IDプロバイダーの管理

カスタムIDプロバイダー（IdP）を設定して、組織のシングルサインオン（SSO）を有効にします。IdPを設定すると、IDE、Bob Shell、Bob WebでIBM Bobにログインする際、Bobが認証のためにそのIdPにリダイレクトします。

BobではSAMLおよびOpenID Connect（OIDC）IDプロバイダーを設定できます。組織のIDプラットフォームに合ったプロトコルを使用してください。

IBM Bobは以下のSSOプロトコルと互換性があります：

設定とトークンの要件を満たす他のOIDCプロバイダーも使用できますが、以下のプラットフォームは検証済みです：

IdPの追加は2ステップのプロセスです。まずIdPを設定して保存し、次にそれを使用するメールドメインを追加します。

SAMLには以下の設定の詳細が必要です：

Identity providerフィールド — これらはIdPから取得します：

Service providerフィールド — 前のステップで生成したファイルを使用します：

オプションフィールド：

Attribute mappingセクションで、IdPのユーザー属性をIBM Bobのユーザーフィールドにマッピングします。マッピング形式はBob属性名 → IdP属性名またはURIです。正しい属性名についてはIdPの設定を確認してください。

Bob インスタンス管理者が Bob で OIDC IdP レコードを設定する前に、IdP 管理者がまず ID プロバイダー内で OIDC アプリケーション（クライアント）を作成する必要があります。このステップで生成された値が、Bob インスタンス管理者が Bob に IdP を追加する際に入力するものになります。

ID プロバイダーで Web アプリケーション（サーバーサイド / 機密クライアント）を作成し、付与タイプ Authorization Code を有効にします。Bob は Authorization Code フローのみを使用します — Implicit、Device Code、Client Credentials は選択しないでください。

以下のコールバック URL を OIDC アプリケーションに登録してください。ほとんどのプロバイダーは文字列を厳密に照合するため、正確にコピーしてください：

Bob は、すべての Authorization Code 交換レスポンスに refresh_token が含まれていることを要求します。プロバイダーが別のメカニズム（例：プロバイダー固有のスコープ、またはコード交換ごとに無条件に）でリフレッシュトークンを発行する場合は、それに応じて設定してください — ただし、クライアントがリフレッシュトークンを受け取れることを確認してください。refresh_token が返されない場合、ログインは中断されます。

OIDC アプリケーションのトークンエンドポイント認証方式を client_secret_post に設定してください。Bob はすべてのトークンリクエストで client_id と client_secret をフォームボディパラメーターとして送信します。client_secret_basic、private_key_jwt、none は使用できません。

クライアントアプリケーションが作成されたら、以下の値を Bob インスタンス管理者に渡してください：

OIDCプロバイダーディスカバリーを使用できます。Retrieve configurationボタンをクリックして、プロバイダーの.well-known/openid-configurationドキュメントからエンドポイントフィールドを自動入力するか、各エンドポイントURLを手動で入力できます。

OIDCには以下の設定の詳細が必要です：

OIDCはAttribute mappingを使用しません。Bobはid_tokenのemailクレームからユーザーのメールアドレスを直接読み取ります。

IdPを保存した後、認証にそのIdPを使用するメールドメインを追加します。

IBM Bobでは、SSOが適用される前に、組織が各ドメインを所有していることを確認する必要があります。確認は、ドメインにDNS TXTレコードを追加することで行います。

IBM BobがTXTレコードを正常に検出すると、ドメインの確認ステータスがVerifiedに更新されます。DNS変更が反映されるまで時間がかかる場合があります。