メインコンテンツにスキップ

会社のSSO（シングルサインオン）を設定する

SSO（シングルサインオン）の設定手順を説明します。

対応者：CSサポート

この記事では、SSO（シングルサインオン）の設定手順について説明します。

この機能でできること

SSO（シングルサインオン）とは、外部のIDプロバイダー（IdP）で認証を行い、PeopleX AI共通管理にログインする仕組みです。

SSOを設定すると、従業員はIdPのアカウントでログインできます。パスワードの管理をIdP側に集約できるため、退職者のアクセス停止もIdP側の操作だけで完了します。

PeopleX AI共通管理は、SSOの認証方式としてSAMLに対応しています。

前提条件

  • 必要な権限: 管理者

  • SAMLに対応したIdPの管理者アカウント

  • SSOを使用するセキュリティポリシーで、2要素認証が無効であること

設定の全体像

IdPとPeopleX AI共通管理の両方で設定を行います。

  1. IdP側の設定: PeopleX AI共通管理の情報をIdPに登録する

  2. PeopleX AI共通管理側の設定: IdPから取得した情報を登録する

  3. 連携を開始する

動作確認済みのIdP

  • Google Workspace

  • Okta

  • Microsoft Entra ID

これら以外のSAML対応IdPでも設定できますが、動作確認は行っていません。

IdP側の設定をする

IdPの管理画面で、PeopleX AI共通管理をSP（サービスプロバイダー）として登録します。以下の4項目を設定します。

<subdomain> は自社のサブドメインに置き換えてください。サブドメインは、ログイン画面のURL https://<subdomain>.account.peoplex.jp で確認できます。

1. エンティティID（Entity ID）

https://<subdomain>.account.peoplex.jp/sp

2. ACS URL（Assertion Consumer Service URL）

https://<subdomain>.account.peoplex.jp/api/sso/saml/acs

3. 名前IDの形式（NameID Format）

Persistent を設定します。IdPによっては urn:oasis:names:tc:SAML:2.0:nameid-format:persistent や「永続識別子」と表記されます。

4. SAML属性

従業員のメールアドレスを email という属性名で連携します。

  • 属性名: email

  • 値: ユーザーのメールアドレス

IdPごとの具体的な手順は、各IdPの記事を参照してください。

PeopleX AI共通管理側の設定をする

1. 設定画面を開く

サイドメニューから「設定 > セキュリティ > SSO」を開きます。

サイドメニューのセキュリティ＞SSO

2. IdP連携を追加する

「IdP連携の追加」ボタンをクリックし、以下の項目を入力します。

  • IdP名: 管理用の名前（例: Google Workspace）

  • Entity ID: IdPのエンティティID

  • SSO(シングルサインオン)URL: IdPのSSO URL

  • X.509証明書(PEM形式): IdPから取得した証明書

  • ドメイン: SSOでログインする従業員のメールアドレスのドメイン（例: example.co.jp）

入力後、「保存」ボタンをクリックします。一覧にIdP連携が追加されます。

IdP連携の追加フォーム

3. 連携を開始する

一覧の右端にあるメニューボタンをクリックし、「連携開始」を選択します。確認ダイアログで「開始」をクリックすると、ステータスが「稼働中」に変わります。

IdP連携の一覧と操作メニュー

仕様の要点

  • 対象ドメインは1件以上20件以内で登録できます

  • 連携を開始すると、対象ドメインと一致するメールアドレスの従業員は、パスワードでログインできなくなります

  • 対象ドメインと一致しないメールアドレスの従業員は、これまでどおりパスワードでログインします

  • 社員番号でログインする従業員は、SSOの対象外です

  • ログインは、PeopleX AI共通管理のログイン画面から開始します。IdPのポータル画面（Microsoft Entra IDの「マイアプリ」など）から開始したログインには対応していません

  • 証明書の有効期限は、登録した証明書から自動で読み取られ、一覧に表示されます

  • 同じドメインを複数のIdP連携に登録することはできません

連携を停止・削除する

一覧の右端にあるメニューボタンから操作します。

  • 連携停止: SSOでのログインを停止します。設定は削除されないため、「連携開始」で再開できます

  • 編集: 登録した内容を変更します

  • 削除: IdP連携の設定を削除します

よくある質問

Q. 連携を開始できません

A. 2要素認証が有効なセキュリティポリシーがある場合、SSOは有効化できません。「設定 > セキュリティ > セキュリティポリシー」で対象のポリシーを開き、「2要素認証を使用する」をオフにしてから、あらためて連携を開始してください。

Q. ドメインを登録できません

A. 同じドメインが別のIdP連携にすでに登録されている場合は登録できません。登録済みのIdP連携の「対象ドメイン」を確認してください。

Q. 証明書の有効期限が切れるとどうなりますか？

A. SSOでのログインができなくなります。一覧の「証明書の有効期限」を定期的に確認し、期限が切れる前にIdP側で証明書を更新し、「編集」から新しい証明書を登録してください。

Q. IdPのポータル画面からログインできません

A. IdPのポータル画面から開始したログインには対応していません。ログイン画面 https://<subdomain>.account.peoplex.jp を開き、そこからログインしてください。

IdPのポータル画面とは、Microsoft Entra IDの「マイアプリ」、Google Workspaceのアプリ一覧、Oktaのダッシュボードなど、IdP側に利用できるアプリが並ぶ画面です。この画面からPeopleX AI共通管理を開いても、ログインは完了しません。

この方法で開始した場合、ログイン画面に「自動的にログインできませんでした」と表示されます。設定に問題があるわけではありません。表示された画面でメールアドレスを入力し、「SSOでログイン」をクリックすると、そのままログインできます。

対応していない理由は、セキュリティ上のリスクを避けるためです。IdPのポータル画面から始まったログインは、従業員本人が始めた操作かどうかをPeopleX AI共通管理側で確認できません。第三者が用意したリンクを踏ませ、本人が気づかないまま第三者のアカウントでログインさせる攻撃（ログインCSRF）を防げないため、意図的に対応していません。SAMLのセキュリティガイドラインでも、この方式を受け付けないことが推奨されています。

Q. SSOでログインできません

A. 以下の順に確認してください。

  1. IdP側で、対象の従業員にアプリが割り当てられているか

  2. 名前IDの形式が Persistent になっているか

  3. SAML属性 email にメールアドレスが設定されているか

  4. 登録したEntity ID・SSO(シングルサインオン)URL・X.509証明書が、IdPの値と一致しているか

  5. 対象の従業員がPeopleX AI共通管理に登録され、ログインできる状態か

Q. 一部の従業員だけパスワードでログインさせることはできますか？

A. できます。対象ドメインに登録していないメールアドレスの従業員は、パスワードでログインします。また、社員番号でログインする従業員はSSOの対象外です。

関連記事
こちらの回答で解決しましたか？