Cleveraのシングルサインオン（SSO）について
Cleveraにおけるシングルサインオンの機能、対象プラン、SAML 2.0とOpenID Connectの違い、SSOでサインインできるユーザー、SSOの必須化、および既存メンバーやパスワードへの影響について解説します。
シングルサインオン（SSO）を利用すると、チームメンバーはOkta、Microsoft Entra ID、Google Workspace、またはその他のSAML 2.0やOpenID Connectプロバイダーの会社アカウントを使用してCleveraにサインインできるようになります。この記事では、CleveraにおけるSSOの機能、設定可能なユーザー、メンバーへの影響について説明します。
始める前に
- プラン: SSOはカスタムプランに含まれています。その他のプランでは、オーナーのチーム設定 → セキュリティにカスタムプランが必要ですと表示され、お問い合わせリンクが表示されます。プランを選択するを参照してください。
- 設定できるユーザー: ワークスペースのオーナーのみです。管理者はSSO設定の閲覧や変更はできません。
- IDプロバイダー: IDプロバイダー（IdP）でアプリを作成できる方、またはその値を送付できる方が必要です。
- メールドメイン: ユーザーがサインインに使用するすべての会社ドメイン（例:
acme.example）。
CleveraにおけるSSOの機能
| 動作 | |
|---|---|
| サインイン | ユーザーがCleveraのサインインページで仕事用メールアドレスを入力し、Continue with（プロバイダー名）をクリックします。IdPでサインインすると、ワークスペースにサインインした状態で戻ります。 |
| 新規ユーザー | 初回サインイン時にアカウントを作成がオンの場合、Cleveraアカウントを持たないユーザーは初回サインイン時にアカウントが作成され、選択したデフォルトのロール（そのロールにクリエイターシートが必要で空きがない場合はエディター）でワークスペースに参加します。 |
| 既存メンバー | メールドメインがリストに含まれているメンバーは、すぐにSSOでサインインできます。動画やロールに変更はありません。 |
| SSOの必須化 | SSOを必須にするがオンの場合、対象ドメインのメンバーはパスワードやGoogleでサインインできなくなり、対象ドメインの新規ユーザーもパスワードで登録できなくなります。 |
| オーナー | オーナーは常にパスワードでサインインできるため、締め出されることはありません。 |
SSOはワークスペースごとに機能します。接続、ドメイン、ルールは、設定を行ったワークスペースに帰属します。
SAML 2.0またはOpenID Connect
Cleveraは両方に対応しています。IdP管理者が推奨する方法を選択してください。メンバー側の結果は同じです。
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Cleveraに入力する項目 | IdPエンティティID、SSOサインインURL、X.509証明書、ログアウトURL（任意） | クライアントID、クライアントシークレット、ディスカバリーURL（または各エンドポイントを手動入力） |
| IdPに提供する項目 | エンティティID / Audience URIおよびACS URL (Reply URL) | リダイレクトURI (コールバックURL) |
| IdPからのシングルログアウト | ログアウトURLを追加すれば対応可能 | 非対応 |
| ガイド | SAMLでSSOを設定する | OpenID ConnectでSSOを設定する |
プロバイダー別ガイド: Okta、Microsoft Entra ID、Google Workspace。OneLogin（SAMLまたはOIDC）やJumpCloud（SAMLのみ）もプロバイダーリストに含まれています。それぞれの一般的なSAMLまたはOIDCガイドに従ってください。
設定方法
IdPでアプリを作成する
設定ダイアログの最初のステップに表示される値（コピーボタン付き）を使用します。SAMLの場合はエンティティIDとACS URL、OIDCの場合はリダイレクトURIを使用してください。
Cleveraで接続する
サイドバー上部のワークスペースメニューを開き、チーム設定、セキュリティの順に選択します。シングルサインオンの下にあるSSOを設定をクリックし、プロバイダー、IDプロバイダー、ドメインとロール、確認の4つのステップを進めます。最後に設定を保存をクリックします。
テストする
