Qualtrics Platform
Customer Journey Optimizer
XM Discover
Qualtrics Social Connect

SSO の技術要件

技術要件の概要

シングルサインオン（SSO）により、サードパーティーは、Qualtricsシステムへのアクセス権を付与する前にユーザーを認証できます。Qualtricsでは、GoogleOAuth 2.0、セントラル認証サービス（CAS）、Lightweight Directory Access Protocol（LDAP）、Security Assertion Markup Language（SAML）の4種類のSSO認証をサポートしています。各タイプでは、サードパーティに特定のタイプのサーバが必要です。たとえば、CAS SSO 認証は、サードパーティの CAS サーバに依存しています。

このページでは、満たす必要がある技術要件について説明します。これらの設定は、IT チームで設定し、Qualtrics SSO サポートチームに通知する必要があります。

Google OAuth 2.0

Google OAuth 2.0 は、Qualtrics プラットフォームに対してユーザーを認証するために使用できる権限フレームワークです。サードパーティ認証用に Google OAuth 2.0 を設定するには、プラットフォームにアクセスするユーザに Google アカウントが必要です。

以下の設定パラメータを指定する必要があります。

有効なメールドメイン
- ログイン試行ごとにに対してユーザーの電子メールアドレスを認証するには、特定の電子メールドメインが必要です。

クアルトリクスは、Google OAuth 2.0に対する認証時にのみ、ユーザーのGoogleアカウントに関連付けられたメールを受信します。メールは、クアルトリクスの［ユーザー名］、［名］、［姓］、［メールアドレス］の各フィールドの入力に使用されます。

必要な有効なメールドメインが提供されたら、QualtricsはサードパーティーとGoogle OAuth 2.0の統合をセットアップできます。

注意：Google OAuth 2.0では、クアルトリクスオフラインアプリへのアクセスはサポートされていません。

Lightweight Directory Access Protocol (LDAP)

Lightweight Directory Access Protocol (LDAP) は、サードパーティが認証できるディレクトリサービスです。Qualtricsは、ユーザーがQualtricsプラットフォームにログインしようとしたときに、LDAPサーバーに対して自動的に認証されるように設定できます。LDAP 統合を設定するには、サードパーティに有効な LDAPv3 サーバがあることを前提としています。

以下の設定パラメータを指定する必要があります。

LDAP サーバホスト名: IP アドレスまたはサーバ名。
LDAP サーバーポート：サーバーとの通信にQualtricsポートを使用します。
基本識別名 (DN): 例:
```
o=組織
```
Bind Distinguished Name: 検索ベースバインド DN またはバインド DN ユーザ。これは、LDAP サーバで認証されていない検索が許可されている場合は必要ありません。
Bind Password: LDAP サーバで認証されていない検索が許可されている場合は、これは必要ありません。
認証フィルタパラメータ: 例:
```
uid=%username%
```
ログアウトのリダイレクトURL：クアルトリクスには、ログアウト時にユーザーのログインセッションをクリアするためのログアウトのリダイレクトURLが必要です。［ログアウトのリダイレクト URL］が指定されていない場合、Qualtricsはユーザーを https://qualtrics.com または任意の別のURLにリダイレクトできます。ただし、ユーザーのログインセッションはクリアされず、ユーザーは [戻る] ボタンをクリックするかログインページに戻ることで、すぐにログインし直すことができます。
LDAP 属性
- 必須:
  - 電子メールアドレス項目属性 (メールなど)
    ヒント：この属性にはメールアドレス形式の値を含める必要があります。たとえば、value@email.com です。
- オプション:
  - 名項目属性 (例: firstname)
  - 姓項目属性 (例: sn)
  - ユーザタイプマッピング属性
  - 部署のマッピング属性
  - グループマッピング属性
  - CXダッシュボードメタデータ属性
  - CXダッシュボードの自動役割登録属性

上記の情報が提供されたら、Qualtricsはサードパーティーとの LDAP 統合の設定を手配できます。

セントラル認証サービス (CAS)

セントラル認証サービス (CAS) は、エンタープライズシングルサインオンサービスを提供し、JA-SIG CAS によってサポートされています。CAS の詳細については、https://www.apereo.org/projects/cas を参照してください。Qualtrics システムは CAS クライアントとして機能し、ユーザーが CAS を介して認証し、Qualtrics システムにログインできるようにします。CAS SSO を設定するために、サードパーティには CAS 2.0 プロトコル以降を使用して動作する CAS サーバがあることを前提としています。

以下の設定パラメータを指定する必要があります。

CAS サーバホスト名: サーバ名。
CASサーバーポート：サーバーとの通信にQualtricsポートを使用します。
ホスト上の CAS システムの URI
ログアウトのリダイレクトURL：クアルトリクスには、ログアウト時にユーザーのログインセッションをクリアするためのログアウトのリダイレクトURLが必要です。［ログアウトのリダイレクト URL］が指定されていない場合、Qualtricsはユーザーを https://qualtrics.com または任意の別のURLにリダイレクトできます。ただし、ユーザーのログインセッションはクリアされず、ユーザーは戻るボタンをクリックするか、再度ログインページに移動することですぐにログインし直すことができます。

