OpenID ConnectによるSSOの設定
OpenID Connectを使用してCleveraをIDプロバイダーに接続します。IdPに必要なリダイレクトURI、スコープ、クライアント認証、Cleveraが読み取るクレーム、すべての設定項目、テスト、およびSSOの有効化について説明します。
OpenID Connect (OIDC) を使用してCleveraをIDプロバイダー (IdP) に接続し、チームメンバーが会社のアカウントでサインインできるようにします。この記事では、IdPで作成するアプリ、Cleveraの設定ダイアログにあるすべての項目、Cleveraが読み取るクレーム、およびテストと有効化の方法について説明します。
SSOによってメンバーにどのような変更があるかについては、まずシングルサインオンの理解をお読みください。Okta、Microsoft Entra ID、Google Workspaceのガイドには、プロバイダー固有の画面手順が記載されています。
開始する前に
- カスタムプランのワークスペースのオーナーであること。
- IdPでOIDC (Web) アプリを作成できること、または作成できる担当者と連携していること。
- チームが使用するすべてのメールドメインを把握していること。
IdPでアプリを作成する
Webアプリケーション（クライアントシークレットを持つ機密クライアント）を作成し、次のように設定します。
| IdP設定 | 値 |
|---|---|
| リダイレクトURI (サインインリダイレクトURI、コールバックURL) | https://app.clevera.ai/sso/oidc/callback |
| 付与タイプ (Grant type) | 認可コード (Authorization code) |
| クライアント認証 | クライアントシークレット。Cleveraはトークンリクエストの本文でシークレットを送信します (client_secret_post)。 |
| スコープ | openid, email, profile |
| サインアウト用リダイレクトURI、ログイン開始URI | 空白のままにします。サインインは必ずCleveraのサインインページから開始する必要があります。 |
リダイレクトURIを手入力する必要はありません。Cleveraの設定ダイアログの最初のステップでOpenID Connectを選択すると、「IDプロバイダーを設定する担当者向け」というグレーのボックスに、コピーボタン付きの**リダイレクトURI (コールバックURL)**が表示されます。
アプリが作成されたら、そのクライアントID、クライアントシークレット、およびディスカバリーURL（OpenID構成URLまたはwell-known URLとも呼ばれ、/.well-known/openid-configurationで終わるもの）をコピーします。
Cleveraが読み取るクレーム
CleveraはIDトークンを読み取ります。IdPにUserInfoエンドポイントがある場合は、それに加えてUserInfoレスポンスも読み取ります。
| 目的 | クレーム (優先順位順) | 備考 |
|---|---|---|
| メール | email, 次に preferred_username, 次に upn |
有効なメールアドレスである最初のものが使用されます。該当がない場合、サインインは失敗します。 |
| 名前 | name, 次に given_name + family_name, 次に preferred_username |
Cleveraが新しいアカウントを作成する場合にのみ使用されます。メールアドレスの @ より前の部分が代用されます。 |
Cleveraはグループやロールのクレームを読み取りません。SSOによって作成されたすべてのユーザーには、Cleveraで選択したデフォルトのロールが割り当てられます。
CleveraでIdPを接続する
セキュリティタブを開く
サイドバー上部のワークスペースメニューを開き、チーム設定、次にセキュリティを選択します。シングルサインオンの下にあるSSOを設定をクリックします。
プロバイダー
IDプロバイダーを選択し、プロトコルをOpenID Connectに設定します。まだコピーしていない場合は**リダイレクトURI (コールバックURL)**をIdPにコピーし、続行をクリックします。（JumpCloudはCleveraではSAMLのみをサポートしています。）
プロバイダー名は、サインインボタンに表示される名前（例：Oktaで続行）になります。カスタムSAML/OIDCプロバイダーの場合、ボタンにはSSOで続行と表示されます。
IDプロバイダー
以下の項目を入力し、続行をクリックします。
ドメインとロール
