対象：
- Revu 21
シングルサインオン (SSO) は、ユーザーが IdP ログイン資格情報を使用して Bluebeam 製品にアクセスできるようにすることで、シームレスなアクセスを実現します。
Entra ID または Okta Workforce Identity Cloud 以外の IdP を使用する場合、サポートされていないものの互換性のある IdP の SSO 設定については、Bluebeam アカウントの SSO 設定｜汎用 OIDC をご参照ください。
要件
SSO を構成する機能は、組織が次の条件を満たしている場合にのみ利用できます。
- Bluebeam サブスクリプションプランで少なくとも 10 シートを購入または変換した。
- Bluebeam製品およびサービスで SSO を使用するようにまだ構成されていません。組織ですでに SSO が設定されている場合は、続行する前にお問い合わせください。
- Microsoft Entra ID または Okta Workforce Identity クラウド を ID プロバイダー (IdP) として使用します。
これらの要件を満たし、組織で SSO を有効にしたい場合は、Org Admin に Org Admin としてログインし、
-
ウェブブラウザで、 Org Admin URLを入力します。
あなたの地域に該当します: -
[アカウント]の下で、管理するアカウントを選択します。
-
[設定]を選択します。
組織が SSO 構成の要件を満たしていない場合、[アクセスのリクエスト]ボタンは使用できず、続行できません。 -
[SSO 構成] の横にある[アクセスの要求]を選択します。
-
要求された情報を提供してください。
リクエストを受け取って処理したら、SSO設定に進むことができます。
概要
このガイドには、 Bluebeam製品およびサービスにアクセスするための SSO の構成と、 Bluebeamと IdP 間で交換する必要がある情報が含まれています。
SSO 構成は、組織の IT 管理者が実行する必要があります。
ドメインの申請と検証
SSO を構成するには、まず組織が所有し、Bluebeam アカウントにリンクするドメインを申請して検証します。複数のドメインを Bluebeam アカウントにリンクするには、それぞれのドメインに対して個別にこの手順を実行します。少なくとも1つのドメインを申請して検証するまで、SSO を構成することはできません。
この手順では、 Org Adminから情報をコピーし、DNS サーバーの新しい TXT レコードに貼り付ける必要があります。この手順を準備するには、要求するドメインごとに DNS サーバーにログインする準備をする必要があります。
- 申請できるドメインは最大 500 件です。500 件のドメインをすでに申請し、検証済みであることが「ドメイン所有権」ページに表示された場合は、リストからドメインを削除してから、この手順を完了して別のドメインを申請および検証する必要があります。
- リストされたドメインを SSO 構成の一部として使用した後、そのドメインをリストから削除することはできません。
ドメインを申請して検証するには、次の手順に従います。
- Org Adminで[アカウント]を選択し、管理するアカウントを選択します。
- [設定]を選択します。
- [ドメイン所有権]の横にある[管理]を選択します。
- 「ドメインを要求」を選択します。
- 申請したいドメイン名を入力してください（例：company.com）、[請求]を選択します。
- [ドメインを検証] ダイアログで、各フィールドの横にある
[コピー] を選択し、その情報を DNS サーバーの新しい TXT レコードに貼り付けます。 - 少なくとも 5 分間待ってから、 [検証を確認]を選択します。
申請および検証するドメインごとにこの手順を実行します。
ドメインのステータスが「保留中」の間は SSO 構成を開始できませんが、追加のドメインを要求するためにドメインが検証されるまで待つ必要はありません。
ドメインのステータスは最長で 72 時間まで「保留中」のままになります。その間、これらの変更がインターネット上のすべてのサーバーに DNS 伝播が行われます。この間、定期的に Org Admin にログインし、以下の手順に従ってステータスが「検証済み」に変更されているかどうかを確認することができます。
- Org Adminで[アカウント]を選択し、管理するアカウントを選択します。
- [設定]を選択します。
- [ドメイン所有権]の横にある[管理]を選択します。
- 「ドメイン所有権」ページで、 「アクション」の下の 3 つのドットを選択し、 「検証を確認」を選択します。
72 時間経過してもドメインのステータスが「保留中」のままの場合は、まず TXT レコードに情報を正しく入力したかどうかを確認してください。TXT レコードが正しい場合は、お問い合わせください。
SSOを構成する
SSO の設定では、 Org Admin
Okta の OIDC を構成する
Okta で OIDC を構成するには、次の手順に従います。
-
Okta 管理コンソールで、 [セキュリティ] > [API]に移動し、デフォルトの認証サーバーを編集します。
-
[アクセス ポリシー] で[ポリシーの追加]を選択し、次の値を入力します。
- 名前: デフォルト
- 説明: デフォルト
- 割り当て先:すべてのクライアントを選択
-
[ポリシーの作成]を選択します。
-
作成したポリシーで、 [ルールの追加]を選択します。
-
[ルールの追加] ページで、ルール名として「Default」と入力し、その他の選択はすべてそのままにします。
-
[ルールの作成]を選択します。
SSO用のOktaアプリケーションを作成し、SSO構成の情報を収集する
SSO 用の Okta アプリケーションを作成するには、次の手順に従います。
-
Okta 管理コンソールで、 [アプリケーション] > [アプリケーション] > [+ アプリ統合の作成]に移動します。
-
