20～40分、パイロットチェックなど、SSOの組織全体を強化する前に、セットアップを検証します。

このガイドは、AutoRFP.ai 組織管理者誰かと一緒に働くアプリケーション管理者またはグローバル管理者Microsoft Entra ID の権限 - エンタープライズ アプリケーションの作成と SAML の設定に必要な権限。

始める前に、必ず次のことを行ってください。

!!～重要:SSOは組織全体の変化です。 それを強制したら、すべて組織のAutoRFP ユーザは、Microsoft Entra ID でサインインし、AutoRFP パスワードベースのログインは動作を停止します。 電子メール/UPN の不一致は、執行後に失敗したログインの単一の最も一般的な原因です。強制する前にそれらを調整します。

リリース用語解説:Microsoft Entra ID が以前に呼び出されましたAzure Active Directory (Azure AD) のライセンス. 一部のMicrosoft画面、エラーメッセージ、および古いドキュメントは、旧名を引き続き使用しています。

AutoRFP は動きます3つの地域、それぞれ独自のSAML接続値のセット。

使い方間違った領域の値は最も一般的な設定ミスの1つですそのため、Entra で変更を加える前に、組織の署名をどのホスト名で指定するかを確認します()app.autorfp.ai, us.autorfp.aiまたはチャット).

以下のカードは、各地域の値を示します。

リリースこのガイドのスクリーンショットについて。米国の地域(アメリカ)で下がる散歩道は、us.autorfp.ai)、従ってスクリーンショットはショーしますツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ ツ, https://auth.us.autorfp.ai/__/auth/handlerとhttps://us.autorfp.ai/. スクリーンはあらゆる地域で同一です。 組織がサインインする場合app.autorfp.aiまたはチャット上記のカードから自分の行を置換します。

ログインヒント:AutoRFP のカスタム SSO ウィザード (パート 1 、以下) では、特定のワークスペースのこれらの値も表示されます。 ウィザードのショーとは何かが異なり、wizard の値を使う.

以下のスクリーンショットはuser.mailを使用します。 テナントのメール属性が空であるか、またはAutoRFPアカウントのアドレスと異なる場合は、代わりにuser.userprincipalnameを使用して、電子メールのクレームと名前のIDの両方を一貫してマップします。

カスタムSAML SSOの設定は、3つの場所に触れます。AutoRFPカスタムSSOウィザード、Microsoft Entra管理センター、および(ユーザー割り当て)。 注文する部品を通して働きます。

組織設定 > 統合。 利用するカスタムマイクロソフトカードではなく、カード。

リリースNote: wizard のフィールド名は Entra と一致しません。AutoRFP のカスタム SSO ウィザードは、「URL を返信」または「エンティティティ ID」と言わず、同じ 3 つの値をラベル付けします。URL上のシングルサイン, オーディエンス URI(SPエンティティティID)とデフォルトのリレー状態. wizard から Entra の Basic SAML の構成にコピーする場合、以下のようにマップします。

後でこれを混乱させないでください。ログイン URLwizard(パート2、ステップ5)に戻ります。これは、同様の名前のラベルを運ぶために起こる異なる値です。

エンタープライズアプリ > 新規アプリケーション > 独自のアプリケーションを作成します。 非ギャラリーのオプションを選択します。

新しいアプリケーションで開くシングルサインオン選択するSAML.

選択する編集お問い合わせ基本的なSAML構成上記の表から地域の値を入力する:

識別子、米国地域のURLとリレーの状態を応答します。 独自の領域の値を置換し、保存します。

選択する保存 保存.

期待される結果:基本的なSAML設定パネルは、分岐時に保存したIdentifier、応答URL、およびRelay Stateを表示します。

AutoRFP は、各ユーザに対してアサートされた 1 つのメール型のクレームを必要とします。 インスタグラム属性とクレーム, 次のクレーム名のいずれかが送信されていることを確認してください, ユーザーのメールまたは UPN にマッピング:

リリース確認:どちらでもメールアドレスクレームと名前 ID は、ライブエントラ ↔ AutoRFP 接続で終了するために終了を確認しました。 以下のスクリーンショットを使用ユーザーメール. あなたのテナントのメールアドレス属性は空で、またはAutoRFPアカウントのアドレスと異なる、ユーザ名代わりに両方のマップメールアドレスクレームと名前 ID を一貫して取得します。

!!～重要:メールアライメント。ユーザの既存のAutoRFPアカウント(ケースは正規化されますが、ローカル部分とドメインは一致しなければなりません)のメールアドレスに正確に一致しなければなりません。 組織のメールアドレスがUPNと異なる場合、AutoRFPと一致するソース属性を選択し、全員に一貫してマップします。不正な一致は、執行後に失敗したサインインの最も一般的な原因です。

名前付きクレームを追加メールアドレス, ソースユーザーメール. 名前空間空白のままにします。

設定するお名前 身分証明書(ユーザーを一意に識別する SAML 値) は以下のとおりです。

名前 ID 形式をセットするメールアドレスsource 属性をユーザーメール.

