ポリシーとシングルサインオン

組織の policyポリシー では、迎え入れるすべての人に適用されるルールを設定します。vpn_keyシングルサインオン を使うと、従業員が会社から支給されているアカウントでサインインし、自動で組織に参加できます。

どちらも Enterprise のエリアの business企業 > policyポリシー と vpn_keyシングルサインオン にあります。

組織のポリシー#

以下のオプションを変更したら、ページ上部の save保存 を押します。新しい既定の役割は、それ以降に参加する人に適用され、既存のメンバーの役割は変わりません。

許可するメールドメイン#

これらのメールドメインの人のみ招待・連携できます。空欄にするとすべて許可します。

1. 許可するメールドメイン で、ドメインを追加 に acme.com のようなドメインを入力します。メールアドレスやウェブアドレスではなく、ドメインだけを入力してください。
2. add追加 を押します（または Enter）。ドメインがチップとして表示されます。
3. save保存 を押します。

チップの close を押すと、そのドメインが削除されます。一覧にドメインがない場合は、ページに「制限なし — どのメールドメインでも招待できます。」と表示されます。

一覧を設定すると、それ以外のドメインへの招待は、groupユーザー ページでもサーバーでも受け付けられず、既存のアカウントに送る参加の依頼も同様です。メンバーが自分のサインイン用メールアドレスを別のドメインのアドレスに変更することもできません。

既定値#

• 新規メンバーの既定の役割：参加するすべての人に与えられる役割。招待した人、参加の依頼を承諾した既存のアカウント、シングルサインオンから入った人、API で作成したメンバーが対象です。初期値は メンバー です。管理者 にできるのはオーナーだけです。詳しくは役割を参照してください。
• 非アクティブと見なす日数：この日数を超えてサインインしていないメンバーは、groupユーザー ページで非アクティブとして数えられます。そのシートを別の人に回せるかもしれないという目安です。1 から 3650 までの数値を指定でき、初期値は 60 です。

安全策#

• メンバーが自分のアカウントを閉じる前にプロジェクトの移管を必須にする：プロジェクトを所有しているメンバーは、自分のアカウントを削除できません。あなたが削除したメンバーのプロジェクトは、常に組織に残ります。オンにすると、プロジェクトを所有するメンバーについて delete_foreverユーザーを削除 を押したときに 先にプロジェクトを移管してください と表示され、代わりに プロジェクトを移行 が提案されます。複数のメンバーをまとめて削除する場合も、その中にプロジェクトを所有するメンバーがいれば、同じように止められます。詳しくはメンバーのプロジェクトを移管するを参照してください。

シングルサインオン#

シングルサインオンを使うと、従業員は会社からすでに支給されているアカウント（Microsoft、Okta、Google など）で、会社の ID プロバイダを経由し、SAML または OpenID Connect（OIDC）で Measure Map Online にサインインします。会社の人がこの方法でサインインすると、自動で組織に参加します。

シングルサインオンは vpn_keyシングルサインオン ページからリクエストします。ページには、ID プロバイダに入力する内容と、当社に送る内容が表示されます。当社がリクエストを確認し、シングルサインオンを有効にします。リクエストを送れるのは、組織のオーナーと管理者です。

しくみ#

1. 下のフォームで ID プロバイダの詳細とチームのメールドメインを送信します。
2. 当社が確認してシングルサインオンを有効にします。メールが届き、このページにサインイン リンクが表示されます。
3. チームは会社のアカウントでサインインします。新しいメンバーは組織に参加して「ユーザー」に表示され、そこで役割を設定できます。

始める前に用意するもの#

• ID プロバイダの管理者権限：Microsoft Entra 管理センター、Okta 管理コンソール、Google 管理コンソールなど。権限を持つ IT 担当者に頼んでもかまいません。そこで Measure Map Online をアプリケーションとして追加します。
• チームが使うすべてのメールドメイン：たとえば acme.com と acme.co.uk。シングルサインオンで参加できるのは、これらのドメインのアドレスを持つ人だけです。
• 技術担当者：接続について当社から問い合わせる相手の名前とメールアドレス。
• ID プロバイダの 3 つの詳細：ID プロバイダに Measure Map Online を追加したあとでコピーします（下のステップ 1）。
  • SAML の場合：シングルサインオン URL（ログイン URL）、ID プロバイダのエンティティ ID（発行者）、署名証明書
  • OpenID Connect の場合：発行者 URL（issuer）、クライアント ID、クライアントシークレット

ステップ 1：ID プロバイダに Measure Map Online を追加する#

1. business企業 > vpn_keyシングルサインオン を開きます。

2. プロトコル で、ページが推奨する SAML 2.0 を選びます。IT 部門が望む場合は OpenID Connect を選びます。

3. ID プロバイダ で、使っているものを選びます：Microsoft Entra ID (Azure AD)、Okta、Google Workspace、OneLogin、JumpCloud、その他のプロバイダ。

4. 次の値を ID プロバイダに入力してください に、Measure Map Online 側の値が表示されます。手で入力せず、content_copy でページからコピーしてください。

