SSO フェデレーションの概要
SSO フェデレーションを使用すると、ユーザーは組織の既存の ID システムを使用して Criteo にアクセスできます。Criteo 専用の認証情報は必要ありません。設定が完了すると、フェデレーション・ドメイン上のユーザーが Criteo にアクセスした際に、ID プロバイダー（IdP）のログインページにリダイレクトされます。
Criteo はフェデレーションに SAML 2.0 を使用します。 2つのシステムは、信頼関係を確立するために以下のメタデータをやり取りします。
学期 | 役割 | システムの例 |
|---|---|---|
サービスプロバイダー（SP） | Criteo — ユーザーがアクセスしたいアプリケーション | — |
ID プロバイダー（IdP） | ユーザーを認証し、Criteo に SAMLアサーションを送信する組織の ID システム | Okta、Microsoft Entra ID (Azure AD)、AD FS |
SSO フェデレーションはすべてのお客様にご利用いただけます。まずは Criteo の担当者までお問い合わせください。
始める前の注意事項
Criteo の担当者に連絡する前に、以下の情報をご準備ください。 Criteo チームは、オンボーディング・プロセスの一環として、以下の情報をお伺いします。
情報 | 説明 |
|---|---|
連携するドメイン | ユーザーがログインに使用するメールドメイン（例： |
テストユーザー | サービス開始前に連携を検証するためのメールアドレスの短いリスト。テストを開始するには、すべてのテストユーザーが有効な Criteo アカウントを保有している必要があります。 |
Idp タイプ | 組織がどの ID プロバイダーを使用しているか、およびユーザー照合のためにどの SAML 属性を送信するかを指定します。 Criteo では「 |
環境 | 本番環境で別のメタデータファイルを使用する予定なのか、それともテスト環境と本番環境で同じ IdP メタデータを共有する予定なのかを指定します。 |
目標稼働開始日 | フェデレーション・ドメイン上のすべてのユーザーに対して SSO を有効にする日付を指定します。 |
IdP の値を確認する
オンボーディングの際は、署名証明書、IdP エンティティ ID、および SSO URL を Criteo に提供する必要があります。これら3つを一度にまとめて取得する最も手っ取り早い方法は、IdP のメタデータ XML ファイルをエクスポートすることです。このファイルでは、3つすべてが1つにまとめられています。以下のガイドでは、最も一般的な ID プロバイダーでこれらの値を確認する方法を順を追って説明しています。
Okta
最も手っ取り早い方法は、SAML アプリケーションから IdP のメタデータ XML を直接ダウンロードすることです。このファイルには、エンティティID、SSO URL、および署名証明書がすべて含まれています。
Criteo 用に設定された Okta アプリケーションから、［サインオン］→［SAML 署名証明書］→［アクション］→［IdP メタデータの表示］の順に移動し、XML ファイルを保存します。
参照：
Microsoft Entra ID（Azure AD）
Criteo が必要とする値は、以下の2つの情報源から得られます。
エンタープライズ企業アプリの SSO ページ — ログイン URL、Entra ID、および証明書のダウンロードを提供します。エンタープライズ企業のアプリケーション → シングルサインオン設定ページの順に移動します。
テナント全体のフェデレーション・メタデータ・エンドポイント — 多くの場合、最速で情報を得られる単一の情報源です。
https://login.microsoftonline.com/<tenant>/FederationMetadata/2007-06/FederationMetadata.xmlからアクセスできます。
参照：
AD FS
AD FS はオンプレミス型のソフトウェアであるため、値を確認するための顧客向けガイドは存在しません。以下の2つの手順を行う必要があります。
フェデレーション・メタデータ URL — エンティティ ID と SSO エンドポイントを提供します。
トークン署名証明書 — AD FS 管理コンソールの［サービス］→［証明書］から個別にエクスポートされます。
以下の参照の解釈についてサポートが必要な場合は、Criteo の担当者にお問い合わせください。
参照：
Criteo が提供するもの
オンボーディングが開始されると、Criteo はサービスプロバイダー（SP）メタデータファイルを共有します。これを使用して、IdP 内で Criteo アプリケーションを設定してください。これには以下の値が含まれます。
フィールド | 説明 |
|---|---|
オーディエンス URI（エンティティ ID） | Criteo の SSO サービス用の一意の識別子 |
返信 URL（ACS URL） | ログイン成功後に IdP が SAML アサーションを送信する宛先 URL |
X509 証明書 | Criteo の署名証明書 |
SSO オンボーディング・プロセス
ステップ1：オンボーディングのリクエスト
SSO フェデレーションのプロセスを開始するには、Criteo の担当者にご連絡ください。リクエストが登録されると、Criteo の担当者から以下の内容を含む案内メールが送信されます。