あなたの属性とクレームは、IdP値を集める前にこのように見えるはずです。

それでもSAML設定ページでは、これらの3つの値をコピーします。パート4でAutoRFPのウィザードに貼り付けます。

ダウンロード証明書(Base64)セクション3から、コピーしますログイン URLとマイクロソフト・エントラの識別子セクション4から

接続を確認する前に、エンタープライズアプリケーションに少なくとも自分自身を割り当てます。 Entra は、割り当てられたユーザが SAML のサインインを完了させるだけを許可します。

ユーザーとグループ > ユーザー/グループを追加します。 確認する前に、またはテストサインインが失敗します。

期待される結果:パイロットのユーザーは、ユーザーとグループアプリケーションのリスト。

リリース注意:ご利用者様コメントはありませんエンタープライズ アプリケーションに割り当てられた SAML は、SSO を強制すると、そのメールが完全に一致しても、SAML のサインインを完了できません。 ユーザーが実行後にサインインできないことを報告した場合、最初の割り当てを確認し、メールのアライメントを確認します。

Entra から 3 つの値を貼り付け、選択します。検証. 証明書はBEGINおよびENDラインを保つ必要があります。

!!～重要:ポップアップブロッカー。Verify は、Microsoft のサインインポップアップウィンドウに依存します。 ブラウザやエクステンションブロックが AutoRFP のポップアップの場合、エラーが発生するか、または Verify は選択した時に何もしないように見えるかもしれません。 AutoRFP 領域のドメインのポップアップを許可し、もう一度お試しください。

期待される結果:ポップアップで署名した後、ウィザードは成功状態を示し、強制的なステップに進みます。

Verifyが失敗した場合最も一般的な原因は次のとおりです。

強制する前にこれらを修正します。

強制される前に、リストされているすべてのユーザーがEntraに割り当てられます。 CSV としてエクスポートして、IT チームと連携します。

期待される結果:署名済みで、AutoRFP のパスワード フィールドを表示するのではなく、Microsoft にリダイレクトして署名します。 これは、施行が成功したことを確認します。

!!～事前にお知らせ下さい。SSO の執行後の最も一般的なサポートリクエストは、ワンタイムパスワードプロンプト(以下を参照)または Microsoft へのリダイレクトに驚いたユーザーから来ています。 強制する前の短いヘッドアップは、ほとんどすべてのそれらを削除します。

以下の表は、Microsoft Entra ID でカスタム SAML SSO を強制すると、AutoRFP ユーザーの変更について説明しています。

Microsoft Entra ID は、ユーザーがアプリケーションを起動できるようにします。私のアプリポータル(myapps.microsoft.com)またはMicrosoft 365アプリランチャーから。 ほとんどのSAMLアプリケーションでは、My AppsのタイルをクリックしてEntraを起動して送信します。IdP 開始アプリケーションに直接 SAML 応答 — アプリケーションが要求しない応答 (「サービスプロバイダー」または SP) が最初に要求する通常のフローとは対照的に。

AutoRFP のカスタム SAML 接続はサービス提供者のみ: すべてのサインイン自体を起動し、未承諾の SAML 応答を受信しないことが期待されます。 これは、SAML-mode Enterprise Application のデフォルトの My Apps タイル挙動が AutoRFP では機能しません。 ユーザーの署名ではなく、エラーを生成することが期待されます。

ユーザーがMy Appsからショートカットを操作するには、Entra's を使用します。関連リンクSAMLアプリ独自のタイルに依存する代わりに、シングルサインオンモード:

期待される結果:ユーザーは、自分のアプリで動作するAutoRFPタイルを参照してください。 クリックすると、AutoRFP 独自の (service-provider-initiated) サインインフローを開始し、通常は Entra にリダイレクトするブックマーク URL が開きます。これは機能的にブックマークやお気に入りと同じ経験で、Entra を介して、真のフェデレーションされたシングルサインオンではなく、正しい開始点にユーザーを取得します。

リンクされたモードは、認証自体を実行しません。Microsoft独自のドキュメントは、署名オン機能を提供するのではなく、「リンクの追加」として説明しています。そのため、実際の認証は、パート2で設定したSAMLエンタープライズアプリケーションを通じて行われます。

一般的なSAMLの問題管理者は、Microsoft Entra IDとAutoRFPで実行され、それぞれを解決する方法。 SCIM固有の問題については、イントラSCIMガイド'トラブルシューティングセクション。

ポップアップブロッカーは、Microsoftのサインインウィンドウが開いているのを防ぐことです。 AutoRFP 領域のドメインと再試行のポップアップを許可します。

サインインしたアカウントは、Enterprise Application に割り当てられません。または、Entra で入力された 返信 URL/Entity ID は、 間違った AutoRFP 領域からです。

証明書のテキストが欠けている-----BEGINの証明書----- / -----最終証明書----------ラッパー、または間違った証明書のダウンロードオプションが使用される。

電子メールまたはUPN Entraアサープトは、ユーザーのAutoRFPアカウントのメールと一致しません。 クレームマッピング(パート2、ステップ4)とリトライを合わせます。

影響を受けたユーザのメール/UPN の不一致がほとんど、またはそれらのユーザーはエンタープライズ アプリケーションに割り当てられません。

期待される。 これは、以前にパスワードで署名したユーザーのためのワンタイムマイグレーションプロンプトで、再帰しません。

SAML アプリケーションのデフォルト (IdP-initiated) タイルの動作に期待される — AutoRFP は、サービス provider-initiated サインインが必要です。 AutoRFP ブックマーク URL または Linked-mode My Apps のエントリーを代わりに使用してください(上記の「Microsoft Entra ID-Specific Capabilities」を参照してください)。

個人マイクロソフトのアカウント(MSA)または間違った作業テナントとサインインしたユーザー。 これらは、エンタープライズアプリケーションが構成されるテナントの労働力アカウントでサインインします。

AutoRFPアカウントメールは、AutoRFPユーザー管理画面の管理者が直接編集することはできません。 AutoRFP サポートに連絡して下さい(ライブ チャットか[email protected]の ) 古い/新しいメールのペアの確認されたリスト — サポートは、アカウントを再作成したり、既存のプロジェクトやコンテンツを失うことなく、要求に保存されたアカウントのメールを更新することができます。

. . .ライブチャット:余剰余金を申し受けます。

お問い合わせ学習センター:learn.autorfp.ai/ja