   SAML の場合：

   • 識別子（Entity ID）：https://app.measuremaponline.com
   • 応答 URL（ACS URL）：https://measuremaponline.com/__/auth/handler
   • Name ID：ユーザーのメールアドレス
   • 属性：email（必須）、姓名または表示名（任意）

   OpenID Connect の場合：

   • リダイレクト URI：https://measuremaponline.com/__/auth/handler
   • スコープ：openid email profile

5. その下に、選んだプロバイダでの手順が表示されます。手順はここにも載せており、ステップ 2 で求められる各項目の見つけ方も書いてあります。

ID プロバイダでの見つけ方#

Microsoft Entra ID、Okta、Google Workspace には専用の手順があります。OneLogin、JumpCloud、その他のプロバイダは共通の手順に従います。

Microsoft Entra ID（SAML）#

1. Microsoft Entra 管理センターで「エンタープライズ アプリケーション」>「新しいアプリケーション」>「独自のアプリケーションの作成」を開きます。名前を「Measure Map Online」とし、ギャラリーにないアプリケーションを統合するオプションを選びます。
2. 新しいアプリケーションで「シングル サインオン」を開き、SAML を選びます。「基本的な SAML 構成」で 識別子（Entity ID） と 応答 URL（ACS URL） を入力します。
3. 「属性とクレーム」で、一意のユーザー識別子（Name ID）を user.mail にし、メール アドレスのクレームは残します。
4. 「ユーザーとグループ」で、サインインする人やグループを割り当てます。
5. 「シングル サインオン」に戻り、3 つの詳細をコピーします。
   • シングルサインオン URL（ログイン URL）：「Measure Map Online のセットアップ」にあるログイン URL。
   • ID プロバイダのエンティティ ID（発行者）：同じ場所にある Microsoft Entra 識別子。
   • 署名証明書：「SAML 証明書」から証明書（Base64）をダウンロードします。

Okta（SAML）#

1. Okta 管理コンソールで Applications > Applications > Create App Integration を開き、SAML 2.0 を選んでアプリ名を「Measure Map Online」にします。
2. 応答 URL（ACS URL） を Single sign-on URL に、識別子（Entity ID） を Audience URI (SP Entity ID) に入力します。Name ID format は EmailAddress、Application username は Email にします。
3. Attribute Statements に email（値は user.email）を追加します（必要なら firstName、lastName も）。
4. Assignments タブで、サインインする人やグループを割り当てます。
5. Sign On タブで View SAML setup instructions を開き、次をコピーします。
   • シングルサインオン URL（ログイン URL）：Identity Provider Single Sign-On URL
   • ID プロバイダのエンティティ ID（発行者）：Identity Provider Issuer
   • 署名証明書：X.509 Certificate

Google Workspace（SAML）#

1. Google 管理コンソールで「アプリ」>「ウェブアプリとモバイルアプリ」>「アプリを追加」>「カスタム SAML アプリの追加」を開き、名前を「Measure Map Online」にします。
2. Google IdP の詳細ページで 3 つの詳細をコピーしてから、続行します。
   • シングルサインオン URL（ログイン URL）：SSO の URL
   • ID プロバイダのエンティティ ID（発行者）：エンティティ ID
   • 署名証明書：証明書をダウンロードします。
3. 次のページで、応答 URL（ACS URL） を ACS の URL に、識別子（Entity ID） をエンティティ ID に入力します。名前 ID の形式は EMAIL、名前 ID は「基本情報」>「メインのメールアドレス」にします。
4. 「ユーザー アクセス」で、サインインする組織部門やグループに対してアプリをオンにします。

OneLogin、JumpCloud、その他のプロバイダ（SAML）#

1. 「Measure Map Online」という名前の SAML 2.0 アプリケーションを作成します。
2. 識別子（Entity ID） と 応答 URL（ACS URL） を入力し、Name ID としてユーザーのメールアドレスを送るよう設定して、サインインする人を割り当てます。
3. 3 つの詳細をコピーします。通常はアプリケーションの SAML またはメタデータのページにあります。
   • シングルサインオン URL（ログイン URL）：ID プロバイダのシングルサインオン URL
   • ID プロバイダのエンティティ ID（発行者）：ID プロバイダのエンティティ ID（発行者、issuer とも呼ばれます）
   • 署名証明書：ID プロバイダの署名証明書

