シングルサインオン

この記事では、Google や Microsoft（Entra ID）のアカウントで、akamine にログインできるようにする設定を説明します。設定すると、ログインの画面にそれぞれのボタンが出ます。メールアドレスとパスワードでのログインも、そのまま使えます。

この画面を使えるのは、システム管理者だけです。

設定の前に用意するもの

Google や Microsoft の側で、akamine をアプリとして登録しておきます。登録すると、次のものが手に入ります。

• クライアント ID
• クライアントシークレット
• （Microsoft のみ）ディレクトリ（テナント）ID

登録のときには、akamine の画面に出る「リダイレクト URI（戻り先）」を、Google や Microsoft 側に入れます。アドレスの値は、環境ごとに違います。画面に出ているものを、そのままコピーしてください。

設定する

1. 「システム管理」の「シングルサインオン」を開きます。
2. Google か Microsoft の欄で、「有効にする」をオンにします。
3. 「クライアント ID」と「クライアントシークレット」を入れます。Microsoft では「テナント ID」も入れます。
4. 必要に応じて、下の表の項目を決めます。
5. 「保存」を押します。

項目	内容
有効にする	オンにしたプロバイダだけ、ログインの画面にボタンが出ます
クライアントシークレット	暗号化して保存されます。保存したあとは画面に戻らず、「設定ずみ」と出ます。入れなおすと置き換わります
テナント ID	Microsoft のみ。会社のテナントだけを受け付けます
許可するメールのドメイン	1 行に 1 つ。空のときは、どのドメインも許可します。自動作成には必須です
ユーザーを自動で作る	初めて入った人を、メンバーとして作ります（パスワードなし）
メールで結びつける	同じメールの既存ユーザーに、自動で結びつけます

ユーザーとの結びつけ

akamine は、メールアドレスが同じだけでは、既存のユーザーにログインさせません。Google や Microsoft のアカウントと、akamine のユーザーを結びつけてから使います。

• ふだんの方法: 本人が、メールアドレスとパスワードでログインし、個人設定の「セキュリティ」から、使うアカウントを結びつけます。
• メールで結びつける: 管理者がこの項目をオンにしたプロバイダだけ、確認ずみのメールアドレスが同じ人を、初回のログインで自動的に結びつけます。

結びつけを外すのも、本人が個人設定で行います。パスワードを持たず、結びつけが 1 つだけの人は、外せません。

自動作成を使うとき

「ユーザーを自動で作る」をオンにすると、まだユーザーでない人も入れます。条件は次のとおりです。

• 「許可するメールのドメイン」に、確認ずみのメールのドメインが入っている。
• 作られるのは「メンバー」で、パスワードはありません。

オフのままなら、招待されたユーザーだけが入れます。社外の人がうっかり入るのを避けたいときは、オフにしておきます。

ログインできない人

次の人は、SSO でも入れません。

• 招待中のユーザー
• 停止中のユーザー
• 許可するドメインの外のメールの人

知っておくこと

• SSO でログインしたときは、akamine の 2 段階認証や、初めての端末の確認は求めません。多要素の確認は、Google や Microsoft 側にまかせます。
• ログインの成功と失敗、結びつけの追加と解除、設定の変更は、監査ログに残ります。
• 使えるのは Google と Microsoft（Entra ID）だけです。

関連する記事

• ログインと初回の確認
• セキュリティの設定
• パスワードと 2 段階認証
• 招待