ABBYY FlexiCapture でシングル サインオンがどのように機能するか

ABBYY FlexiCapture Web ステーションにおけるシングル サインオンのフローを、ID プロバイダーに送信される AuthnRequest から、アクセスを許可するチケットが発行されるまで追って説明します。

SSO 認証は Web ステーションでのみサポートされています。ユーザーはステーションの起動時に認証を行います。

ユーザーは、ABBYY FlexiCapture のユーザー名とパスワードの代わりに、外部の ID プロバイダー を介して認証することもできます。たとえば、企業の Active Directory と統合された Azure Active Directory があります。

​

シングル サインオン認証フロー

1. ユーザーがサインインを開始する

   ユーザーは [外部サーバー名] でログイン ボタンをクリックします。

2. ABBYY FlexiCapture が AuthnRequest を送信する

   ABBYY FlexiCapture は AuthnRequest メッセージを生成し、それを URL の GET リクエストの SAMLRequest パラメーターに格納して、ID プロバイダーにリクエストを送信します。暗号化された SAML SSO 接続はサポートされていません。

   AuthnRequest は次のようになります。

   <samlp:AuthnRequest ID="id81c79c5cecf44dfbbecdc08ae6c6393f"
                       IssueInstant="2019-07-17T10:59:19Z"
                       Version="2.0"
                       xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
                       xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
     <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://localhost/FlexiCapture12/Login/ten1/AccessToken/Saml</Issuer>
   </samlp:AuthnRequest>
   
3. ID プロバイダーがユーザーを認可する

   ID プロバイダーがユーザーを認可します。

4. ID プロバイダーがアサーションを返す

   成功すると、ID プロバイダーはアサーション メッセージを生成します。そのメッセージを SAMLResponse パラメーターに格納し、リクエストを ABBYY FlexiCapture に送り返します。

5. リクエストが Application Server に到達する

   アサーション メッセージを含むリクエストは、ABBYY FlexiCapture Application Server に送信されます。次に、サーバーはユーザーが指定されたステーションにログインできるかどうかを判断します。

6. Application Server がアサーションを検証する

   検証には、ID プロバイダーから取得した公開証明書を使用します。その後、Application Server はユーザーを認可します。

7. Application Server がチケットを発行する

   Application Server は必要な操作を実行し、内部認証チケットを発行します。

8. ユーザーが Web ステーションにアクセスする

   発行された認証チケットによって、適切な Web ステーションへのアクセスが許可されます。

​

サポートされている ID プロバイダー

この機能は、Azure Active Directory、OneLogin、Okta でテストされています。

複数の ID プロバイダーを同時に使用できます。たとえば、テナントごとに異なるプロバイダーを使用できます。既定の方法を含む既存の認証方法と並行して、新しい認証方法を使用できます。

SAML 認証の詳細については、ABBYY FlexiCapture 12 で SAML ID プロバイダーを使用して認証する を参照してください。