Skip to main content

SSO / LDAP / SCIM 概要（IT 向け）

SSO / LDAP / SCIM 概要（IT 向け）

ワークスペースへの シングルサインオン（SSO）、LDAP ディレクトリ連携、SCIM によるユーザープロビジョニングの概要です。IT 管理者・インフラ担当向け。

Enterprise 機能: カスタム SSO（SAML / OIDC / LDAP）と SCIM は Enterprise ライセンスが必要です。Google SSO 等はエディションにより異なります（No.2.8）。

こんなときに読む

設定画面

Settings > Security（/settings/security）— WS Admin / Owner のみ

主なセクション:

セクション 内容
SSO Providers SAML / OIDC / LDAP プロバイダーの追加・編集
Enforce SSO パスワードログインの無効化（SSO 強制）
Allowed domains SSO 経由サインアップを許可するメールドメイン
MFA 多要素認証のワークスペース設定
SCIM プロビジョニング API の有効化とトークン管理

SSO プロバイダー種別

種別 用途 設定の要点
SAML 2.0 エンタープライズ IdP Entity ID、ACS URL、証明書、NameID 形式
OIDC OAuth 系 IdP Issuer、Client ID、Client Secret、リダイレクト URI
LDAP オンプレ AD / OpenLDAP URL、Bind DN、Base DN、検索フィルタ、TLS
Google（クラウド等） Google アカウント 管理者画面のウィザードに従う

各プロバイダーで Enable、Allow signup（初回 WS 参加）を個別に設定できます。

ログインフロー（利用者視点）

  1. ログイン画面で SSO ボタンを選択
  2. IdP で認証
  3. 既存ユーザーは WS へ、未登録かつ許可されていればサインアップ

→ 利用者向け: 「ログイン導線のすべて」（No.2.6）

LDAP の概要

LDAP は SSO プロバイダーとして追加し、メールアドレス等の属性マッピングを確認してください。

SCIM プロビジョニング

SCIM 2.0 で IdP からユーザー・グループを同期します。

有効化手順（概要）

  1. Security 画面で Enable SCIM を ON
  2. SCIM base URL を IdP に登録（画面に表示）
  3. SCIM トークン を作成（最大 5 件）
  4. IdP 側でマッピング・同期スケジュールを設定

運用上の注意

SSO 強制（Enforce SSO）

全メンバーに SSO ログインのみを許可する場合に有効化します。

チェックリスト（導入時）

  1. APP_URL が IdP のリダイレクト URI と一致（セルフホスト: No.10.2）
  2. SAML 証明書の有効期限をカレンダー管理
  3. テストユーザーでログイン・サインアップの両方を検証
  4. SCIM のグループマッピングと WS / Space ロール方針を決定
  5. 403・権限エラー時のエスカレーション先を決める（No.11.4）

関連ナレッジ