--- schema_version: "1" id: 44de8adcf03f2bac6d4976362ae99c6d065d8729b28d0b9020d3fa68264be5b2 title: OpenID Connect の使用要件 collection: tableau version: current locale: ja-jp portal_url: https://docs.salesforce.com/tableau/current/ja-jp/server-linux/openid_auth_requirements.md canonical_url: https://help.tableau.com/current/server-linux/ja-jp/openid_auth_requirements.htm source_site: help.tableau.com content_type: documentation content_hash: 83c71cf095b10c01e7ad2c15bdae6637e7541845eea8cabec655884116c7aa86 description: Understand the requirements for using OpenID Connect with Tableau Server. --- [メイン コンテンツに進む](#main-content) # OpenID Connect の使用要件 このトピックでは、Tableau Server で OpenID Connect を使用するための要件について説明します。 **注:** TSM 認証構成コマンドは、Tableau Server のセットアップ中に TSM で構成された OIDC 認証にのみ適用されます。アイデンティティ プールの OIDC 認証構成を変更するには、Tableau REST OpenAPI を使用する[認証構成の更新](https://help.tableau.com/current/api/rest_api/ja-jp/REST/TAG/index.html#operation/AuthnService_UpdateAuthConfiguration)エンドポイントを使用します。 **要件の概要** - IdP アカウント - ローカル アイデンティティ ストア - IdP クレーム - ユーザーのマッピング - 認証コンテキスト ## IdP アカウント OpenID Connect (OIDC) プロトコルをサポートするアイデンティティ プロバイダー (IdP) に対するアクセス権が必要です。また、IdP のアカウントも必要です。OpenID Connect は多くのアイデンティティ プロバイダーがサポートしています。OIDC プロトコルはオープンかつ柔軟な規格であるため、すべての環境で同じように実装されるわけではありません。OIDC に対応するよう Tableau Server を構成する際は、IdP と連携してください。 Google IdP の実装は Tableau Server で十分にテスト済みであり、トピックで説明した構成の IdP モデルになっています。 ## ローカル アイデンティティ ストア Tableau Server で OpenID Connect を使用するには、以下のいずれかが true である必要があります。 - **Tableau Server のセットアップ中に TSM で OIDC を構成する場合**、Tableau Server はローカル アイデンティティ ストアを使用するように構成されている必要があります。サーバーは、Active Directory などの外部ディレクトリからユーザーをインポートするのではなく、Tableau Server でユーザーを明示的に作成するよう構成する必要があります。OpenID では、外部のアイデンティティ ストアを使用したユーザーの管理はサポートされていません。 - **[アイデンティティ プール](https://help.tableau.com/current/server-linux/ja-jp/identity_pools.htm)を使用して OIDC を構成する場合**、OIDC は、1) ローカル アイデンティティ ストア、または 2) Tableau Server のセットアップ中に TSM で構成されたアイデンティティ ストアである AD または LDAP を使用して構成することができます。 ## IdP クレーム - ユーザーのマッピング Tableau Server に正常にサインインするには、指定されたユーザーを OpenID でプロビジョニングし、Tableau Server のユーザー アカウントにマッピングする必要があります。OpenID は_クレーム_に依存するメソッドを使用して、他のアプリケーションとユーザー アカウント属性を共有します。クレームには、メール、電話番号、名前など、ユーザー アカウント属性が含まれます。Tableau Server が IdP クレームをどのようにユーザー アカウントにマッピングしているかを理解するには、「[OpenID Connect](https://help.tableau.com/current/server-linux/ja-jp/openid_auth.htm#Authenti)」を参照してください。 Tableau Server は IdP クレームに依存して、IdP のユーザーアカウントを.Tableau Server でホストされているユーザーアカウントにマッピングします。既定では、Tableau Server は、IdP から メール クレームが渡されることを期待します。お使いの IdP によっては、別の IdP クレームを使用するよう Tableau Server を構成する必要がある場合もあります。 Google を IdP として使用している場合、既定の `email` クレームを使用して、IdP ID を Tableau Server ユーザー アカウントにマッピングします。Google を IdP として使用していない場合は、お使いの IdP と連携して、Tableau Server を構成する必要があるクレームを決定してください。 ### 既定: メール クレームを使用してユーザーをマッピングする 既定では、Tableau Server のユーザー名は、IdP ID トークンの `email` クレームと一致する必要があります。そのため、既定の構成では、Tableau Server のユーザー名としてメール アドレス (UPN とも呼ばれます) を使用する必要があります。Google を IdP として使用している場合、Tableau Server のユーザー名はユーザーのGmailアドレス (`alice@gmail.com`) にする必要があります。完全なメール アドレスを使用することで、2 人のユーザーが同じメールを異なるメールホストを使用している場合でも、Tableau Server におけるユーザー名の一意性を確保することができます。 **注:** Tableau Server でユーザー アイデンティティを作成するときに、ユーザー名、パスワード、およびメール アドレス (任意) を指定します。既定の構成で OpenID Connect を使用する場合、ユーザー名 (電子メール アドレスとして表す) には IdP のユーザー名と一致する値を使用する必要があります。Tableau Server のユーザー ID で任意で指定したメール アドレスは OpenID 認証には使用されません。 #### ドメイン名を無視 Tableau Server で IdP `email` クレームをユーザー アカウントと照合する際にメール アドレスのドメイン部分を無視するように、Tableau を構成することができます。このシナリオでは、IdP の `email` クレームは `alice@example.com` となる可能性がありますが、これは、Tableau Server の `alice` という名前のユーザーと一致します。`email` クレームのユーザー名部分には一致するが、ドメイン部分には一致しないユーザーをすでに Tableau Server で定義している場合は、ドメイン名を無視することができます。 **重要:** ユーザー ドメイン名を無視する際は、細心の注意を払ってください。特に、IdP で作成した構成済みドメイン全体で、ユーザー名が一意であることを確認してください。 ユーザーのドメイン名を無視するよう Tableau Server を設定すると、意図しないユーザーがログオンする結果になる可能性があります。IdP が複数のドメイン (`example.com` および `tableau.com`) のドメイン用に構成された事例を考慮します。組織内に、同じ名前で異なるユーザー アカウント (`alice@tableau.com` と `alice@example.com`) を使用する 2 人のユーザーがいる場合、OpenID プロビジョニング シーケンスを最初に完了した人物は IdP での `sub` マッピングを申請します。間違ったユーザーがマッピングされている場合、もう一人のユーザーは関連付けられた `sub` 値がリセットされるまでログオンできなくなります。 Tableau Server が IdP からのユーザー名のドメイン名を無視するよう構成するには、`tsm authentication openid configure --ignore-domain` を `true` に設定します。詳細については、[tsm authentication open-id ](https://help.tableau.com/current/server-linux/ja-jp/cli_authentication_tsm.htm#TSMOIDC)を参照してください。 tsm authentication openid configure `--ignore-domain` オプションを変更してユーザー名のドメインを無視するようにすると、Tableau Server のすべてのユーザー名がドメイン名を持たなければならなくなります。 ### カスタム クレームを使用してユーザーをマッピングする [OpenID Connect](https://help.tableau.com/current/server-linux/ja-jp/openid_auth.htm#Authenti)で言及したように、`sub` クレームは IdP クレームに含まれることが多くあります。一般的に、`sub` クレームは指定されたユーザー アカウントを識別する一意の文字列です。`sub` クレームを使用することのメリットは、あなたや別の管理者が他のユーザー属性や、そのアカウントと関連付けられている IdP クレーム (メール、電話番号など) を更新していても、このクレームが変化しないことです。既定では、Tableau Server は IdP ID トークン内の `sub` クレームに従って OpenID ユーザーを識別して検証します。 OpenID `sub` クレーム値は、対応する Tableau Server のユーザーにマッピングする必要があります。`sub` クレームは任意の文字列のため、最初のサインイン セッション時、別のクレームを使用してアカウントに関連付けられます。ユーザーが OpenID を使用して初めて Tableau Server にサインインするとき、Tableau は OpenID ユーザー アカウントを、それに対応する Tableau Server.のユーザー アカウントと照合します。既定では、Tableau は IdP クレーム、`email` を使用して Tableau ユーザーを識別します。Tableau は、OpenID からの `sub` クレームを使用してユーザーのレコードを更新します。その後のセッションでは、ID トークンに他のクレームとともに `sub` クレームが常に含まれるため、Tableau は `sub` クレームのみを使用してユーザーを識別します。 一部の組織では、電子メール アドレスを使用したユーザー名のマッピングは IdP によってサポートされていません。Tableau Server 10.2 以降、任意の IdP クレームのユーザー アカウントを Tableau Server ユーザー名にマッピングできるようになりました。 使用している IdP クレームは、それに対応する Tableau Server ユーザー名に正確にマッピングする必要があります。以下の例では、ユーザー名は `kwilliams` です。 ![Tableau Server に新しいユーザーを追加するためのフォーム。](/tableau/current/ja-jp/server-linux/ja-jp/Img/users_add_srvruser.png) Tableau Server での ID マッピングに使用する IdP クレームを変更するには、`tsm authentication openid map-claims --user-name` コマンドを使用します。詳細については、[tsm authentication open-id ](https://help.tableau.com/current/server-linux/ja-jp/cli_authentication_tsm.htm#TSMOIDC)を参照してください。 ### `sub` クレームを変更する 上記のように、`sub` クレームは、最初のマッピング セッションの後に Tableau Server がユーザーの識別に使用する識別子です。`sub` クレームは、それに対応する Tableau Server のユーザー アカウントに記述されます。お使いの IdP が `sub` クレームを提供しない場合は、代わりに任意のクレームを指定できます。`sub` のように、指定するクレーム値は一意であり、他のユーザー クレームが更新されたときに変更されない必要があります。 既定の sub クレームに異なる IdP クレームを指定するには、`tsm authentication openid map-claims --id` コマンドを使用します。詳細については、[tsm authentication open-id ](https://help.tableau.com/current/server-linux/ja-jp/cli_authentication_tsm.htm#TSMOIDC)を参照してください。 ここで、`arbitraryClaim` は `sub` クレームの代わりとして使用する IdP の名前です。 ## 認証コンテキスト OpenID Connect IdP に特定の認証コンテキストが必要な場合は、`vizportal.openid.essential_acr_values` および `vizportal.openid.voluntary_acr_values` 構成キーを使用して、必須および任意の ACR 値のリストを指定できます。詳細については、[tsm configuration set のオプション](https://help.tableau.com/current/server-linux/ja-jp/cli_configuration-set_tsm.htm)を参照してください。