# OneLogin

Steps not yet verified in the identity provider's current admin console.

Recommended protocol: SAML 2.0.

## SAML 2.0

### OneLogin を SAML 2.0 で接続

1. OneLogin管理ポータルで、アプリケーション「SAML Custom Connector (Advanced)」を追加します。表示名、アイコン、説明（例：KeenAuth）を設定して保存します。
2. 「Configuration」に移動します。「Audience (EntityID)」にKeenAuthのEntity ID **SP entity ID** を入力します。サービスプロバイダがこれを検証する場合は、一部の構成で必須となる「Recipient」に、アサーションを受信するエンドポイントも入力します。
3. 「ACS (Consumer) URL Validator (required)」に、KeenAuthのACS URL **ACS URL** に正確に一致する正規表現を入力します。正規表現は ^ で始まり $ で終わる必要があります（両方のアンカーがないと検証を回避されるおそれがあります。本番環境では \* ワイルドカードを使用しないでください）。その後、「ACS (Consumer) URL (required)」に **ACS URL** を入力します。
4. 任意：シングルログアウトを使用する場合は、「Single Logout URL」に **single logout URL** を入力します。「SAML initiator (required)」では、IdP起点のフローの場合は「OneLogin」を、SP起点のフローの場合は「Service Provider」を選択します。SP起点の場合は、「Login URL」にSPのログインURLを入力します。
5. SAML nameID format（必須）を選択します：Unspecified、Persistent、Transient、またはEmail（デフォルト）。KeenAuthがユーザーに使用する識別子と一致させてください。「SAML signature element (required)」では Response または Assertion を選択します。任意で「Encrypt assertion」とSAML暗号化方式を選択できます。
6. 「SAML not valid before」「SAML not valid on or after」「SAML sessionNotOnOrAfter」（いずれも必須）を分単位で設定します。アプリで必要なその他のSAML設定も行ってください。RelayState は任意です。
7. アプリケーションをユーザーに割り当て、このアプリのOneLogin IDプロバイダの値（issuer、SAML endpoint、証明書またはメタデータ）をKeenAuthにコピーし、接続テストを実行します。

Values in bold are shown on the connection's page in the Admin Portal, where this guide has them filled in.