※本FAQは「StartIn」にてServiceNowとシングルサインオンを行うための設定方法となります。 　本設定以外のServiceNowに関するお問い合わせは受け付けできかねますのでご了承ください。 ※本手順にて正常に動作しない場合、弊社での確認のため、お客様の環境をお借りする場合があります。

ServiceNow と StartIn のシングルサインオン設定手順は以下のとおりです。

1. [StartIn] メタデータの取得
1-1. 統合管理画面 > StartIn > シングルサインオン メタデータ から、「メタデータドキュメントをダウンロード」をクリックし、メタデータをダウンロードしておきます。
　


2. [ServiceNow] プラグイン設定
2-1. ServiceNowの管理画面へログイン後、管理ページにある「Developer Program」ボタンをクリックします。
　

2-2. 管理ページにある「Start Building」ボタンをクリックします。
　

2-3. ServiceNowに、SSO機能を導入するためのプラグインをインストールします。
　「System Application > All Available Application > All」のメニューを開き、"Integration - Multiple Provider Single Sign-On Installer" をインストールします。画面右下の「Install」をクリックします。
　

2-4. 「Activate」をクリックします。
　

2-5. 完了したら「Close & Reload Form」をクリックします。
　


3. [ServiceNow] ACR (Account Recovery) の有効化
・SSOを使用するにあたっては、ACR (Account Recovery) の機能を有効化することが必須となります。
・ACRは、例えばIdPの証明書切れなどの問題によってSSOログインが成立しなくなってしまった場合に備え、管理者のみローカル認証によるログイン (SSOバイパス) ができるようにする機能です。
・なお、ACRを有効化すると次の変化があります。
　- ACR Userとして登録した管理者ユーザー以外は、ローカル認証でのログインは出来なくなります。
　- ACR Userがローカル認証でログインをした場合は、特殊なロールが割り当てられた状態でのログインとなり、操作できるのは基本的にSSO周りの設定のみに限定されます。adminロールを持つユーザーであっても、ACR Userとしてログインする場合はSSO周りの設定のみにしか権限が与えられません。

3-1. ACRのセットアップを行うには、Navigation BarからMulti-Provider SSO > Account Recovery > Propertiesのメニューを開きます。下図の画面が現れますので、Step2.の「Click here」の部分をクリックします。
　

3-2. ACR Userのローカル認証はローカルパスワード + MFAのため、MFAの登録を促されます。
　Google AuthenticatorなどのTOTPアプリを自身のスマートフォンにインストールした上で、画面のナビゲーションに従いデバイス登録をします。
　

3-3. デバイス登録が完了するとEnable account recoveryボタンを押せるようになります。ボタンをクリックしてACRの有効化は完了です。
　


4. [ServiceNow] シングルサインオン設定
4-1. Multi-Provider SSOの設定を実施します。「All > Multi-Provider SSO > Identity Providers」のメニューを開きます。
　

4-2. 「New」をクリックして、新しいIdPの登録を行います。
　

4-3. 「SAML」をクリックします。
　

4-5. 「Advanced」の各項目を以下のように設定します。
　

Name		＜任意＞
Encryption And Signing	Sign AuthnRequest	チェックしない

4-6. 内容を確認したら「Submit」をクリックして保存します。
　

4-7. 保存した後、Metadataを出力できます。「Generate Metadata」をクリックします。
　

4-8. ダウンロードしたService Provider Metadataの中身をコピーしメモ帳などで「.xml」ファイルとして保存します。
　


5. [StartIn] シングルサインオン設定
5-1. 統合管理画面 > StartIn > シングルサインオン > サービスプロバイダー設定 > 追加 から、ServiceNow用のサービスプロバイダー設定を行います。
　

サービスプロバイダー名	<任意の名称>
ファイルからインポート	4-8で取得したメタデータを選択
認証設定	<任意の設定>
有効	ON
IdP署名設定	レスポンスに署名する：ON アサーションに署名する：ON
POST Bindingを強制する	ON
デフォルトのName ID	メールアドレス
Name IDマッピング	（オプション） OFFの場合、StartInユーザーのメールアドレスがServiceNowへ連携されます。 ONの場合、ここで選択したStartInユーザーの属性値がServiceNowへ連携されます。
属性の設定	属性名 属性名のフォーマット 値 User.email Unspecified ここで選択したStartInユーザーの属性値がServiceNowへ連携されます。 ServiceNowのメールアドレスと一致する属性値を選択してください。

5-2. 統合管理画面 > StartIn > ID管理 > 管理グループ から、作成したサービスプロバイダーへのアクセス許可を設定します。
　詳細は「DigitalArts@Cloud」マニュアル を確認してください。