「新しいアプリ統合の作成」ページで、以下を指定します。
-
サインイン方法: OIDC - OpenID Connect
-
アプリケーションの種類: Web アプリケーション
-
-
[次へ]を選択します。
-
「新しい Web アプリ統合」ページで、次のアクションを実行します。
-
OIDC SSO アプリケーションのアプリ統合名を入力します。
-
付与タイプとして承認コードを選択します。
-
次のサインイン リダイレクト URIを追加します。
-
https://signin.bluebeam.com/oauth2/v1/authorize/callback
-
https://id.bluebeam.com/oidc/callback
-
https://signin.bluebeamstudio.co.uk/oauth2/v1/authorize/callback
-
https://signin.bluebeamstudio.de/oauth2/v1/authorize/callback
-
https://signin.bluebeamstudio.se/oauth2/v1/authorize/callback
-
https://signin.bluebeamstudio.com.au/oauth2/v1/authorize/callback
-
https://id.bluebeam.com/oidctest/callback
リストからデフォルトのエントリ (http://localhost:8080/authorization-code/callback) を削除しないでください。 -
-
割り当ての下:
-
組織内のすべてのユーザーにアクセスを許可するを選択します。
-
[フェデレーション ブローカー モードで即時アクセスを有効にする]を選択します。
-
-
-
[保存] を選択。
-
ユーザー認証を構成するには、アプリケーションの「サインオン」タブに移動します。
-
「ユーザー認証」までスクロールし、認証方法を選択します。
-
[保存] を選択。
SSO 構成に必要な情報を収集するには、次の手順に従います。
-
[全般]タブを選択し、次の情報をコピーして、SSO 構成時に使用するために別の場所に貼り付けます。
-
クライアント ID
-
クライアントシークレット
-
-
サイド ナビゲーションから[セキュリティ] > [API]に移動し、デフォルトの認証サーバーを選択します。
-
設定ページで：
-
メタデータ URI の値をコピーして、テキストエディタに貼り付けます。
-
URL内の "oauth-authorization-server" を "openid-configuration" で置き換え。
-
-
更新された URL をコピーし、Web ブラウザに貼り付けて、後で SSO 設定に必要な情報を表示します。
「pretty print」ブラウザ拡張機能を使用すると、メタデータ URI のコンテンツをより適切に表示し、SSO 構成に必要な情報をより簡単に見つけることができます。
IdPからユーザーリストをエクスポートし、ユーザーの調整を準備します
SSO 構成の一環として、IdP にリストされている組織内のユーザーを、 Bluebeam ID (BBID) を持つ組織内のユーザーのリストと照合するように求められます。この手順を使用して、ユーザー リストをエクスポートし、SSO 調整プロセス用の CSV テンプレートに読み込みます。
-
- エクスポートされたユーザー リストを開きます。
- CSV テンプレートをダウンロードして開く。
- エクスポートされたユーザー リストから必要なユーザー情報をテンプレートの定義済みセルにコピーします。
Okta ワークフォースアイデンティティクラウド フィールド名 CSVテンプレートの対応する列 姓 lastName 名 firstName プライマリメール email - ファイル内で空のセルが含まれる行を見つけ、それらのユーザーに BBID が必要かどうかを判断し、次のアクションを実行します。
- BBID を必要としないユーザーの行に空のセルが表示される場合は、その行を削除できます。
- BBID が必要なユーザーの行に空のセルが表示される場合:
- IdP でエントリを見つけて、不足している値を入力します。
- IdP からユーザー リストを再度エクスポートし、上記の手順 4 に進みます。
どのユーザーに対しても手順 a と b を実行する必要がなかった場合は、手順 6 に進みます。
- Org Admin で SSO を構成するときに使用するために CSV ファイルを保存します。
Org AdminでSSOを設定する
SSO 設定を完了するには、IdP に登録されている組織のエンドユーザーに対して、Bluebeam 製品とサービスへの SSO アクセスを設定します。
SSO を設定するには、Org Admin に移動して次の手順に従います。
-
[アカウント]の下で、管理するアカウントを選択します。
-
[設定]を選択します。
- [SSO 構成] の横にある[構成]を選択します。
- OpenID Connect を選択します。
-
- 発行元
- 認証エンドポイント
- トークンエンドポイント
- JWKS URI
- クライアント ID
- クライアントシークレット
- [送信]を選択します。
- OpenID Connect 構成ダイアログで、アカウントに構成する検証済みドメインを指定し、次へを選択します。
-
- サインインして SSO をテストします。を選択します。
-
- 組織管理者に戻ります。
-
- [次へ] を選択して、ユーザーのリストを指定し、SSO設定を完了します。
-
先ほど作成したCSVファイルをアップロードします。
-
[次へ]を選択します。
- 求められたら、[閉じる] を選択してSSO設定を続行します。
[設定]タブに戻り、組織用に選択したドメインが表示されていることを確認し、SSO 構成を続行できます。
組織内で見つかった BBID と、
CSV ファイルのアップロード時にエラーが発生しましたか?
