SAP IAS SAML アプリケーション設定

SAP ByDesign は OAuth 2.0 SAML フローをサポートしており、外部の ID プロバイダー（IdP） が発行する署名付き SAMLアサーション が必要です。このアサーションは、SAP ByDesign API へのリクエスト時に アクセストークン と交換されます。

本ガイドでは、SAP Identity Authentication Service（IAS） で SAML アプリケーション を設定し、認証フローの一部として SAP ByDesign アクセストークンと交換するために必要な SAML アサーション を生成する方法について説明します。

1. SAP IAS 署名証明書の取得
   • SAP IAS 管理画面 で、次の場所に移動します：アプリケーション & リソース > テナント設定 > SAML 2.0 設定
   • 署名証明書 セクションで、レンズアイコン をクリックして有効な証明書を表示します
   • 証明書情報 セクションの証明書内容全体をコピーします（SAMLアサーション署名 の検証に使用されます）
2. SAP ByDesign での OAuth2 クライアントアプリの作成
   • 管理センター > OAuth2 クライアントアプリケーションの管理 に移動します
   • クライアントアプリケーションの登録 ボタンを使用して新しいアプリケーションを作成します
   • アプリケーション名 と アプリケーションURL フィールドに任意の値を入力します
   • *X.509 証明書 フィールドに署名証明書の内容を貼り付けます
   • 保存後、生成された APIキー をコピーします（接続設定の OAuthClientId として使用されます）
3. SAP IAS での SAML アプリケーションの作成（未作成の場合）
   • SAP IAS 管理コンソール で、次の場所に移動します：アプリケーション & リソース > アプリケーション > 作成
   • 以下のプロパティを入力します：
     • 表示名：（任意の名前）
     • プロトコル：SAML 2.0
     • ホームURL：空欄のまま
     • 親アプリ：なし
   • 作成 をクリックします
4. SAML 2.0 設定（既存アプリで設定済みの場合はスキップ）
   • SAP IAS 管理画面 で、SSO に使用している既存または作成した SAMLアプリケーション を開きます
   • 信頼 > シングルサインオン > SAML 2.0 設定 に移動します
   • プリンシパル伝播用URL を <SAP ByDesign ベースURL>/oauth/token に設定します（例：https://apisalesdemo2.successfactors.eu/oauth/token）
   • サブジェクト名識別子 で、SAP IAS と SAP ByDesign の両方でAPIユーザーのユーザー名と一致する値を選択します
   • デフォルト名前ID形式 で、Unspecified（urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified）オプションを選択します
   • アサーション属性 で、api_key という名前の新しい属性を追加し、値を SAP ByDesign IASアプリ の APIキー に設定します
5. トークン交換グラントフローの有効化
   • 画面右上の 編集 ボタンをクリックし、SAML 2.0 プロトコルタイプを選択して、アプリケーションプロトコルを一時的に OpenID Connect に切り替えます
   • 信頼 > シングルサインオン > OpenID Connect 設定 に移動します
   • 任意の グラントタイプ を有効にします。本製品 は以下のグラントをサポートしています。推奨設定：
     • 認可コード（PKCEありまたはなし）または パスワード
     • トークン交換（RFC 8693）：SAMLアサーションの取得に必須
     • リフレッシュ：任意ですが、本製品 でアクセストークンを自動更新する場合は推奨
   • 保存 してから、アプリを SAML 2.0 プロトコルに戻します。そうしないと、このアプリで SAMLトークン交換 フローが機能しません
6. クライアント認証の設定
   • アプリケーション > アプリケーションAPI > クライアント認証 に移動します
   • シークレット セクションの 追加 ボタンをクリックして クライアントシークレット を作成します
   • クライアントID と クライアントシークレット をコピーします。これらは 本製品 の SSOProperties で使用されます：
     • OAuthClientId：SAP IAS OpenID アプリケーションの クライアントID
     • OAuthClientSecret：SAP IAS OpenID アプリケーションに追加した クライアントシークレット