IMS移行参考情報 - SSOの起点方式の違い

このドキュメントの想定読者

SSOを設定済みのMarketoインスタンスの管理者で、お客様社内のIT管理者、Admin Consoleのシステム管理者と協力し、Adobe Admin ConsoleでもSSOを設定予定の方

SAML認証の起点方式の違い 

SSO (Single Sign-On) を実現する方法はいくつかありますが、Adobe では 主に、SAML を利用した認証方式（以下、SAML 認証）を採用しています。 SAML は、異なるドメイン間でユーザー認証を行うための XML ベースの標準規格です。

SAML 認証では、Service Provider (以下、SP) と Identity Provider (以下、IdP) のどちらを起点とするか(どちらに先にアクセスするか)によって、以下の 2 つの方式に分かれます。 

• SP 起点方式 
• IdP 起点方式 

Adobe IMS 移行前は、IdP 起点方式しかサポートしていませんでした。

一方、Adobe IMS 移行後は、SP/IdP どちらの起点方式にも対応しています。

(IdP にEntra IDを使用しかつOIDCを利用している場合は、プロトコルの仕様上SP起点方式のみ)

起点方式が異なると最初のアクセス先が異なるため、どちらの起点方式で構築しているかは注意が必要です。

この記事は各起点方式の違いと、方式が異なるところからSSOログインを試みた場合に表示されるエラー、およびその対処法法についてまとめました。

※ SP は Marketo Engage が該当し、IdP は Azure Entra ID、Google Identity、Okta などのシングルサインオンサービスが該当します。 

参考1：メッセージフロー 

• SP 起点方式 – SP から認証要求（AuthnRequest）を開始し、IdP にリダイレクトする方式 

• IdP 起点方式 – IdP から直接ユーザー認証を開始し、認証済みの SAML Response を SP に返す方式

エラーと対処方法

異なる起点からSP であるAdmin Console もしくはMarketo Engage の起動を試みるとエラーになります。 

IMS 移行後（SP 起点方式環境）で IdP 起点でログインを試みた場合

• 表示されるエラーメッセージ 

Could not log you in

This might be a sign of an IDP initiated login, which we don't support.

• エラー画面

• 対処方法

SPであるAdobe Experience Cloud(https://experience.adobe.com/) からログインしてください。

もしIdP からログインしたい場合は、以下ドキュメントをもとに、IdP 起点方式に対応できるよう設定を行なってください。

参考)ユーザー向けの Identity provider イニシエーター ログインを設定する

IMS 移行前（IdP 起点方式環境）で SP 起点でログインを試みた場合

• 表示されるエラーメッセージ 

IdPを使用してログインしてください。 

エラー:メール認証を成功させるにはアクティブなユーザーセッションが必要です。IDプロバイダー(IdP)のURLを使用して、Marketoサブスクリプションにサインインしてください。セッションが確立されたら、受信トレイと認証メールに戻ってください。メール内の「メールアドレスを確認」リンクをもう一度クリックしてください。 

• エラー画面

• 対処方法

IdPにログインしてから、Marketo Engage を起動してください。 

SSO ユーザーについて、メール検証を行いたい場合は、IdP にログインしMarket Engage に起動した状態で、認証メール内の「メールアドレスを確認」リンクをクリックしてください。