シングルサインオン（SSO）の設定
サービス管理者は、ProtoPie Enterprise環境に対してSSOを設定できます。
SSOを設定すると、メンバーはOkta、Auth0、OneLoginなど、任意の認証ソース（アイデンティティプロバイダー：IdP）を介してProtoPieにアクセスできるようになります。これにより、企業はProtoPie Enterpriseへのアクセス権限を効率的に一元管理できます。
SSOは、ユーザーが複数のユーザー名やパスワードを管理することなく、1つの資格情報のセットでアプリケーションやWebサイトにログインできるようにする認証スキームです。多くの組織や企業では、セキュリティと利便性を確保するために、すでに社内ポリシーにSSOを導入しています。
ProtoPie Enterpriseは、次の2つのSSOプロトコルをサポートしています。
SAML 2.0
OpenID Connect (OIDC) – OAuth 2.0 上に構築
SAML SSOの設定
SAMLの用語において、ProtoPieは認証のためにアイデンティティプロバイダー（IdP）と通信する必要があるサービスプロバイダー（SP）です。
これを設定するには、IdPにProtoPieを追加します。これは、ProtoPieから提供されるアサーションコンシューマーサービスURL（spAcsUrl）をIdPに入力し、IdPからのIdPメタデータURLをProtoPieに入力することを意味します。
サービス管理者設定の認証に移動します。
SAMLを有効にします。
アサーションコンシューマーURLをコピーします。
IdPへのアプリケーションの追加方法は、IdPによって異なります。以下にOktaを使用する場合の手順を説明します。
Oktaを使用したSAML SSO
Oktaを使用したシングルサインオン（SSO）の設定方法については、ProtoPie Schoolが提供するわかりやすいステップバイステップのビデオチュートリアルをご覧ください。
または、以下の手順に従って手動で設定することもできます。
Oktaにログインし、Applicationsページに移動します。
左上隅のAdd Applicationをクリックします。
右上隅のCreate New Appをクリックします。
Sign on methodとしてSAML 2.0を選択し、Createをクリックします。
General Settingsのアプリ名に「ProtoPie」と入力します。便宜上、 ProtoPieのロゴをアップロードしてください。その後、Nextをクリックします。
SAML設定に関して、以下の手順を行います。
コピーしたアサーションコンシューマーURLを、Single sign on URLとAudience URI (SP Entity ID)の両方のフィールドに貼り付けます。
Name ID formatとしてEmailAddressを選択します。
Nameに「firstName」、Valueに「user.firstName」と入力します。その後、Add Anotherをクリックします。
Nameに「lastName」、Valueに「user.lastName」と入力します。
Nextをクリックします。
I'm a software vendor. I'd like to integrate my app with Okta（私はソフトウェアベンダーです。アプリをOktaと統合したいです）を選択し、Finishをクリックします。
Okta内のProtoPieアプリにユーザーを割り当てます。ProtoPieアプリケーションに移動し、Assignmentsタブをクリックします。Assignボタンをクリックしてユーザーを割り当てます。
Sign Onタブをクリックし、次にView Setup Instructionsをクリックします。
Identity Provider Single Sign-On URLは、基本的に必要なIdPメタデータURLです。これをコピーします。
サービス管理者設定の認証に戻ります。
まだ有効にしていない場合は、SAMLを有効にします。
コピーしたIdPメタデータURLを「IdPのメタデータURL」欄に貼り付けます。
更新をクリックします。
別のIdPを使用したSAML SSO
別のIdPでSAML SSOを設定する場合も、Oktaと同様に、ProtoPieのアサーションコンシューマーサービスURL（spAcsUrl）とIdPのIdPメタデータURLを使用します。新しいアプリケーションを追加する方法については、ご使用のIdPのドキュメントを参照してください。
Azure ADを使用したSAML SSO
Azureにサインインし、Azure Active Directoryにアクセスします。
左側のメニューからエンタープライズ アプリケーションを選択します。
すべてのアプリケーション → 新しいアプリケーションを選択します。
Azure AD ギャラリーでAzure AD SAML Toolkitを検索して選択し、追加します。
名前のフィールドに「
ProtoPie」と入力します。また、必要に応じてProtoPieのロゴをアップロードすることもできます。
アプリケーションが追加されると、追加されたアプリケーションの概要を以下のように確認できます。その後、作業の開始メニューで設定を完了します。
ユーザーとグループの割り当てメニューを選択し、ユーザーまたはユーザーグループを設定します。
シングル サインオンのセットアップメニューを選択し、SSOの設定を開始します。SAML方式を選択します。
基本的な SAML 構成の編集を選択し、値を入力します。以下の値を入力してください。
識別子 (エンティティ ID):
