シングルサインオン（SSO）の設定方法を教えてください。
シングルサインオン（以下、SSO）は「アカウント管理グループ」ごとに設定します。
IDプロバイダー（IdP）側とdirect側の双方で設定が必要です。
1. 設定前にご準備いただくこと
1-1. directアカウントの準備
- SSOを利用するユーザーのdirectアカウントは、IdPが送信するユーザー識別子と照合できる値で作成してください。標準はメールアドレスです。 Microsoft Entra IDでは、UserPrincipalName（UPN。例：user@example.com のようにメールアドレスと似た形式ですが、実際のメールアドレスとは異なる場合があります）も利用できます。
- ログインIDのみで作成されたアカウントは、SSOの対象外となります。
- ログインIDのみで作成済みのアカウントにメールアドレスを追加する方法は、「メールアドレスを利用しないアカウントにメールアドレスを追加できますか？」をご参照ください。（ユーザー自身で行う必要があります）
- 対象のdirectアカウントを、SSOを有効化する「アカウント管理グループ」に所属させてください。
1-2. IdP側でご確認・ご準備いただく情報
以下の3点は「3. direct側の設定」で入力・アップロードします。あらかじめIdP側でご確認・ご準備ください。
- ① IdPのSSOエンドポイントURL
- ② directログアウト後に遷移するURL
※利用者がdirectからログアウトした後に表示されるページURLを指定します。
IdP側のログアウト処理も行いたい場合は、IdPが提供するログアウト用エンドポイントURLを指定してください。
- ③ IdPで署名に使用する公開鍵の証明書（DER encoded binary X.509 形式、または Base64 encoded X.509 形式）
2. IdP側の設定
2-1. directをSPとして登録する
IdPが信頼するサービスプロバイダー（SP）として、以下の情報をご設定ください。
各項目の入力先や操作手順はご利用のIdPによって異なります。具体的な設定方法は、IdPの提供元が公開しているドキュメントもあわせてご確認ください。
| direct側の情報 | 値 | IdPの画面での名称例 |
|---|---|---|
| SP側のルートアドレス | https://direct4b.com/ | 識別子（エンティティID）/ Entity ID / Issuer |
| ACSエンドポイントURL | https://direct4b.com/sso/signin | 応答URL / Reply URL / ACS URL |
| ACSのバインディング形式 | HTTP-POST | （通常は設定不要） |
上記を含むSPメタデータは、directのSSO設定画面で「Service Providerのメタデータをダウンロード」から取得できます。
メタデータには、SAMLレスポンスの AttributeStatementに含める属性の情報が含まれません。
この属性は、IdPによって「クレーム」「属性マッピング」などの名称で設定します。
メタデータとは別に設定してください。
2-2. SAMLレスポンスに含める属性を設定する
directアカウントの照合には、SAMLレスポンスのAttributeStatementに含まれる値を使用します。
AttributeStatementに、「1-1. directアカウントの準備」で準備したdirectアカウントのメールアドレスもしくは UserPrincipalName（UPN。例：user@example.com）と一致する値を含めるようにご設定ください。
Attribute の Name は以下のとおりです。
- メールアドレスを使用する場合：
設定例：
- UserPrincipalName を使用する場合：
設定例：
両方のAttributeが含まれる場合は、
の値を優先して照合します。
2つの値がそれぞれ異なるdirectアカウントに一致する場合は、エラーとなりますのでご注意ください。
両方のAttributeを含める場合の例：
NameIDの値は、directアカウントの照合には使用しません。
ただし、directでは、NameIDFormatとしてemailAddress形式を示しています。
IdP製品によってはNameIDFormatの整合性を検証するものがあるため、NameIDには、emailAddress形式で照合に使用するメールアドレスと同じ値を設定することを推奨します。
3. direct側の設定
direct側の設定は、アカウント管理グループの所有者がWebもしくはデスクトップアプリから行います。
「1-2. IdP側でご確認・ご準備いただく情報」の①②③をお手元に用意してから、以下の手順でSSOを設定します。
- directにログインし、［アカウント管理］を開く
- SSOを設定するアカウント管理グループ名の右にある［歯車のアイコン］をクリック
- ［シングルサインオン］をクリック
- 「SAML認証を使う」にチェック
- （任意）通常のdirectのメールアドレス、ログインID、QRコードによるログインを禁止する場合は、「シングルサインオン以外でのログインを禁止する」にチェック
SSOでのログインが正しく行えることを確認したうえで有効にしてください。
この設定を有効にすると、対象ユーザーはdirectのメールアドレス、ログインID、QRコードによるログインができなくなります。
- ①IdPのSSOエンドポイントURL、②directログアウト後に遷移するURL、③証明書ファイルをそれぞれ入力・アップロードし、「変更」をクリック
証明書の更新について：
証明書には有効期限があります。期限が切れるとSSOでログインできなくなります。期限が切れる前に、同じ手順（手順6）で新しい証明書に差し替えてください。
4. 利用者のログイン方法
SSOを有効にした場合、利用者はログイン画面で「シングルサインオン」を選択します。
続けて、所属するアカウント管理グループIDを入力すると、IdPの認証画面に遷移しますのでログイン操作を行います。