IdP で Criteo をサービスプロバイダーとして構成するために必要な、SP メタデータファイル とその主要な値（オーディエンスURI（エンティティ ID）、返信 URL（ACS URL）、NameID 形式、および X509 証明書）。
統合を進める前に、Criteo から回答を求められる質問の一覧。
このメールを IT チームの担当者に転送し、IdP の設定を開始してもらってください。
ステップ 2：IdP の設定と返信
Criteo から提供された SP メタデータファイルを使用して、ID プロバイダーで Criteo をサービスプロバイダーに設定します。ご利用の ID プロバイダーがメタデータのアップロードに対応している場合は、ファイルを直接使用できます。そうでない場合は、SAML 設定で個々の値を手動で追加してください。
IdP の設定が完了したら、案内メールで以下の情報を返信します。
IdP メタデータファイル — XML ファイルを返信に添付します。また、値を個別に指定することもできます。
IdP エンティティ ID
SSO エンドポイント URL
署名証明書
連携するドメイン — SSO を使用するメールドメイン（例：
@yourcompany.com）ID プロバイダー — お使いの IdP の名前（例：Microsoft Entra ID、Okta、AD FS）
ユーザー識別子 — Criteo がユーザーの照合に使用する SAML 属性。 Criteo では「
emailAddress」を推奨しています。テストユーザー — 展開前に SSO をテストするユーザーのメールアドレス
環境 — 本番環境用に個別のメタデータファイルを提供する予定があるかどうか
目標稼働開始日（任意）
ステップ3：Criteo による検証と設定
Criteo チームが貴社の返信を確認し、技術的な詳細を検証します。何か不足している点や不明な点があれば、作業を進める前に、担当者から直接連絡し、解決します。
検証が完了すると、Criteo は指定されたテストユーザー向けに SSO を設定し、テストを開始できることを通知します。
ステップ4：アクティベーションのテスト
Criteo は現時点で、ドメイン内のすべてのユーザーではなく、合意済みのテストユーザーに対してのみ SSO を有効にします。テストを開始するための URL がメールで送信されます。
最適な結果を得るには、各ユーザーが以下の手順に従って SSO をテストする必要があります。
既存のクッキーやセッションが使用されないようにするには、シークレットウィンドウを開いてください。
account.criteo.com にアクセスして、仕事用のメールアドレスを入力してください。
会社のログインページにリダイレクトされます。
（Criteo アカウントの認証情報ではなく）会社の認証情報を使用してサインインします。
認証に成功すると、個人情報が表示された［アカウント情報］ページが表示されます。これにより、SSO テストが正常に完了したことが確認できます。
テストが完了したら、通常どおり Criteo プラットフォームにアクセスできます。
この段階では、ユーザーごとに SSO が有効化されます。サービス開始まで、他のユーザーは通常通りログインし続けます。
ステップ5：テスト
テストユーザーは Criteo から共有された URL 経由でログインし、以下の点を確認します。
ユーザーが IdP のログインページにリダイレクトされる
ログイン後、ユーザーは Criteo アカウントにリダイレクトされる
ユーザーが適切なアカウントやデータを確認することができる
何か問題がある場合は、同じメールのスレッドを通じて、スクリーンショットやエラーメッセージを Criteo に共有してください。この段階であれば、ご要望に応じて統合を元に戻すことができます。
ステップ6：本番環境への移行
すべてのテストユーザーが正常にログインできるようになると、Criteo は合意された日付に、貴社のフェデレーション・ドメイン上の全ユーザーに対して SSO を有効化します。
サービス開始後に問題が発生した場合は、Criteo に連絡し、設定のロールバックまたは修正を依頼してください。
SSO の継続的なメンテナンス
一部のフィールドは初期設定時に設定され、変更が必要になることはほとんどありません。また、統合の運用期間中は、定期的な更新が必要なものもあります。
めったに変更されないフィールド
以下のフィールドはオンボーディング時に設定され、その後変更されることはありません。
SP エンティティ ID
SP ACS /返信 URL
IdP エンティティ ID
ユーザーマッチングに使用される SAML 属性
随時更新されるフィールド
フィールド | 変更する理由 |
|---|---|
Criteo の SP 署名証明書 | 発行日から5年間有効です。更新が必要になった際には、Criteo から通知します。 |
貴社の IdP 署名証明書 | 有効期間は、お使いの IdP の設定によって異なります。有効期限が切れる前に更新してください。また、更新後のメタデータファイルを、事前に Criteo に共有してください。 |
フェデレーション・メールドメイン | サービス開始後でも、新しいドメインを追加したり、古いドメインを削除したりできます。 |
IdP メタデータ | IdP システムを移行したり、環境を変更したりする場合は、更新が必要になる場合があります。 |
サービス開始後にこれらのフィールドを更新する場合は、Criteo の担当者にご連絡ください。