この記事では、SSO（シングルサインオン）の設定手順について説明します。
この機能でできること
SSO（シングルサインオン）とは、外部のIDプロバイダー（IdP）で認証を行い、PeopleX AI共通管理にログインする仕組みです。
SSOを設定すると、従業員はIdPのアカウントでログインできます。パスワードの管理をIdP側に集約できるため、退職者のアクセス停止もIdP側の操作だけで完了します。
PeopleX AI共通管理は、SSOの認証方式としてSAMLに対応しています。
前提条件
必要な権限: 管理者
SAMLに対応したIdPの管理者アカウント
2要素認証が無効であること
設定の全体像
IdPとPeopleX AI共通管理の両方で設定を行います。
IdP側の設定: PeopleX AI共通管理の情報をIdPに登録する
PeopleX AI共通管理側の設定: IdPから取得した情報を登録する
連携を開始する
動作確認済みのIdP
Google Workspace
Okta
Microsoft Entra ID
これら以外のSAML対応IdPでも設定できますが、動作確認は行っていません。
IdP側の設定をする
IdPの管理画面で、PeopleX AI共通管理をSP（サービスプロバイダー）として登録します。以下の4項目を設定します。
<subdomain> は自社のサブドメインに置き換えてください。サブドメインは、ログイン画面のURL https://<subdomain>.account.peoplex.jp で確認できます。
1. エンティティID（Entity ID）
https://<subdomain>.account.peoplex.jp/sp
2. ACS URL（Assertion Consumer Service URL）
https://<subdomain>.account.peoplex.jp/api/sso/saml/acs
3. 名前IDの形式（NameID Format）
Persistent を設定します。IdPによっては urn:oasis:names:tc:SAML:2.0:nameid-format:persistent や「永続識別子」と表記されます。
4. SAML属性
従業員のメールアドレスを email という属性名で連携します。
属性名:
email値: ユーザーのメールアドレス
IdPごとの具体的な手順は、各IdPの記事を参照してください。
PeopleX AI共通管理側の設定をする
1. 設定画面を開く
サイドメニューから「設定 > セキュリティ > SSO」を開きます。
［スクリーンショット挿入予定: サイドメニューの「セキュリティ > SSO」］
2. IdP連携を追加する
「IdP連携の追加」ボタンをクリックし、以下の項目を入力します。
IdP名: 管理用の名前（例: Google Workspace）
Entity ID: IdPのエンティティID
SSO(シングルサインオン)URL: IdPのSSO URL
X.509証明書(PEM形式): IdPから取得した証明書
ドメイン: SSOでログインする従業員のメールアドレスのドメイン（例: example.co.jp）
入力後、「保存」ボタンをクリックします。一覧にIdP連携が追加されます。
［スクリーンショット挿入予定: 「IdP連携の追加」の入力画面］
3. 連携を開始する
一覧の右端にあるメニューボタンをクリックし、「連携開始」を選択します。確認ダイアログで「開始」をクリックすると、ステータスが「稼働中」に変わります。
［スクリーンショット挿入予定: IdP連携の一覧と操作メニュー］
仕様の要点
対象ドメインは1件以上20件以内で登録できます
連携を開始すると、対象ドメインと一致するメールアドレスの従業員は、パスワードでログインできなくなります
対象ドメインと一致しないメールアドレスの従業員は、これまでどおりパスワードでログインします
社員番号でログインする従業員は、SSOの対象外です
証明書の有効期限は、登録した証明書から自動で読み取られ、一覧に表示されます
同じドメインを複数のIdP連携に登録することはできません
連携を停止・削除する
一覧の右端にあるメニューボタンから操作します。
連携停止: SSOでのログインを停止します。設定は削除されないため、「連携開始」で再開できます
編集: 登録した内容を変更します
削除: IdP連携の設定を削除します
よくある質問
Q. 連携を開始できません
A. 2要素認証が有効になっている場合、SSOは有効化できません。「MFAが有効な状態ではSSO（IdP）を有効化できません」と表示された場合は、「設定 > セキュリティ > 2要素認証」で2要素認証を無効にしてから、あらためて連携を開始してください。
Q. ドメインを登録できません
A. 同じドメインが別のIdP連携にすでに登録されている場合は登録できません。登録済みのIdP連携の「対象ドメイン」を確認してください。
Q. 証明書の有効期限が切れるとどうなりますか？
A. SSOでのログインができなくなります。一覧の「証明書の有効期限」を定期的に確認し、期限が切れる前にIdP側で証明書を更新し、「編集」から新しい証明書を登録してください。
Q. SSOでログインできません
A. 以下の順に確認してください。
IdP側で、対象の従業員にアプリが割り当てられているか
名前IDの形式が Persistent になっているか
SAML属性 email にメールアドレスが設定されているか
登録したEntity ID・SSO(シングルサインオン)URL・X.509証明書が、IdPの値と一致しているか
対象の従業員がPeopleX AI共通管理に登録され、ログインできる状態か
Q. 一部の従業員だけパスワードでログインさせることはできますか？
A. できます。対象ドメインに登録していないメールアドレスの従業員は、パスワードでログインします。また、社員番号でログインする従業員はSSOの対象外です。