | 値 |
|---|---|
| Single sign-on URL | https://auth.gluegent.net/saml/saml2/idp/SSOService.php?tenant=<テナント ID> |
| IdP Entity ID or Issuer URL | https://slink.secioss.com/<テナントID> |
| Signing certificate | ダウンロードした証明書の中身 |
| Email attribute name | email |
| SAML attributes (Optional) |
emailseciossSystemIduidemployeeNumbersurNamegivenNamedisplayNamedepartmentseciossLocaleCodepreferredLanguageseciossGroupgroupsseciossSecurityGroupseciossBusinessRole など |
Gluegent Gate (IdP) 側で SAML SP (Cloudflare) を登録
以下リンク先の SP 側の情報 の手順に沿って進めます。
パラメータは以下の通りにします。
-
Generic SAML 2.0 · Cloudflare Zero Trust docs
1. Create an application in your identity provider
または「メタデータ > URL」から https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/saml-metadata を「読み込む」ことで以下の情報が自動で入力されます。
| フィールド | 値 |
|---|---|
| エンティティID | https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/callback |
| Assertion Consumer Service | https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/callback |
| ログアウトURL | https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/logout |
| IDの属性 | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress |
| ユーザーIDの属性 | メールアドレス |
| SP証明書 |
https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/certs の public_certs.cert から取得できる値 |
また、「送信する属性」は Cloudflare で設定した SAML attributes と一致させることでメタデータとして Cloudflare Zero Trust ポリシーに活用することができます。
Gluegent Gateで「ユーザー」の新規登録
SSO 連携をテストするためのユーザーを作成します。
許可するサービスで「Cloudflare Zero Trust」をチェックします。
Gluegent Gateで「認証」の設定
通常の「ID/パスワード認証」でのユーザーログインを許可する認証ルールを作成します。
Gluegent Gateで「アクセス権限」の設定
アクセス権限ルールで、認証に成功した接続に対し、Cloudflare Zero Trust サービスへの認可（アクセス権）を付与します。
シングルサインオン (SSO) でのログイン確認
以上の準備が整ったら、Cloudflare Zero Trust の Settings > Authentication から Gluegent Gate の SSO 連携をテストします。
Gluegent Gate の ID/パスワード認証画面に飛ばされてログインした後に以下のような画面となれば連携に成功しています。
Gateway ポリシーにおけるグループ設定確認
以下のように User Group Names セレクタ選択時に、リストとして表示されることが確認できます。
Gluegent Gate のユーザーグループは groups として SAML attribute を登録することで、Cloudflare Gateway ポリシーの User Group セレクタで利用できます。
ユーザーグループ
このグループは Gluegent Gate のアクセス制御に利用できる他、連携するクラウドサービス (Google Workspace、Microsoft 365 など) のグループとしても同期されます。
まとめ
一般的な SSO 連携方式である SAML 2.0 に対応している IdP であれば、Cloudflare Zero Trust と簡単に連携できることが確認できました。
Gluegent Gate を主な IdP としている日本企業も安心して Cloudflare Zero Trust を利用できます。