統合プロセスを開始する前に、Onshape Enterprise アカウントまたは試用版を要求し、承認され、Onshape Enterprise ドメイン名を持っている必要があります。

Enterprise ドメイン名は、たとえば MyCompanyName.onshape.com のような形になります。

一度に 1 つのシングルサインオン (SSO) プロバイダーのみ使用できることに注意してください。

このコンフィギュレーションプロセスは、組織用にカスタマイズしたパラメータ値がなければ、失敗する可能性があります。Microsoft Azure AD シングルサインオンダッシュボードを使用し、Onshape をアプリケーションとして追加し、組織に固有の値を記録します。次の手順では、これらの値が必要です。

Onshape は、送信されるすべての SAML 証明書リクエストに署名します。ADFS は受信した SAML リクエストを検証するため、ADFS 統合の場合を除き、証明書 (SAML 署名証明書など) をアップロードする必要はありません。Microsoft では、最新バージョンの ADFS から Microsoft Entra ID への移行も推奨しています。詳細は、ADFS の概要を参照してください。

ADFS 管理アプリケーションで「証明書利用者信頼」を作成する

1. ADFS ポータルで、[証明書利用者信頼] に移動し、[証明書利用者信頼の追加...] に移動します。
2. [要求に対応する] を選択します。
3. 「証明書利用者に関するデータを手動で入力する」を選択します。
4. 「SAML 2.0 WebSSO プロトコル用のサポートを有効にする」を選択します。
5. 「証明書利用者の SAML 2.0 SSO サービス URL」を https://cad.onshape.com/identity/saml2/sso に設定する
6. 「証明書利用者信頼 ID」を com.onshape.saml2.sp に設定する

SP 証明書とハッシュアルゴリズムを設定する

1. 上記の手順で作成された証明書利用者信頼をダブルクリックします。
2. 「署名」タブで、適切な証明書を追加します。
3. 「高度な」タブで、ハッシュアルゴリズムを SHA-1 に設定します。

要求を構成する

1. 証明書利用者信頼を右クリックして、「要求発行ポリシーを編集する」を選択します。
2. 以下に示す 3 つのルールを追加する (ルール #3 で Enterprise の DNS プレフィックスを使用します)
   1. ルール #1 テンプレート: 「要求として LDAP 属性を送信する」
   2. ルール #2 テンプレート: 「受信した要求をパススルーまたはフィルタリングする」
   3. ルール #3 テンプレート: 「カスタムルールを使用して要求を送信する」

ADFS メタデータファイルを
https://<server>/federationmetadata/2007-06/federationmetadata.xml
からダウンロードし、Onshape にアップロードします。
<サーバー> は、お使いの ADFS サーバーのホスト名に置き換えます。
上記の「Onshape DNS プレフィックスはこちら」は、お使いの companyName 値に置き換えます。たとえば、Onshape ドメインが acme.Onshape.com の場合は、このフィールドの値として「acme」を使用します。

コンフィギュレーションファイルを Onshape にアップロードする

コンフィギュレーションファイルまたはメタデータファイルをダウンロードした後は、次の手順に従ってください。

1. 専用のドメイン名を使用して、管理者として Onshape Enterprise アカウントにサインインします。
2. [ユーザー] メニューから [Company/Enterprise 設定] を選択します。
3. 左側のメニューから 認証 を選択します。
4. シングルサインオン (SSO) セクションでは、次の操作に従ってください。
   1. コンフィギュレーションファイルをアップロード をクリックします。
   2. 以前にダウンロードしたメタデータファイルを選択し、開く をクリックします。
   3. ダイアログで SSO プロバイダーの名前を入力し、 SSO プロバイダーを有効にする チェックボックスをオンにします。
   4. [OK] をクリックします。

   ユーザーが通常行う Onshape パスワードでのサインインを無効にして、Onshape URL の SSO プロバイダーでのサインインプロンプトだけを表示することができます。ただし、この手順は現時点では実行しないでください。この追加のサインインオプションを無効にする前に、管理者として Onshape にサインインできることを確認してください。SSO プロバイダーで正しくサインインできることを確認してから、後でここに戻ることができます。
   
   SSO を介した Onshape サインインの強制を選択すると、ユーザーは cad.onshape.com などの Enterprise 以外のドメインに直接サインインできなくなります。

5. Onshape アカウントからサインアウトします。
6. Onshape アカウントページのハードリフレッシュを行います。ページの下部には、お使いの SSO プロバイダー用の新しい サインイン リンクがあることに注目してください。

Onshape にサインインするには、管理者は Onshape アプリケーションを使用するために (シングルサインオンアカウントで) ユーザーをプロビジョニングする必要があります。

---