SSO 設定

シングルサインオン（SSO、Single Sign-On）を使用すると、組織のメンバーは企業独自のアイデンティティプロバイダー（IdP）で EngageLab にログインでき、EngageLab のパスワードを個別に管理する必要がありません。管理者は IdP でメンバーのアクセス権を一元的に付与・停止できます。

EngageLab は SAML 2.0 プロトコルに対応したアイデンティティプロバイダーをサポートしています。Microsoft Azure（Microsoft Entra ID）、Google Workspace、Okta、OneLogin などが含まれますが、これらに限定されません。

本ドキュメントは組織作成者と企業の IdP 管理者を対象に、設定からメンバーのログインまでの全手順を説明します。

用語集

設定前の準備

• EngageLab アカウントを持ち、通常のログインでログインしていること。SSO ログインでは組織を作成できません。
• SSO を有効にする組織をご自身で作成しており、その組織で SSO 特典が開通済みであること。未開通の場合は、営業担当に連絡してください。
• 企業の IdP で SAML アプリケーションを作成できること、または IdP 管理者の協力を得られること。
• メンバーの IdP 上のメールアドレスが、そのメンバーの EngageLab アカウントのメールアドレスと一致していること。

ユーザー識別ルール

EngageLab はメールアドレスで SSO ユーザーを識別します。IdP が返す SAML アサーションからユーザーのメールアドレス属性を読み取り、EngageLab アカウントのメールアドレスと照合します。次の 2 つの属性名はどちらも識別できます。

注意：IdP が返す SAML アサーションには、上記いずれかのメールアドレス属性が含まれている必要があります。値はユーザーのメールアドレスで、そのユーザーの EngageLab アカウントのメールアドレスと一致している必要があります。ご利用の IdP がデフォルトでメールアドレス属性を返さない場合は、IdP アプリケーションの Attribute Statement に email という名前の属性を追加してください。追加しないと、ユーザーは SSO ログインを完了できません。

推奨：Name ID もユーザーのメールアドレスに設定し、形式を EmailAddress にすると、問題の切り分けが容易になります。

各 IdP のメールアドレス属性の設定：

設定手順

SSO の設定は 4 つのステップに分かれており、コンソールの「SSOを設定」ウィザードと対応しています。

1. IdP設定：EngageLab が提供する SP 情報を IdP に設定し、IdP がメールアドレス属性を返すことを確認します。
2. データソース返却：IdP が生成した証明書と、ログイン・ログアウトのアドレスを EngageLab に入力します。
3. 組織認証：SSO を有効にする組織に SSO サービスを認証します。
4. 検証：SSO ログインリンクを使用してログインをテストします。

ステップ 1：IdP で EngageLab を設定する

1. EngageLab にログインし、右上のアバターにカーソルを合わせて「個人センター」をクリックします。

   

2. 「個人センター」で「SSO」をクリックし、続けて「SSOを設定」をクリックします。

   

3. ページに表示される SP 情報をコピーし、IdP 管理者に渡して IdP で SAML アプリケーションを作成してもらいます。「コピー」をクリックすると、すべての情報をまとめてコピーできます。

   

   SP 情報	説明	IdP での一般的なフィールド名
   Entity ID	SP としての EngageLab の一意の識別子	識別子 (エンティティ ID)、Audience URI、SP Entity ID
   ACS URL	IdP から返される SAML アサーションを受信するアドレス	応答 URL (Assertion Consumer Service URL)、Single sign-on URL、ACS URL
   Login URL	EngageLab の SSO ログインの入口	サインオン URL、Start URL
   Logout URL	EngageLab のログアウトアドレス	ログアウト URL、Single Logout URL

4. ユーザー識別ルールに従って、IdP アプリケーションがメールアドレス属性を返すことを確認します。デフォルトで返さない場合は、email という名前の属性を追加します。また、EngageLab にログインする必要のあるメンバーをこのアプリケーションに割り当てます。

5. 次のステップで入力するため、IdP 管理者に以下の情報を提供してもらいます。

   IdP 情報	説明
   X.509 Certificate	IdP の署名証明書（Base64 形式）。証明書には有効期限があり、期限切れになる前に更新が必要です
   IdPログインURL	IdP のシングルサインオンのアドレス
   IdPログアウトURL	IdP のシングルログアウトのアドレス

6. IdP の設定が完了したら、ページ下部の確認項目（EngageLab アプリケーションの情報が IdP で更新されたことを確認）にチェックを入れ、「続行」をクリックします。

   

一般的な IdP の詳細な設定手順：

• Microsoft Azure
• Google 管理者
• Okta、OneLogin などその他の IdP：上表に従って SP 情報を対応するフィールドに入力し、ユーザー識別ルールに従って email 属性を追加します。

