Google Workspace（G Suite）のSAML認証の設定方法

※ Google Workspace にて事前の設定が必要です。
※ Google Workspace にトラスト・ログイン（旧 SKUID）と同じメールアドレスで
　アカウントを作成しておく必要があります。
※ 最新の設定手順は、Googleからご提供されているマニュアルをご確認くださいますよう
　お願いいたします。
サードパーティの ID プロバイダを使用して SSO を設定する
※Google側で他のIDPを組織のSSOプロファイルとして設定済みで、
　トラスト・ログインを追加のSSOプロファイルとして設定する場合は
　こちらのテンプレートでは対応できません。独自SAMLアプリ登録にてご対応ください。

Google に連携している複数サービスをご利用の場合、本マニュアルのSAML設定後、以下のマニュアルもご参照ください。
1つのSAML認証の設定を複数アプリで利用する方法

トラスト・ログインの管理ページの設定

トラスト・ログインにログインし、「管理ページ > アプリ」メニューを開き、画面右上の「アプリ登録」ボタンを押します。
「企業アプリ登録」画面で検索し、「Google Workspace（G suite） (SAML PCモバイルアプリ対応版) 」を選択します。
「IDプロバイダーの情報」の「IDプロバイダーURL」を控え、「証明書を取得」を押し証明書をダウンロードしておきます。ダウンロードした証明書の拡張子を「.cer」に変更します。
（後ほどGoogle Workspace側の設定の際に必要になります。）

「サービスプロバイダーの設定」を設定します。

「ログインURL」「エンティティID」「サービスへのACS URL」の赤枠には [Google Workspaceに登録したプライマリドメイン名] を、「ログインURL」の青枠にはIdP-Initiated SSOでの認証成功後に遷移するGoogleサービスのURLを記入します。(青枠を空欄にするとGoogleアカウントのホーム画面を表示します。)

https://accounts.google.com/a/[your_primary_domain]/ServiceLogin?continue=https://mail.google.com

参考例：

Googleサービス	URL
Gmail	https://mail.google.com
Accounts	https://accounts.google.com
Calendar	https://calendar.google.com
Google Drive	https://drive.google.com
Google Meet	https://meet.google.com/
Google Cloud Platform	https://console.cloud.google.com/

Google Workspaceのプライマリドメイン名は管理者ページでご確認ください。

「登録」ボタンを押します。

Google Workspace の設定

Google管理コンソールにログインします。

メニューから「セキュリティ > 認証＞サードパーティのIdpによるSSO＞組織向けサードパーティのSSOプロファイル」を選択します。
「サードパーティの ID プロバイダで SSO を設定する」、「ドメイン固有の発行元を使用」にチェックを入れ有効にし、上の「トラスト・ログインの管理ページの設定」の 3 で控えた情報と証明書を以下の通り登録・アップロードします。

Google Workspace トラスト・ログイン

ログインページのURL IDプロバイダーURL

ログアウトページURL https://portal.trustlogin.com/

認証の確認証明書
「保存」をクリックして完了です。

トラスト・ログインのユーザーの設定

① ユーザーがマイページで追加する場合

「マイページ」で「アプリ追加」ボタンを押します。
「アプリ登録」画面で「Google Workspace（G suite） (SAML PCモバイルアプリ対応版) 」を選択し、画面右上の「次へ」ボタンを押します。
「表示名」を変更する場合は入力し、「登録」ボタンを押します。
「マイページ」または「拡張機能」でアプリをクリックし、ログインが成功するかご確認ください。

②管理者がメンバーを追加する場合

「管理ページ > アプリ」メニューで「Google Workspace（G suite） (SAML PCモバイルアプリ対応版) 」アプリを検索しクリックします。
「メンバー追加」をクリックし、メンバー一覧から追加するユーザーを選択し「登録」ボタンを押して追加します。

一部のユーザーをSAML認証の対象外とする場合の設定について

Google WorkspaceへのSAML認証を有効にすると、Google側ドメイン内のすべてのユーザがSAML認証の対象となります。
「一部のユーザーをSAML認証の対象外としたい場合」はこちらをご参照ください。

① ユーザーがマイページで追加する場合

「マイページ」で「アプリ追加」ボタンを押します。

「アプリ登録」画面で「Google Workspace（G suite） (SAML PCモバイルアプリ対応版) 」を選択し、画面右上の「次へ」ボタンを押します。

「表示名」を変更する場合は入力し、「登録」ボタンを押します。

「マイページ」または「拡張機能」でアプリをクリックし、ログインが成功するかご確認ください。

②管理者がメンバーを追加する場合

「管理ページ > アプリ」メニューで「Google Workspace（G suite） (SAML PCモバイルアプリ対応版) 」アプリを検索しクリックします。

「メンバー追加」をクリックし、メンバー一覧から追加するユーザーを選択し「登録」ボタンを押して追加します。

一部のユーザーをSAML認証の対象外とする場合の設定について

Google Workspace	トラスト・ログイン
ログインページのURL	IDプロバイダーURL
ログアウトページURL	https://portal.trustlogin.com/
認証の確認	証明書