SAML アプリケーションは、X.509 証明書を使用して、ID プロバイダ（IdP）とサービス プロバイダ（SP）の間で共有されるメッセージの信頼性と整合性を確認します。特権管理者は、管理コンソールを使用して次の操作を行えます。
- SAML アプリケーションで使用中の X.509 証明書を簡単に表示する
- 有効期限が迫っている X.509 証明書を特定する
- 新しい証明書を作成して SAML アプリケーションに割り当てます。これは証明書のローテーションと呼ばれます。
SAML 証明書のローテーションを行う理由
X.509 証明書の有効期限は 5 年間です。証明書の有効期限が近づいている場合や、証明書が侵害された場合は、証明書をローテーションする必要があります。ローテーションする前に証明書の有効期限が切れると、ユーザーは、新しい証明書に置き換えるまで、その証明書を使用する SAML アプリケーションに SSO でログインできなくなります。
デフォルトの証明書の有効期限が切れる前に、5 年間の有効期間を持つ 2 つ目の証明書を追加し、有効期限が切れる証明書からアプリを切り替えます。2 つの有効な証明書があれば、古い証明書を使用しているアプリに影響を与えることなく、一部のアプリを新しい証明書に切り替えてテストできます。すべてのアプリを新しい証明書に移行したら、古い証明書を削除できます。
重要: 管理コンソールで SAML アプリに新しい証明書を割り当てた後は、対応する SP 側の SSO 設定も新しい証明書で更新する必要があります。更新しないと、アプリでの SSO が失敗します。
SAML 証明書を管理する
アカウントには、すべての SAML アプリケーションに使用できるデフォルトの証明書が 1 つあります。2 番目の証明書を追加するか、一方または両方の証明書を削除して新しい証明書を生成できます。
-
Google 管理コンソールで、メニュー アイコン
[
セキュリティ] [認証] [SAML アプリケーションによる SSO] に移動します。この操作を実施するには、特権管理者としてログインする必要があります。
[証明書] には、現在の X.509 証明書が表示されます。一度に最大 2 つの証明書を保持できます。証明書の名前、有効期限、内容、SHA-256 フィンガープリントが表示されます。右側のボタンを使用して、証明書をコピー、ダウンロード、削除します。
（省略可）証明書が 1 つしかない場合は、[別の証明書を追加] をクリックして 2 つ目の証明書を作成します。
注: 直近に生成された（最新の）証明書が、新しい SAML アプリの SSO を設定するために使用されるデフォルトの証明書になります。
（省略可）新しい証明書を作成するには:
証明書を削除するには、削除アイコン
をクリックします。削除する証明書がインストール済みの SAML アプリで使用されている場合は、影響を受けるアプリがウィンドウに一覧表示され、それらのアプリに新しい証明書を割り当てるまで、アプリでの SSO が利用できなくなるという警告が表示されます。
[証明書を削除] をクリックします。証明書を削除すると、次のような結果になります。
証明書が 1 つある場合は、新しい証明書が自動的に生成され、置き換えられます。
証明書が 2 つあり、証明書 1 を削除すると、証明書 2 が証明書 1 に置き換わります。
SAML アプリで使用されている証明書を置き換えた場合は、次のセクションの手順に沿って、影響を受けるアプリに新しい証明書を割り当てます。また、SP の管理ウェブサイトで、それらのアプリの SSO 設定の証明書を更新する必要があります。
ヒント: SAML 証明書イベント（削除、作成、SAML アプリに割り当てられた証明書の変更）は、管理監査ログに記録されます。
SAML アプリケーションで使用する証明書の更新
-
Google 管理コンソールで、メニュー アイコン
[
アプリ] [ウェブアプリとモバイルアプリ] に移動します。アクセスするには、モバイル デバイス管理の管理者権限が必要です。
- SAML アプリをクリックして設定ページを開きます。
[サービス提供者の詳細] をクリックします。
[証明書] には、アプリで使用されている現在の証明書（証明書 ID と有効期限を含む）が表示されます。アプリの設定に最初に使用した証明書を削除すると、「証明書が割り当てられていません」という警告が表示されます。
下矢印
をクリックし、証明書を選択します。（省略可）使用可能な証明書が他にない場合や、新しい証明書を作成する必要がある場合は、[証明書を管理] をクリックし、上記の SAML 証明書を管理するの手順を行います。
SAML アプリに割り当てられた証明書を変更したら、サービス プロバイダのウェブサイトで、新しい証明書を使用してアプリの SSO 構成も更新してください。SP 側の構成も更新されるまで、SAML アプリでの SSO は機能しません。
重要: 証明書を置き換えた後、新しい証明書が SAML アプリケーションで使用できるようになるまでに最大で 24 時間かかることがあります。