ステップ 2：IdP から返された情報を入力する

1. 「SSOサービス名」を入力します。SSO サービス一覧で各サービスを区別するために使用します。
2. IdP から提供された「x509証明書」「IdPログインURL」「IdPログアウトURL」を入力します。証明書は Base64 の内容をすべて貼り付けてください。
3. 「続行」をクリックします。

ステップ 3：組織を認証する

1. SSO を有効にする組織を選択し、「保存して検証」をクリックします。

   • 1 つの SSO サービスを複数の組織に認証でき、1 つの組織に複数の SSO サービスを認証することもできます。
   • 選択できるのは、ご自身が作成し、SSO 特典が開通済みの組織のみです。組織に「権利なし」または「制限付き」（SSO プロトコル数の上限超過）と表示されている場合は選択できません。営業担当に連絡してください。

   

2. 確認ダイアログで確定します。

   注意：保存すると、選択した組織のすべてのメンバーがログアウトされ、SSO ログインを求めるメールが届きます。以降、メンバーはこの組織にアクセスするために SSO ログインを使用する必要があります。

   

ステップ 4：SSO サービスを検証する

ページに表示される「SSOログインURL」を使用してログインをテストします。テストアカウントは次の条件を満たす必要があります。

• SSO サービスを認証済みの組織に参加している。
• IdP でこの SAML アプリケーションに割り当てられている。
• IdP が返すメールアドレス属性の値が、このアカウントの EngageLab のメールアドレスと一致している。

説明：SSO ログインリンクからログインし、組織内でロールを持たないアカウントには、Default ロールが自動的に付与されます。メンバーの参加後、組織のメンバー管理でロールを変更できます。

ユーザーアクセスルール

アカウントがいずれかの SSO サービスでログインすると、システムはそのアカウントと SSO サービスの紐付けを記録します。次のいずれの方法でも紐付けが行われます。

• 「組織への招待」メール内の SSO ログインリンクをクリックする。
• 「組織が SSO サービスを有効化しました」通知メール内の SSO ログインリンクをクリックする。
• SSO サービスの専用ログインリンクを使用する。

SSO サービスの管理

「個人センター」>「SSO」で、設定済みの SSO サービスを確認できます。

表示と編集

行または「編集」をクリックすると、「SSOサービス詳細」が開きます。詳細には SP 設定情報と IdP 設定情報が表示され、フィールド右側のボタンをクリックすると内容をコピーできます。

• 変更できるのは IdP 設定情報（x509証明書、IdPログインURL、IdPログアウトURL）のみで、その他のフィールドは読み取り専用です。
• 詳細には証明書の有効期限日が表示されます。IdP で証明書を更新した場合は、速やかにここでも更新してください。更新しないと、メンバーがログインできなくなります。

認証組織の変更

「認証」をクリックし、左側で組織を選択して右側で認証済みの組織を確認し、「保存」をクリックします。

• 新たに認証した組織：すべてのメンバーに通知メールが届きます。メールにはこの SSO サービスのログインリンクが記載され、このサービスでのログインが求められます。
• 認証を解除した組織：すべてのメンバーに通知メールが届き、この SSO サービスでログインできなくなったことと、組織がサポートするその他のログイン方法が案内されます。

削除

「削除」をクリックして確定します。

注意：削除すると、このサービスで認証された組織は、このサービスによる SSO ログインに対応しなくなり、ログインリンクも無効になります。組織のメンバーには、SSO ログインの利用停止を知らせるメールが届きます。

メンバーのログイン

EngageLab ログインページからログインする

1. EngageLab のログインページを開き、「SSOログイン」をクリックします。

   

2. EngageLab アカウントのメールアドレスを入力します。システムは、このアカウントが最後にアクセスした SSO 組織に基づいて SSO サービスを選択します。

   • その組織の SSO サービスが 1 つだけの場合は、IdP に直接リダイレクトされます。
   • その組織に複数の SSO サービスがあり、アカウントがそのうち複数と紐付けられている場合は、使用するサービスを選択してください。

3. IdP のページで認証を完了すると、自動的に EngageLab に戻り、ログインが完了します。

   

SSO 専用ログインリンクを使用する

組織作成者は「個人センター」>「SSO」で SSO サービスのログインリンクをコピーし、組織メンバーに送信できます。

メンバーがリンクをクリックすると IdP の認証にリダイレクトされます。認証に成功すると、EngageLab は IdP が返したメールアドレスでアカウントを照合します。

説明：SSO ログインリンクで組織にアクセスするには、組織管理者に連絡して、ご自身のメールアドレスをその SSO 組織に追加してもらってください。

ログイン失敗時のトラブルシューティング

ログアウト

SSO ログイン状態でログアウトをクリックすると、システムは IdP のログアウトアドレスを呼び出し、IdP のログイン状態も同時に終了します。再度ログインする際は、IdP で改めて認証する必要があります。

説明：一部の IdP（Google Workspace など）はシングルログアウトに対応していません。その場合は IdP 側で手動でログアウトする必要があります。詳しくは Google 管理者を参照してください。