シングルサインオン
本記事では、Autify Genesis でシングルサインオン（SSO）を設定し、組織のメンバーが社内 ID プロバイダー経由でサインインできるようにする手順を説明します。
前提条件
SSO プロバイダーの管理は、組織の 管理者 または オーナー ロールが必要です。
設定するメールドメインと、利用する ID プロバイダー（OIDC または SAML 2.0 対応）が必要です。
SSO プロバイダーを追加する
画面左下のアカウントメニューから 設定 を開き、左サイドバーの 組織 > シングルサインオン をクリックします。
SSOを設定 をクリックします。
SSOを設定ダイアログ プロバイダーの種類 で OIDC または SAML を選択します。
メールドメイン に、SSO 経由でサインインさせたいユーザーのメールドメイン（例:
sso.example.com）を入力します。発行者URL に、ID プロバイダーの発行者 URL（例:
https://acme.okta.com）を入力します。OIDC エンドポイントは自動検出されます。プロバイダーの種類に応じて、以下の項目を入力します。
プロバイダーの種類入力項目OIDC
クライアントID、クライアントシークレット
SAML
エントリポイントURL（IdP の SAML SSO エンドポイント）、X.509証明書（SAML アサーション検証用の公開証明書）
SSOを設定 をクリックします。
登録したプロバイダーで 確認用レコードを取得 をクリックします。
表示された DNS TXT レコード名と値を、対象ドメインの DNS 設定に追加します。
DNS 変更が反映されたら ドメインを確認 をクリックします。確認が完了するまで、そのプロバイダーの SSO サインインは利用できません。
登録後、画面に表示される リダイレクトURI（IdPに追加してください） をコピーして、ID プロバイダー側の許可リダイレクト URL に追加してください。コピーアイコンをクリックするとクリップボードにコピーされます。
登録した SSO プロバイダーを確認する
シングルサインオン ページには、登録済みプロバイダーの種類（OIDC / SAML）、メールドメイン、発行者 URL、IdP に登録すべきリダイレクト URI、ドメイン確認の状態が表示されます。確認が完了するまで、そのプロバイダーの SSO サインインは利用できません。
SSO プロバイダーを削除する
シングルサインオン ページを開きます。
登録済みプロバイダーの SSOを削除 をクリックします。
確認ダイアログで 削除 をクリックします。
SSO プロバイダーを削除すると、そのプロバイダーを使ってサインインしていたユーザーは、メールアドレスとパスワードでのサインインが必要になります。
トラブルシューティング
「OIDCプロバイダーにはクライアントIDが必要です」
OIDC プロバイダーで クライアントID が未入力
クライアント ID を入力してください
「OIDCプロバイダーにはクライアントシークレットが必要です」
OIDC プロバイダーで クライアントシークレット が未入力
クライアントシークレットを入力してください
「SAMLプロバイダーにはエントリポイントURLが必要です」
SAML プロバイダーで エントリポイントURL が未入力
IdP の SAML SSO エンドポイント URL を入力してください
「SAMLプロバイダーにはX.509証明書が必要です」
SAML プロバイダーで X.509証明書 が未入力
IdP の公開証明書を貼り付けてください
「SSOプロバイダーの登録に失敗しました」
入力した認証情報が IdP 側で受け付けられなかった
発行者 URL、クライアント認証情報、証明書などの内容を確認してください
「ドメインの所有権が未確認です」と表示される
DNS TXT レコードがまだ追加されていない、または DNS 反映待ち
確認用レコードを取得 をクリックし、表示された TXT レコードをドメインに追加してから、時間をおいて ドメインを確認 を再実行してください
「ドメインの所有権を確認できませんでした。」と表示される
想定した DNS TXT レコードを Genesis がまだ見つけられていない
TXT レコード名と値を確認し、DNS の反映後に ドメインを確認 を再実行してください
参考情報
最終更新