シングルサインオン（SSO）は利用できますか？
はい、利用できます。
「アカウント管理」機能の「シングルサインオン（以下、SSO）」設定により、SAML 2.0に対応したIDプロバイダー（IdP）との認証連携が可能です。
設定はアカウント管理グループの所有者が、Webまたはデスクトップアプリから行います。
対応しているIdP
SAML 2.0 をサポートするIdPであればご利用いただけます。
弊社にて動作確認を行っているのは Azure AD（現Microsoft Entra ID）と Google Cloud Identity です。
上記以外のIdPをご利用の場合は、SAML 2.0 に対応していることをご確認ください。
ご利用の前提
- directアカウントが、IdP側のユーザー情報と照合できるメールアドレスまたはUserPrincipalName（UPN。例：user@example.com のような形式）で作成されていること
- 対象のdirectアカウントが、設定を行う「アカウント管理グループ」に所属していること
SSOの流れ
SSOによるdirectへのログインは、Webブラウザ、デスクトップアプリ、モバイルアプリから利用できます。
以下は、Webブラウザからログインする場合を例に、IdP・ブラウザ（ユーザー）・SP（direct）の間でSAMLリクエスト／SAMLレスポンスをやり取りして認証する流れです。
- ユーザーがブラウザでdirectのログイン画面にアクセスの上、「シングルサインオン」を選択し、アカウント管理グループIDを入力する
- direct（SP）がSAMLリクエストを生成
- ブラウザがdirect（SP）からIdPのSSOエンドポイントURLとSAMLリクエストを受け取る
- ブラウザがSSOエンドポイントURLを元にIdPへリダイレクトし、SAMLリクエストを受け渡す
- IdPでログインを行い、SAMLレスポンスを生成
- ブラウザがIdPからdirect（SP）のACSエンドポイントURLとSAMLレスポンスを受け取る
- direct（SP）がSAMLレスポンスを検証し、ログイン処理を行う
- ブラウザがログイン後の画面へ遷移する
ご利用時の注意事項
- IdP initiated（IdPのポータル画面などからログインを開始する方式）には対応していません。directのログイン画面から「シングルサインオン」を選択してログインしてください。
- IdP側のユーザー情報をもとにdirectアカウントを自動作成・同期する機能（ユーザープロビジョニング、SCIM連携）には対応していません。 directアカウントはあらかじめ作成していただく必要があります。
補足事項
- 同じSSOの設定を、複数のアカウント管理グループに設定できますか？ はい、できます。 同じIdPのSSOエンドポイントURL・ログアウト後に遷移するURL・証明書を、複数のアカウント管理グループに設定可能です。 設定はアカウント管理グループごとに行ってください。
- direct組織やアカウント管理グループごとに異なるEntity IDを発行できますか？ いいえ、できません。 directのSAML連携におけるSP側情報は固定です。direct組織やアカウント管理グループごとに異なるEntity IDを発行することはできません。
- SSOとdirectの二要素認証を併用できますか？ SSOでログインする場合、direct側の二要素認証は適用されません。 多要素認証をご利用になる場合は、IdP側でご設定ください。 アカウント管理グループでSSOを有効にしている場合でも、「シングルサインオン以外でのログインを禁止する」にチェックを入れていなければ、directのメールアドレスまたはログインIDとパスワードでログインする際にdirectの二要素認証が適用されます。
- SSOを設定すると、利用者は再ログインが必要になりますか？ SSOの設定を有効にしても、その時点でログイン中のdirectのセッションが終了することはありません。ログイン中の利用者は、そのままdirectをご利用いただけます。 ただし、directのセッションの有効期限が切れた後は、SSOでのログインが必要になります。
- daabでSSOは利用できますか？ daabはSSOに対応していません。 daabをご利用の場合は、daab用アカウントがメールアドレス（またはログインID）とパスワードでログインできる状態になっているかご確認ください。