CSV ファイルのデータに関する次の問題により、ファイルをアップロードするときにエラーが発生する可能性があります。
- CSV ファイルが空です。
- CSV ファイルの読み取り中にエラーが発生しました。
- CSV ファイルに少なくとも 1 つの必須列がありません: email、firstName、または lastName 列が見つかりませんでした。
- 行 [行番号] 付近の CSV ファイルの読み取り中に問題が発生しました。
- 行 [行番号] の CSV ファイルには、電子メール、firstName、および/または lastName 列を処理するのに十分なデータ列が含まれていませんでした。
- CSVファイルの行[行番号]に、有効なメールアドレス（例：jsmith@example.com など)。
表示されたエラー メッセージの情報を使用してエラーの原因を特定し、エラーを修正してから、CSV ファイルを再度生成してアップロードします。
IdP のユーザー ID を組織内の BBID と照合します
「SSO 構成の続行」のメールが届いたら、そのメールを開き、「SSO 構成の続行」を選択して Org Admin の設定ページを開きます。SSO構成 の横にある 続行 を 選択 して、データベース内のユーザーと一致しなかったアカウント内のユーザーのリストを確認します。
一部のユーザーが「一致しない」と表示されるのはなぜですか?
ユーザーは、さまざまな理由で「一致しません」と表示されることがあります。例えば、当社が保存している BBID のリストには、お客様の組織にすでに在籍していないユーザー、名前が変更されたユーザー、または最初に追加されたときにメールアドレスに誤りがあったユーザーなどが含まれる場合があります。照合を行うと、「一致しない」としてリストされているユーザーを評価し、SSO アクセス用にプロビジョニングする必要があるか、あるいは構成プロセスでこれらのユーザーを無視するかを判断できます。
この画面が表示されたら、次の操作を実行できます。
- CSV ファイルに修正が必要なエラーが含まれている場合は、「ユーザー リストの再アップロード」を選択します。
- 進行状況を保存し、一致しないユーザーに後で対処する場合は、 「保存して後で終了」を選択します。
- 組織に所属していないか、 Bluebeam製品およびサービスへのサブスクリプション アクセスを必要としないため、無視して SSO を構成しない 1 人以上のユーザーを選択します。
- ディレクトリからの新しいBluebeam ID現場を更新するユーザーを 1 人以上選択します。このアクションは、ユーザーがBluebeam製品およびサービスへのサブスクリプション アクセスを必要としており、組織で電子メール情報が変更されたが、データベース内の BBID は変更されていない場合に必要になります。
ユーザーが複数回表示されるのはなぜですか?
ユーザーが複数回出現するが、異なるStudioリージョンに存在する場合は、各リージョンでそのユーザーを調整して、そのStudio プロジェクトまたはStudio セッションへのアクセスが失われないようにします。
「ユーザーを無視する」べきタイミング
一致しない多くのユーザーは、組織にもう存在しないか、BBIDを必要としないユーザーです。一致しないユーザーのリストが表示されたら、一致しないユーザーの現在のBBIDの隣にある情報アイコン（
）にカーソルを合わせてStudioアクティビティを確認します。表示されている情報は：
- Studioへの最終ログイン
- 所有セッション
- 参加したセッション
- 所有プロジェクト
- プロジェクトメンバーシップ
ユーザーが元従業員であるか、 Bluebeam製品およびサービスへの SSO アクセスを必要としないと判断した場合は、「一致しない」を選択し、「ユーザーを無視する」を選択して、そのユーザーを組織の SSO 構成から除外します。
複数のユーザーを無視するには、複数のユーザーを選択し、「ユーザーを無視」を選択します。
ディレクトリから新しいBluebeam IDを編集する場合
ユーザーを更新する必要がある場合は、 「編集」を選択し、 「一致しない」を選択して、IdP からユーザーのメール アドレスを入力します。一致する情報を更新した後、今後は新しい BBID を使用する必要があることをユーザーに通知し、必要に応じてログアウトして新しい BBID を使用して再度ログインします。
[すべてのユーザーを表示]を選択して、リスト内のすべてのユーザーが「無視する」されているか、「変更なし」と表示されていることを確認します。
SSO を有効化
一致しないユーザーを無視するか更新した後で、[アクティブ化] を選択して SSO 設定を完了します。
SSOを無効にする
組織の
組織で SCIM を構成した場合は、SCIM を無効にして SSO を構成したままにすることができますが、SSO を無効にする場合は、まず SCIM を無効にする必要があります。
