始める前に
- 利用可否。シングルサインオンセクションが設定 → セキュリティに表示されるのは、お使いのアカウントで SSO が有効になっている場合のみです。
- 権限。SSO の設定を保存するには、
settingsの update 権限が必要です。 - IdP の権限。ID プロバイダーで SAML アプリケーションを作成する権限が必要です。
- DNS の操作権限。メールドメインごとに TXT レコードを公開します。
代わりに Feishu / Lark、DingTalk、または OpenID Connect でサインインしますか？Feishu/Lark・DingTalk・OIDC によるシングルサインオンを参照してください。会社が持てる接続は 1 つです。それらのプロバイダーのいずれかを保存すると、SAML 接続は置き換えられます。
ID プロバイダーを接続する
設定はすべて、設定 → セキュリティの「シングルサインオン」セクションで行います。- Alforse の詳細をコピーします。「サービスプロバイダーの詳細」カードに、「ACS URL」と「SP メタデータURL」が、それぞれコピーボタン付きで表示されます。
- その 2 つの URL を使って、IdP で SAML アプリケーションを作成します。アサーションには必ずメール属性を含めてください。Alforse はメールアドレスを使って、各サインインを担当者と会社に結び付けます。
- IdP のメタデータを Alforse に渡します。「IDプロバイダー」カードで、「IdP メタデータURL」か生の「IdP メタデータXML」のどちらか一方だけを入力し（両方は不可）、「接続」を選択します。後の変更では、ボタンは「変更を保存」になります。
- 接続が有効であることを確認します。Alforse が “SAML SSO connection saved”（SAML SSO の接続を保存しました）と表示し、カードに「SAML SSOを必須にする」スイッチと「無効化」ボタンが表示されます。
- メールドメインを追加して検証します。接続ができると「メールドメイン」カードが表示されます。メンバーがサインインに使うドメインをすべて追加し、それぞれに表示される DNS レコードを公開して、「検証」を選択します。SSO のサインインが振り分けられるのは、検証済みのドメインだけです。
サービスプロバイダーの URL
ID プロバイダーには、この 2 つの値が必要です。「サービスプロバイダーの詳細」カードにあるものと同じです。
IdP がサービスプロバイダーのメタデータをインポートできる場合は、SP メタデータURL を渡します。できない場合は、2 つの値を手動で入力します。
ドメインを検証する
新しいドメインは待機中から始まり、カードに表示される専用の TXT チャレンジが割り当てられます。
ドメインを追加すると、Alforse は “Domain added. Publish the TXT record shown below, then click Verify.”（ドメインを追加しました。下に表示された TXT レコードを公開してから、「検証」をクリックしてください。）と確認します。DNS プロバイダーでレコードを公開したら、「検証」を選択します。
- 検証は一度限りです。その後、TXT レコードは削除してかまいません。
- 待機中のドメインは何もしません。検証されるまで、ドメインを追加しても誰のサインイン方法も変わらないため、追加は安全です。
ユーザーの体験
サインイン
ログインページは、まずメールアドレスを尋ねます。ユーザーが「続行」を選択すると：- 有効な IdP があるドメインでは、その IdP にリダイレクトされます。
- それ以外の場合は、標準のマジックリンクによるサインインに進みます。
入れる人：招待が先のプロビジョニング
SSO では、自分でサインアップすることはできません。
誰かを入れるには、従業員ディレクトリでその人の招待を作成し、もう一度試してもらってください。