作りこむよりシンプルに: SAP Concur Travel and Expense を Azure AD で SSO する構成にしてみた

Azure AD で SSO してみた第5弾。今回は、Concur Travel and Expense です。

毎度のことながら、公開手順を鵜呑みにしてはいけないと思いつつ、チェックポイントがわかってきました。

前提条件

Concur 側では、特にライセンス的な制約はないようです。

Azure Active Directory 管理センター - エンタープライズアプリーケーションを開きます。a新しいアプリケーション - ギャラリーで SAP Concur Travel and Expense を検索し、名前を付けて保存します。

アプリケーションの追加がおわったら、シングルサイン - SAML と進めて以下の2か所に設定します。

基本的なSAML構成セクションで、契約のリージョンにあわせて設定します。

属性とクレームを、必要に応じて設定します。一意のユーザーIDは要注意。

Concurのログインアカウントがメールアドレスなら、user.emailに設定します。UPNでログインするなら、変更は不要です。

あとは、メタデータXMLファイルをダウンロードします。

Concur SSO セルフサービスツールで、先ほどのメタデータファイルをアップロードし、SSOの名前を付けて保存しましょう（Office365 SSO、など）

あとはAzure AD - エンタープライズアプリケーション -　SAP- Concur Travel and Expsense - ユーザーとグループ、にてユーザーを割り当てて、実際にテストしましょう。

プライベートブラウズで、コンカーのログイン画面でIDを入力すると、どのログイン方法を使うか選択する画面になります。上記でつけた名前（Office365 SSO、など）をクリックします。

するとOffice365のログイン画面にリダイレクトされますので、Office365のUPN入力して、パスワード入力して、無事サインインしてたら、成功です。

Concurの手順書も、Azure AD側の手順書も、user.Emailを使って書いてあります。

Concur:
「The default Unique User Identifier is user.userprincipalname. In SAP Concur, the Unique User Identifier must use the email address format.」
AAD:
「通常、user.userprincipalname は user.mail に変更する必要があります」

鵜呑みにすると、UPNとEmailが異なる場合にログインできなくなってしまいますので、要注意。私はこれで引っかかりました。

それ以外は、さらっと実施できました！

チュートリアル:Azure Active Directory シングルサインオン (SSO) と SAP Concur Travel and Expense の統合 - Docs
https://docs.microsoft.com/ja-jp/azure/active-directory/saas-apps/concur-travel-and-expense-tutorial