HENNGE OneをIdPとして使う場合のSSO（シングルサインオン）設定手順を説明します。
💡 ご確認ください
・SSO全体の流れとPeopleX AI共通管理側の設定については、会社のSSO（シングルサインオン）を設定するをご確認ください。
・HENNGE One側の詳しい操作方法は、HENNGE Oneヘルプページをご確認ください。本記事のHENNGE Oneの画面名・項目名はHENNGE Oneのヘルプページの記載に基づいており、実際の画面と表示が異なる場合があります。
前提条件
必要な権限: 管理者
HENNGE One（Access Control）の管理者アカウント
サービスプロバイダーを追加する
HENNGE Oneに、PeopleX AI共通管理をSP（サービスプロバイダー）として登録します。
HENNGE One（Access Control）の管理画面で、「システム」>「サービスプロバイダー設定」を開きます
「＋サービスの追加」をクリックし、表示された画面で「サービスの追加」をクリックします
「SAML手動設定」をクリックします
以下の項目を入力します
サービス名: 任意の名前（例: PeopleX AI共通管理）
ACS URL:
https://<subdomain>.account.peoplex.jp/api/sso/saml/acsSP Issuer（Audience）:
https://<subdomain>.account.peoplex.jp/sp
<subdomain> は自社のサブドメインに置き換えてください。サブドメインは、ログイン画面のURL https://<subdomain>.account.peoplex.jp で確認できます。
Name IDと属性を設定する
PeopleX AI共通管理は、HENNGE Oneから連携されたメールアドレスで従業員を識別します。
「Name ID」で「Email」、「Name IDフォーマット」で「persistent」を選択します
「属性の設定」で「属性の追加」をクリックし、以下の属性を追加します
属性:
email値: PeopleX AI共通管理に登録している従業員のメールアドレスと同じ値になる項目（Email、UserPrincipalNameなど）
「保存」をクリックします
⚠️ 属性の設定は必須です
・属性名は、すべて半角小文字の email にしてください。「Email」「E-mail」「emailaddress」などの表記では、HENNGE Oneでの認証は成功しますが、PeopleX AI共通管理に戻ったところでログインに失敗します。
・SSOでは従業員は自動で作成されません。PeopleX AI共通管理に従業員として登録されていないユーザーは、HENNGE One側で許可してもログインできません。
ユーザーにサービスの利用を許可する
「アクセス設定」>「アクセスポリシーグループ」を開き、SSOを利用するユーザーが所属するアクセスポリシーグループを選択します
「許可するサービスプロバイダー」で、追加したサービスの「許可」をオンにして保存します
許可していないアクセスポリシーグループのユーザーは、SSOを利用できません。
IdPの情報を取得する
PeopleX AI共通管理に登録する以下の3つを取得します。
サービスプロバイダーの「保存」をクリックすると表示される画面で、「IdP Issuer」と「シングルサインオンURL」をコピーします
「SAML署名証明書」をダウンロードします。ダウンロードしたファイルをテキストエディタで開くと、「-----BEGIN CERTIFICATE-----」から「-----END CERTIFICATE-----」までのテキストを確認できます
取得した値は、PeopleX AI共通管理の以下の入力欄に対応します。
IdP Issuer → Entity ID
シングルサインオンURL → SSO(シングルサインオン)URL
SAML署名証明書 → X.509証明書(PEM形式)
💡 ポイント
あとから確認する場合は、「サービスプロバイダー設定」で追加したサービスを選択し、「メタデータ」を開きます。
PeopleX AI共通管理に登録する
取得したIdP Issuer・シングルサインオンURL・SAML署名証明書を、PeopleX AI共通管理の「設定 > セキュリティ > SSO」から登録します。「ドメイン」には、SSOでログインする従業員のメールアドレスのドメイン（例: example.co.jp）を入力します。手順は会社のSSO（シングルサインオン）を設定するを参照してください。
登録後は、SSOでログインできることを確認してください。手順は会社のSSO（シングルサインオン）を設定するの「ログインを確認する」をご覧ください。HENNGE Oneのポータル画面から開始したログインには対応していません。
よくある質問
Q. HENNGE Oneのポータル画面からログインできません
A. HENNGE Oneのポータル画面のアイコンから開始したログインには対応していません。ログイン画面 https://<subdomain>.account.peoplex.jp を開き、そこからログインしてください。
ポータル画面から開始した場合、ログイン画面に「自動的にログインできませんでした」と表示されます。設定が誤っているわけではありません。表示された画面でメールアドレスを入力し、「SSOでログイン」をクリックすると、そのままログインできます。
対応していない理由は、会社のSSO（シングルサインオン）を設定するの「Q. IdPのポータル画面からログインできません」を参照してください。
Q. HENNGE Oneの認証は通るのに、戻ってきたあとでログインに失敗します
A. 以下を確認してください。
追加した属性の名前が、半角小文字の
emailになっているか「Name IDフォーマット」が「persistent」になっているか
ログインしたアカウントのメールアドレスで、PeopleX AI共通管理に従業員が登録され、ログインできる状態か
登録したEntity ID・SSO(シングルサインオン)URL・X.509証明書が、HENNGE Oneの値と一致しているか
SP Issuer（Audience）が
https://<subdomain>.account.peoplex.jp/spと完全に一致しているか（末尾の /sp の抜けや、サブドメインの誤りにご注意ください）
Q. 社員番号でログインする従業員もSSOを利用できますか？
A. 利用できません。社員番号でログインする従業員はSSOの対象外です。これまでどおり社員番号とパスワードでログインします。