https://PROTOPIE_DOMAIN/sp応答 URL (アサーション コンシューマー サービス URL):
https://PROTOPIE_DOMAIN/api/auth/callback/sso/samlこれらの値は、
ProtoPie管理者ダッシュボード → 認証 → SAML → Assertion Consumer URLにあるものと同じです。サインオン URL:
https://PROTOPIE_DOMAIN/api/auth/login/sso/saml
SAML 署名証明書にあるアプリのフェデレーション メタデータ URLをコピーします。
ProtoPie管理者ダッシュボードの認証 → SAMLメニューに移動してSAMLを有効にし、以下の値を入力します。
認証コンテキスト（Authn Context）:
urn:oasis:names:tc:SAML:2.0:ac:classes:unspecifiedIdP URL (IdPメタデータURL): 上記でコピーした
アプリのフェデレーション メタデータ URLを入力します。
OIDC SSOの設定
OpenID Connect (OIDC) は、OAuth 2.0フレームワーク上に構築された認証プロトコルです。
OIDC SSOの設定方法については、ProtoPie Schoolが提供するわかりやすいステップバイステップのビデオチュートリアルをご覧ください。
または、以下の手順に従って手動で設定することもできます。
設定するには、IdPにProtoPieを追加します。これは、ProtoPieから提供されるコールバックURL（loginUrl）をIdPに入力し、IdPからの認証URL（authorization URL）、トークンURL（token URL）、クライアントID（client ID）、およびクライアントシークレット（client secret）をProtoPieに入力することを意味します。
サービス管理者設定の認証に移動します。
OIDCを有効にします。
コールバックURLをコピーします。
IdPへのアプリケーションの追加方法は、IdPによって異なります。以下にOktaを使用する場合の手順を説明します。
Oktaを使用したOIDC SSO
Oktaにログインし、Applicationsページに移動します。
左上隅のAdd Applicationをクリックします。
右上隅のCreate New Appをクリックします。
Sign on methodとしてOpenID Connectを選択し、Createをクリックします。
General Settingsのアプリ名に「ProtoPie」と入力します。便宜上、ProtoPieのロゴをアップロードしてください。また、コピーしたコールバックURLをLogin redirect URIsフィールドに貼り付けます。その後、Saveをクリックします。
Okta内のProtoPieアプリにユーザーを割り当てます。ProtoPieアプリケーションに移動し、Assignmentsタブをクリックします。Assignボタンをクリックしてユーザーを割り当てます。
Generalタブをクリックします。クライアントID（client ID）とクライアントシークレット（client secret）の両方をコピーします。
Sign Onタブをクリックします。認証URL（Authorization URL）とトークンURL（Token URL）の両方が必要です。これら2つのURLはIdPによって異なります。Oktaの場合、認証URLは ${baseUrl}/oauth2/v1/authorize、トークンURLは ${baseUrl}/oauth2/v1/token の構造になります。ベースURLには、OpenID Connect ID Tokenの下にあるIssuerを使用します。ベースURLの構成方法について詳しくはこちらをご覧ください。
サービス管理者設定の認証に戻ります。
まだ有効にしていない場合は、OIDCを有効にします。
認証URL、トークンURL、クライアントID、およびクライアントシークレットを入力します。
更新をクリックします。
別のIdPを使用したOIDC SSO
別のIdPでOIDC SSOを設定する場合も、Oktaと同様に、ProtoPieのコールバックURLと、IdPの認証URL、トークンURL、クライアントID、およびクライアントシークレットが必要です。新しいアプリケーションを追加する方法については、ご使用のIdPのドキュメントを参照してください。
メンバーの管理
SSOを有効にした場合でも、メンバーの管理はProtoPie Enterprise自体で行う必要があります。IdP側でユーザーを追加または削除しても、ProtoPie Enterpriseに自動的には反映されません。
IdP側でユーザーのメールアドレスを変更した場合は、ProtoPie Enterpriseでも同様の変更を行ってください。
よくある質問（FAQ）
where-to-get-cert-data
Certデータはどこで入手できますか？
ProtoPie (SP) は、現在のところ証明書データ (X.509 証明書) を提供していません。
当社のサービスは、IdP から提供されたメタデータを読み取り、メタデータ内に X.509 証明書が存在する場合はそれを使用します。存在しない場合は、ACS URL として受信した SAML レスポンスから署名の X.509 証明書が取得されます。
where-to-get-acs-url
ACS URLはどこで取得できますか？
ProtoPie (SP) から提供される ACS URL は、管理ダッシュボードで「Assertion Consumer URL」として確認できます。
