Google Admin SSO 設定
本ガイドは、Google Admin を使用して EngageLab プラットフォームで SAML シングルサインオン (SSO) を設定するための包括的な説明を提供します。操作手順については、EngageLab の SSO 設定ページ を参照して、設定プロセスを完了してください。
Google Admin と EngageLab の SSO 統合では、ユーザーアカウントのマッピングは Google Admin で設定されたグループと EngageLab SSO グループの対応関係に基づいています。
Google Admin SSO 設定を完了するには、以下の前提条件を満たす必要があります。本記事では以下の順序で手順を説明します：
- Google Admin アカウント：すでに Google Admin 管理者アカウントを登録済みであること。
- EngageLab アカウントと SSO：対象組織が SSO 機能を有効にしていること（未有効の場合は営業担当者に連絡してください）。
- グループ認可：Google Admin で SSO アクセスが必要なグループに EngageLab アプリを許可していること。
- アカウントの一貫性要件：EngageLab にログインするためのメールアドレスが Google Admin で許可されたメールアドレスと完全に一致していること。
注意：Google 環境では、SSO 設定はユーザーの主メールアドレス属性に基づいています。Google Admin では、同一ユーザーに対して複数の SSO メールアドレスを設定することはできません。SSO ログインに使用するメールアドレスが Google Admin ディレクトリの主メールアドレスと一致していることを確認してください。これにより認証が成功します。
設定手順
Google Admin コンソールにログインし、左側のナビゲーションメニューで 「アプリ > ウェブとモバイルアプリ」 をクリックします。
「アプリを追加」 をクリックし、「カスタム SAML アプリを追加」 を選択します。
「アプリ名」 と 「説明」 を入力して、この SAML アプリを識別します。
SSO URL と証明書情報をコピーして保存してください。これらの情報は EngageLab SSO 設定で使用されます。
EngageLab コンソールにログインし、SSO 設定ページに移動して、エンティティ ID や ACS URL などの重要情報をコピーします。
Google Admin の SAML アプリ設定で、エンティティ ID と ACS URL を対応するフィールドに入力します。
名前 ID フォーマットとして EMAIL を選択し、基本情報 > 主メール を名前 ID として選択し、「続行」 をクリックします。
Google ディレクトリ属性 主メール を追加し、アプリ属性を以下に設定します：
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress。
この属性は EngageLab のすべての Google SSO 設定に適用されます。
「完了」 をクリックして Google Admin 側の初期設定を完了します。EngageLab SSO 設定ページに戻り、保存した SSO URL と証明書情報を IdP ログイン URL、IdP ログアウト URL、x509 証明書 フィールドに入力します。
設定が完了したら、「アプリ」 メニューの 「ウェブとモバイルアプリ」 に新しく作成した SAML アプリを見つけ、「ユーザーアクセス」 セクション（リンクではない部分）をクリックします。
サービスステータスで 「すべてのユーザーに対して有効化」 を選択し、すべての対象ユーザーが SSO を通じてログインできるようにします。
ログインとログアウトの説明
標準的なログインおよびログアウトプロセスの詳細については、EngageLab の SSO 設定ページ を参照してください。本セクションでは、Google Admin をアイデンティティプロバイダー (IdP) として使用する場合の認証プロセスと一般的な問題について説明します。他の IdP とは異なる点があります。
アカウントの一貫性チェック
Google Admin SSO を使用して認証する場合、システムは入力された Google アカウントが 現在のブラウザでログインしている Google アカウント と一致しているかを確認します。以下のシナリオが含まれます：
- SSO ログインボタン を介して開始されたログインプロセス
- SSO ログインリンク（SSO 組織にユーザーを招待する招待メール内のログインリンクを含む）
ログイン状態と Google アカウントの一致状況に応じて、システムは以下の応答を行います：
ブラウザにログイン済みでアカウントが一致している場合
追加操作は不要で、システムは自動的に後続の SSO 認証プロセスに進みます。
ブラウザに複数の Google アカウントがログインしている場合
システムはアカウント選択ウィンドウを表示します。SSO ログインメールと一致するアカウントを選択してください。
ブラウザに Google アカウントがログインしていない場合
システムは自動的にユーザーに Google アカウントのログインを促します。指示に従って、SSO ログインメールと一致するアカウントにログインしてください。
ブラウザにログイン済みだがアカウントが一致しない場合
システムは 403 エラーを表示し、ログイン試行をブロックします。
トラブルシューティングとアカウント切り替え
403 エラーが発生した場合は、以下の手順で問題を解決し、アカウントを切り替えてください：
Google Chrome を例に、「Chrome プロファイルを管理」 ページに移動します。
EngageLab SSO ログインに使用する Google メールアカウントを追加または切り替えます。確認後、再度 SSO を通じて EngageLab にログインを試みてください。
または、閲覧履歴を保存する必要がない場合、ブラウザのシークレットモードを使用して SSO ログインを行うこともできます。シークレットモードでは、システムが自動的に Google アカウントのログインを促し、クリーンな環境を提供してアカウントの競合を最小限に抑えます。
よくある質問
質問：ログアウト時にシステムがアカウント選択を促しますが、クリックすると 400 エラーページが表示されます。
回答： Google Workspace は SLO（シングルログアウト）をサポートしていないため、EngageLab のログアウトボタンを使用して Google アカウントから直接ログアウトすることはできません。ログアウトするには、ブラウザの Google アカウント管理ページに移動し、現在の Google アカウントから手動でログアウトしてください。