Microsoft Entra ID（OpenID Connect）#

1. Microsoft Entra 管理センターで「アプリの登録」>「新規登録」を開きます。名前を「Measure Map Online」とし、プラットフォームに Web を選んで リダイレクト URI を入力します。
2. 「証明書とシークレット」でクライアント シークレットを作成し、値をすぐにコピーします。表示されるのは一度だけです。
3. 「トークン構成」で、ID トークンにオプションのクレーム email を追加します。
4. 3 つの詳細をコピーします。
   • 発行者 URL（issuer）：https://login.microsoftonline.com/<テナント ID>/v2.0。テナント ID は「概要」ページのディレクトリ (テナント) ID です。
   • クライアント ID：アプリケーション (クライアント) ID
   • クライアントシークレット：手順 2 でコピーしたシークレットの値

その他のプロバイダ（OpenID Connect）#

1. リダイレクト URI を使う「Measure Map Online」という名前の OpenID Connect ウェブアプリケーションを作成します。
2. スコープ openid、email、profile を許可し、サインインする人を割り当てます。
3. 3 つの詳細をコピーします：発行者 URL（issuer）、クライアント ID、クライアントシークレット。

ステップ 2：詳細を送信する#

詳細を送信する で、次を入力します。

• SAML の場合：シングルサインオン URL（ログイン URL）、ID プロバイダのエンティティ ID（発行者）、署名証明書。証明書は、テキスト（Base64 または PEM。BEGIN と END の行を含む）を貼り付けるか、upload_fileファイルを選択 を押してダウンロードした .cer、.crt、.pem ファイルを選びます。
• OpenID Connect の場合：発行者 URL（issuer）、クライアント ID、クライアントシークレット。
• メールドメイン：acme.com のようなドメインを入力し、add追加 を押します（または Enter）。チームが使うドメインはすべて追加してください。シングルサインオンで参加できるのは、これらのドメインのアドレスを持つ人だけです。
• 技術担当者 と 連絡先メール：リクエストについて当社が連絡する相手。そのほかのことは 補足事項（任意） に書きます。

sendリクエストを送信 を押します。詳細は送信時に確認され、受け付けられない場合は、何を直せばよいかがフォームにすぐ表示されます。

• 「署名証明書を読み取れませんでした。BEGIN と END の行を含む証明書全体を貼り付けるか、ファイルを選択してください。」
• 「入力内容が受け付けられませんでした。シングルサインオン URL、エンティティ ID、証明書（または発行者、クライアント ID、シークレット）を確認してもう一度お試しください。」

確認のあいだ#

リクエストを送ると、ページ上部のステータスが schedule 当社で対応中 になり、送った詳細と、そのために当社が開いたサポート チケットの番号が表示されます。当社はリクエストを確認し（何よりも、メールドメインが組織のものであるかどうか）、シングルサインオンを有効にします。オーナーにメールが届き、ページに check_circle 有効 とサインインリンクが表示されます。

リクエストが待機中のあいだは、次のことができます。

• editリクエストを編集 を押して修正し、sendリクエストを更新 を押します。署名証明書 や クライアントシークレット を空のままにすると、前に送ったものがそのまま使われます。
• undoリクエストを取り下げる を押して取り消します。新しいリクエストはいつでも送れます。

当社から変更をお願いする場合は、ステータスが error 修正が必要 になり、何を変えればよいかのメモが表示されます。フォームを修正し、sendリクエストを更新 を押します。

有効になったら#

ページには、ID プロバイダ、承認されたメールドメイン、サインイン リンク が表示されます。たとえば https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c です。content_copy を押してコピーし、チームに共有してください。リンクを開くと、会社のプロバイダでサインインする準備ができた状態でサインインページが開きます。?sso= の代わりに ?saml= を使った同じリンクも使えます。

• 参加する人：このリンクからサインインした人は、アドレスが承認されたドメインのいずれかにあれば、初回のサインイン時に自動で組織に参加します。招待した人と同じく組織の既定の役割が与えられ、それぞれシートを 1 つ使います。空きシートがない場合、その人は参加できず、オーナーにその旨のメールが届きます（1 日に 1 回まで）。
• 変更：プロバイダを変える場合やシングルサインオンをオフにする場合は、support_agentお問い合わせ を押します。メッセージが書きかけの状態でサポートのフォームが開きます。シングルサインオンがオンまたはオフになるたびにオーナーにメールが届くので、予期しない変更が気づかれないままになることはありません。
• 証明書：SAML の場合、ID プロバイダの署名証明書がいつまで有効かがページに表示され、期限切れの 1 か月前から警告が表示されます。期限が切れると、誰もシングルサインオンでサインインできなくなります。ID プロバイダで新しい証明書を作成し、support_agentお問い合わせ から当社に送ってください。
• 問題：プロバイダが動作しなくなると、ステータスが error 動作していません になり、チームはそのプロバイダでサインインできません。お知らせの下に表示されるリクエストフォームを、ステップ 1 と ステップ 2 のとおりもう一度送信してください。確認後に再接続します。support_agentお問い合わせ を押してお問い合わせいただくこともできます。