i-signed-up-by-using-the-sso-can-i-log-in-by-using-email-password
SSOを使用してサインアップしました。メールアドレスとパスワードでログインできますか？
メール/パスワード認証方法が有効になっていない場合、この方法でのログインは使用できません。サービス管理者設定の認証でメール/パスワードを有効にすると、ログインできるようになります。
この手順の完了後、メンバーはアカウント設定でパスワードを個別に設定できるようになります。
does-protopie-enterprise-support-single-logout-slo
ProtoPie Enterpriseはシングルログアウト（SLO）に対応していますか？
現在、ProtoPie Enterpriseはシングルログアウト（SLO）に対応していません。
i-signed-up-to-protopie-but-my-first-and-last-names-are-different-from-those-in-idp
ProtoPieに登録しましたが、名と姓がIDPに登録されている名前と異なります。
SAMLまたはOIDCを使用してサインアップすると、名と姓が自動的にIdPに読み込まれます。
SAMLの値が正しく表示されない場合は、IdPのSAML設定を確認してください。
OIDCの場合、値が正しく表示されないときは、IdPを確認してください。
can-i-use-only-single-sign-on-instead-of-email-password
メールアドレスとパスワードの代わりに、シングルサインオン（SSO）のみを使用することはできますか？
ご希望の場合は、2つの検証方法のいずれかを使用できます。ただし、すべての検証方法を無効にすることはできません。少なくとも1つの検証方法（メールとパスワード、またはSSO）を有効にする必要があります。
SSO検証方法のみを有効にするには、構成を変更するサービス管理者が、SSOログインを有効にしている必要があります。初期システム構成として、メールとパスワード方式で設定されているサービス管理者の場合は、以下の手順を参照してください。
サービス管理者として設定される新しいユーザーを招待します。
ユーザーは、SSO検証方法でサインアップします。
招待されたユーザーが、サービス管理者に指定されます。
ログイン後、ユーザーはメールとパスワードによる検証方法を無効にします。
（オプション）既存のサービス管理者のロールをメンバーに変更します。
what-is-authn-context
AuthnContext（AuthnContextClassRefと同じ）とは何ですか？
SAMLリクエストにおいて、SPがIdPに対して特定の認証メカニズムでユーザーを認証するよう要求するための手段です。これはオプションであり、IdPの設定オプションに依存するため、IdP管理者への確認が必要です。
urn:oasis:names:tc:SAML:2.0:ac:classes:X509
urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified
do-i-need-to-use-idp-not-protopie-enterprise-for-member-management
メンバー管理には、ProtoPie EnterpriseではなくIdPを使用する必要がありますか？
いいえ、その必要はありません。IdPでユーザーを追加または削除しても、ProtoPie Enterpriseには自動的には反映されません。
what-is-the-entity-id-value
エンティティIDの値は何ですか？
エンティティIDとは、SAMLエンティティ（すなわち、提供先であるIDプロバイダー（IdP）またはサービスプロバイダー（SP））のグローバルにユニークな名前のことです。エンティティIDは名前であり、解決可能なWeb上の場所である必要はありません。SAMLのエンティティIDはURIである必要があります。
ProtoPie Enterpriseは以下のフォーマット（ACS URL）に従います。
Enterprise Cloud: https://sample.protopie.cloud/api/auth/callback/sso/saml
Enterprise On-Premise: {PROTOPIE_HOST}/api/auth/callback/sso/saml
can-i-log-into-protopie-if-i-change-my-email-address-in-idp
IdPでメールアドレスを変更した場合、ProtoPieにログインできますか？
IdPとProtoPie Enterpriseの両方に登録されているメールアドレスが同一である場合にのみ、同一ユーザーとして認識されます。したがって、IdP側でメールアドレスを変更する場合は、ProtoPieの登録メールアドレスもIdPと同じアドレスに変更する必要があります。
サービス管理者が全メンバーのメールアドレスを変更する場合は、以下の手順を参照してください。
サービス管理者アカウントを除く、IdP内のすべてのメールアドレスを変更します。
サービス管理者が、ProtoPieの管理者ダッシュボードですべてのメールアドレスを変更します。
サービス管理者は、「アカウント設定」→「プロフィール」に移動して、自身のメールアドレスを変更できます。
変更先メールアドレスのメールサービスにアクセスし、確認メールをチェックして、メールアドレスの変更を完了します。
注意：サービス管理者の認証方法がSSOログインに設定されている場合は、この手順に従ってIdP側でメールアドレスを変更してください。