テストを実行をクリックし、プライベートブラウザウィンドウでテスト用メンバーとしてサインインします。
有効にする
SSOを有効にするをオンにします。全員がサインインできることを確認したら、SSOのみを許可したい場合はSSOを必須にするをオンにします。
保存しただけではSSOは有効になりません。そのため、誰にも影響を与えずに接続の準備を行うことができます。
設定後のサインイン方法
- Cleveraのサインインページで、仕事用メールアドレスを入力します。
- Cleveraがドメインを認識し、「組織はOktaを使用しています」（プロバイダー名）と表示され、Continue with Oktaボタンが表示されます。カスタムSAML/OIDCプロバイダーの場合は「組織はSSOを使用しています」と表示され、ボタンはContinue with SSOとなります。SSOを必須にするがオンの場合、「この組織のメンバーはOktaでサインインします」というメッセージが追加されます。
- ボタンをクリックしてIdPでサインインすると、ワークスペースのCleveraホーム画面に移動します。サインインを求められた際にCleveraのリンクを開いていた場合は、そのページに直接移動します。
サインアウトするまで、そのブラウザでサインイン状態が維持されます。Cleveraからサインアウトしても、IdPからはサインアウトされません。
デスクトップアプリ: デスクトップアプリはブラウザ経由でサインインします。ブラウザのサインインページで仕事用メールアドレスを入力し、Continue with（プロバイダー名）をクリックしてください。IdPでのサインイン後、ブラウザからデスクトップアプリに戻り、サインインが完了します。デスクトップアプリにサインインするを参照してください。
SSOを利用できるユーザー
| ユーザー | SSOでサインイン可能か |
|---|---|
| メールドメインがリストに含まれるワークスペースメンバー | はい |
| ドメイン内でCleveraアカウントを持たないユーザー | はい（初回サインイン時にアカウントを作成がオンの場合）。それ以外は先に招待してください。 |
| ドメイン内でCleveraアカウントを持っているが、このワークスペースのメンバーではないユーザー | いいえ。招待して承諾を得れば、SSOが利用可能になります。 |
| オーナー | はい（SSO設定を自身で保存した場合）。常にパスワードも使用可能です。 |
| メールドメインがリストに含まれないユーザー | いいえ。これまで通りの方法でサインインを継続します。 |
3行目と4行目は安全対策です。Cleveraではメールドメインが検証されないため、SSOがワークスペース外のアカウントを乗っ取ったり、他人が保存した接続でオーナーがサインインしたりすることはありません。
クリエイターシート
SSOで作成されたユーザーには、選択したSSOメンバーのデフォルトロールが割り当てられます。それがコンテンツクリエイターで、プラン内のクリエイターシートがすべて埋まっている場合、シートを使用しないエディターとして参加します。シートを追加し、チーム設定 → メンバーでロールを変更してください。ワークスペース、ロール、クリエイターシートについてを参照してください。
パスワードへの影響
- 既存メンバーはパスワードを保持します。SSOを必須にするがオフの間はどちらも使用可能です。オンの場合、正しいパスワードでサインインしようとすると「組織はシングルサインオンを必須としています。SSOボタンを使用して続行してください。」と表示されます。
- ドメイン内の新規ユーザーは、SSOを必須にするがオンの間はパスワードでアカウントを作成できません。サインアップフォームには「組織はシングルサインオン（SSO）でサインインします。サインインページに移動し、メールアドレスを入力して『Continue with SSO』を選択してください。」と表示されます。SSOで初回サインインした際にアカウントが作成されます（初回サインイン時にアカウントを作成がオンの場合。それ以外は招待が必要です）。
- SSOで作成されたアカウントには、ユーザーが知っているパスワードはありません。後にSSOが無効化または削除された場合、サインインページの**パスワードをお忘れですか？**を使用してパスワードを設定します。
- SSOを必須にするがオンの間、対象ドメインのメンバーはGoogleサインインがブロックされます。
アクセス権の削除
CleveraはIdPからユーザーを同期しません。IdPでユーザーの割り当てを解除しても、新規のSSOサインインは停止しますが、すでにサインイン済みのブラウザはそのまま維持されます。すぐにアクセスを遮断するには、チーム設定 → メンバーからも削除してください。