以下のパラメータは、SAML 1.1 をサポートする CAS のバージョンを使用しているかどうかによって異なります。

SAML 1.1がサポートされていない場合：CASのユーザー名を使用して、クアルトリクスのユーザー名、メールアドレス、名、姓のフィールドが入力されます。
SAML 1.1 がサポートされている場合: 次の設定パラメータも指定する必要があります:
- 必須:
  - 電子メールアドレス項目属性 (メールなど)
    ヒント：この属性にはメールアドレス形式の値を含める必要があります。たとえば、value@email.com です。
- オプション:
  - 名項目属性 (例: firstname)
  - 姓項目属性 (例: sn)
  - ユーザタイプマッピング属性
  - 部署のマッピング属性
  - グループマッピング属性
  - CXダッシュボードメタデータ属性
  - CXダッシュボードの自動役割登録属性

上記の情報が提供されたら、クアルトリクスはサードパーティーとの CAS 統合の設定を手配できます。

Security Assertion Markup Language (SAML)

Security Assertion Markup Language (SAML) は、セキュリティドメイン間、またはアイデンティティプロバイダ (アサーションのプロデューサ) とサービスプロバイダ (アサーションのコンシューマ) 間で認証および権限データを交換するための XML ベースの標準です。クアルトリクスシステムは、ユーザーがクアルトリクスシステムにログインしたときに、SAML を使用してサードパーティのアイデンティティプロバイダ（IdP）を通じて自動的に認証されるように設定できます。SAML 統合を設定するために、サードパーティには動作中の SAML 2.0 (シボレス 2.0) の実装があり、サービスプロバイダ (SP) が開始したログインをサポートできることを前提としています。

Qualtricsでは、SAML ログインについて、IdP と SP が開始するワークフローの両方をサポートしています。2 つのうちで共通なのは、SP によって開始される交換です。これにより、ユーザーはフローを次の場所から開始します。 https://brandID.datacenter.qualtrics.com、 組織の Vanity URL などですIdP 起動の交換は、主にユーザが内部ネットワークで認証を行う際に使用されます。これにより、ユーザは内部アプリケーションポータルでフローを開始します。

以下の設定パラメータを指定する必要があります。

アイデンティティプロバイダ (IdP) メタデータ (リンクまたは添付文書としての XML 形式)
- 必須タグ:
  - EntityDescriptor
  - キー記述子
  - SingleSignOnService
    - SingleSignOnService 内の HTTP Post バインドと HTTP Redirect バインディングの両方がサポートされています。ただし、AuthnRequest の署名が必要な場合は、HTTP Post を使用する必要があります。
  - SingleLogoutService
    - このフィールドは、ログアウト時にユーザーのログインセッションをクリアする URL にユーザーをリダイレクトするために使用されます。SingleLogoutService URLが指定されていない場合、Qualtricsはユーザーを https://qualtrics.com または任意の別のURLにリダイレクトできます。ただし、ユーザーのログインセッションはクリアされず、ユーザーは戻るボタンをクリックするか、再度ログインページに移動することですぐにログインし直すことができます。
SAML 属性
- 必須:
  - ユーザ名項目属性 (samAccountName)
    - 属性には、一意、変更なし、および機密ではない値が含まれている必要があります。
  - 電子メールアドレス項目属性 (メールなど)
    ヒント：この属性にはメールアドレス形式の値を含める必要があります。たとえば、value@email.com です。
- オプション:
  - - 名項目属性 (例: firstname)
    - 姓項目属性 (例: sn)
    - ユーザタイプマッピング属性
    - 部署のマッピング属性
    - グループマッピング属性
    - CXダッシュボードメタデータ属性

上記の情報が提供されたら、Qualtricsはサードパーティとのシボレス／SAML統合をセットアップできます。

SAML 応答の取得および解読方法

SAML 応答は、SAML 認証が成功した後、アイデンティティプロバイダからサービスプロバイダに送信されます。SAML 応答には、属性、証明書、バインドなど、アイデンティティプロバイダから渡されるすべての情報が含まれます。この情報は、権限またはログインプロセス全体に関する問題のトラブルシューティングを行う場合に役立ちます。

SAML 応答の取得に役立つ数多くのツールが用意されています。以下は、ほとんどのブラウザで使用できる方法ですが、どのような方法でも自由に使用してください。

ブラウザで新しいタブを開きます。
開発者ツールを開きます。
ヒント：使用するブラウザーに応じて、さまざまな場所に配置できます。このページのスクリーンショットは、Chrome ブラウザのルックアンドフィールを示しています。
ネットワークタブを選択します。
ログ保持を選択します。
このブラウザタブにログインの URL を入力し、SSO を使用してログインします。
名前で、”default-sp” という項目を選択します。
ヘッダの下のフォームヘッダの下に、SAML 応答というラベルの付いた文字のブロックが表示されます。
ヒント：サポートチームからSAML応答のリクエストがあった場合は、このステップで停止できます。
SAML 応答は現在 Base64 でエンコードされています。SAML 応答を読みやすい形式にデコードするには、オンラインで見つかった任意の Base64 デコーダを使用します。
ヒント：base64をエンコードし、base 64をデコードするためのツールを確認してください。