メインコンテンツまでスキップ
バージョン: Preview-4.1

OIDC SSOの使用

PhoenixAIは、OpenID Connect（OIDC）シングルサインオン（SSO）を使用したユーザー認証をサポートしています。

important
  • OIDC SSO を設定できるのは、Account admin ロールを持つコンソールユーザーのみです。
  • SAML SSO と OIDC SSO は相互に排他的です。OIDC SSO を有効にする前に、SAML SSO を無効にしてください。

OIDC SSO の有効化​

以下のチュートリアルでは、Okta、AWS、および Google の例を示します。

ステップ 1：PhoenixAI Redirect URLの準備​

  1. アカウント管理者として PhoenixAI Cloudコンソール にサインインします。
  2. 左側のナビゲーションペインで、Account > Account settings を選択します。
  3. Account settings ページの Single sign-on タブで、OIDC セクションの Configure をクリックして、Configure OIDC ダイアログボックスを表示します。
  4. Configure OIDC ダイアログボックスで、PhoenixAI Redirect URL フィールドの横にある Copy アイコンをクリックし、URL を適切に保存します。

OIDC SSOの有効化

注記

PhoenixAI Cloud コンソールを閉じないでください。以降のステップでコンソール上でさらに設定を完了する必要があります。

ステップ 2：IdP のセットアップ​

以下の手順に従って IdP をセットアップします：

  1. 管理者権限を持つメンバーとして Okta 管理コンソールにサインインします。

  2. 左側のナビゲーションペインで、Applications > Applications を選択します。

  3. Applications ページで、Create App Integration をクリックして、Create a new app integration ダイアログボックスを表示します。

  4. Create a new app integration ダイアログボックスで、Sign-in method に OIDC - OpenID Connect を選択し、Application type に Web Application を選択します。

    IdPのセットアップ

  5. Next をクリックします。

  6. New Web App Integration ページの General Settings セクションで、アプリケーションの名前を入力し、Client acting on behalf of itself に Client Credentials を選択し、Core grants に Authorization Code と Refresh Token を選択します。

    IdPのセットアップ

  7. New Web App Integration ページの Sign-in redirect URIs セクションに PhoenixAIリダイレクトURL を貼り付けます。

    IdPのセットアップ

  8. New Web App Integration ページの Assignments セクションで、Controlled access に Limit access to selected groups を選択し、Selected group(s) フィールドでグループを検索して選択し、Save をクリックします。

    IdPのセットアップ

  9. Okta コンソールの左側のナビゲーションペインで、Applications > Applications を選択します。

  10. Applications ページで、作成したアプリケーションをクリックして、アプリケーション詳細ページに入ります。

  11. General タブの Client Credentials セクションで、Client ID をコピーして適切に保存します。次に、セクションの Edit をクリックし、Proof Key for Code Exchange (PKCE) に Require PKCE as additional verification を選択し、Save をクリックします。

  12. General タブの CLIENT SECRETS セクションで、クライアントシークレットの値をコピーして適切に保存します。

    IdP設定の準備

  13. General タブの Federation Broker Mode セクションで、Edit をクリックし、Enable Federation Broker Mode をクリックします。表示されるメッセージで、Continue をクリックします。次に、Save をクリックします。

    IdP設定の準備

  14. Applications ページで、Assign Users to APP をクリックします。

  15. Assign Applications ページの Assign Apps to People タブで、次のように設定します。

a. Applications セクションで、作成したアプリケーションを選択します。

b. People セクションで、アプリケーションを割り当てたいユーザーを選択します。

c. Next をクリックします。

  1. Assign Applications ページの Confirm Assignments タブで、Confirm Assignments をクリックします。
important

Webアプリケーションで Refresh Token を有効にする必要があります。有効にしないと、セッションをサイレントに更新できず、id_token が期限切れになるたびに（通常は 1 時間ごと）ユーザーが IdP にリダイレクトされます。

  • Oktaでは、Grant type の Refresh Token チェックボックスを選択する必要があります。
  • Google Workspaceでは、access_type=offline と prompt=consent を設定します（リテラルの offline_access スコープはGoogleに拒否されます）。
  • 他の IdP では、同等のオプションを使用します（例：リクエストされたスコープに offline_access を含める）。

ステップ 3：PhoenixAI での OIDC SSO の設定と有効化​

  1. PhoenixAI Cloud コンソールの OIDCの設定 ダイアログボックスに戻ります。

  2. コピーした Web アプリケーションのクライアント ID を Client ID フィールドに貼り付けます。

  3. コピーした Web アプリケーションのクライアントシークレットを Client Secret フィールドに貼り付けます。

  4. IdP の Discovery URL（OIDC ディスカバリードキュメントのパス、または well-known OpenID 設定パス）を指定します。以下の表に Okta と Google の Discovery URL の形式を示します。他の IdP については、対応する公式ドキュメントを参照してください。

    IdPDiscovery URL
    Oktahttps://<your-tenant>.okta.com/.well-known/openid-configuration（<your-tenant>を実際のテナントに置き換えてください。）
    AWShttps://cognito-idp.<aws_region>.amazonaws.com/<user_pool_id>/.well-known/openid-configuration（<aws_region>を AWS リージョン ID に、<user_pool_id>を実際のユーザープール ID に置き換えてください。）
    Googlehttps://accounts.google.com/.well-known/openid-configuration

  5. IdP が認証に別のフィールドを使用している場合を除き、Username Claim に email を指定します。

  6. Submit をクリックします。

  7. Account settings ページの Single sign-on タブで、Test SSO をクリックして、OIDC 設定の接続性をテストします。

  8. 表示されるページで IdP にログインすると、ログインが成功した場合は PhoenixAI Cloud コンソールにリダイレクトされます。

  9. テストに合格したら、Account settings ページのSingle sign-on タブで Enable をクリックします。