許可するメールドメインに各メールドメインを追加し、初回サインイン時にアカウントを作成するかどうかを選択して、新しいSSOメンバーのデフォルトロールを選びます。これらはSAMLの場合と同様に機能します。ドメインとロールを参照してください。
確認
概要を確認し、設定を保存をクリックします。「SSO設定が保存されました。テストを実行してから有効にしてください。」と表示されます。保存しただけではSSOは有効になりません。
IDプロバイダーの項目
| 項目 | 必須 | 入力内容 |
|---|---|---|
| クライアントID | はい | OIDCアプリケーションのクライアントID。 |
| クライアントシークレット | はい | OIDCアプリケーションのクライアントシークレット。暗号化して保存され、二度と表示されません。後で編集する場合、「シークレットは保存済みです。変更しない場合は空白のままにしてください。」と表示されます。 |
| ディスカバリーURL | 推奨 | 「推奨。ここからエンドポイントが読み取られます。」例：https://idp.example.com/.well-known/openid-configuration。 |
| 認可URL | ディスカバリーURLなしの場合のみ | IdPの認可エンドポイント。 |
| トークンURL | ディスカバリーURLなしの場合のみ | IdPのトークンエンドポイント。 |
| UserInfo URL | いいえ | IdPのUserInfoエンドポイント。ディスカバリーURLがない場合にのみ表示されます。 |
3つのエンドポイント項目は、ディスカバリーURLが空の場合にのみ表示されます。
ディスカバリーURLが推奨される理由
ディスカバリーURLを使用すると、Cleveraが自動的にエンドポイントを読み取り、IdPが公開している署名キーと発行者に対して各サインインを検証します。IdPにディスカバリードキュメントがない場合にのみ、手動でエンドポイントを入力してください。
- ディスカバリーURLはIdPの発行者に
/.well-known/openid-configurationを加えたものである必要があり、その中のissuerはIdPが発行するトークンと一致する必要があります。発行者にプレースホルダー（Microsoftのcommonエンドポイントなど）が含まれるマルチテナントURLは機能しません。テナント固有のURLを使用してください。 - すべてのURLは、Cleveraのサーバーが到達可能な公開
https://(またはhttp://) アドレスである必要があります。VPN経由でしか到達できないIdPなど、プライベートネットワーク上のアドレスは拒否されます。ポート番号は任意です。 - Cleveraはディスカバリードキュメントと署名キーを最大1時間保持します。その間にIdPが署名キーをローテーションしても、Cleveraはサインインを拒否する前に新しいキーを一度取得するため、キーのローテーションによってユーザーが締め出されることはありません。
接続をテストする
チェックを実行する
セキュリティタブで、テストを実行をクリックします。クライアントIDとシークレットが保存されているか、またディスカバリーURLがある場合はドキュメントが読み込まれ、認可エンドポイントが含まれているかが確認されます。「SSO設定は有効で、使用準備が整いました。」と表示されるか、問題のリストが表示されます。SSOサインインの問題を修正するを参照してください。
各問題に対して修正すべき内容が表示されます。 SSOを有効にする
SSOを有効にするをオンにします。「SSOが有効になりました。」と表示され、バッジがアクティブになります。
テストメンバーとしてサインインする
プライベートブラウザウィンドウでCleveraのサインインページにアクセスし、メンバーのメールアドレスを入力して、プロバイダーの**～で続行**をクリックしてサインインします。ワークスペースのCleveraホームページに移動できれば成功です。オーナーは常にパスワードでサインインできるため、締め出されることはありません。
テストを実行では、クライアントシークレットや実際のサインインの検証は行われません。ステップ3でのみ行われます。
SSOの必須化、変更、削除
これらはSAMLの場合と同様に機能します。
- 全員がサインインできるようになったら、SSOを必須にするをオンにします。これにより、ドメイン内のメンバーはパスワードやGoogleを使用できなくなります。
- 編集で接続を変更します。保存済みのシークレットを維持する場合は、クライアントシークレットを空白のままにします。IdPでシークレットをローテーションした場合は、新しいシークレットを貼り付けて保存してください。
- SSO設定を削除（ステータスバッジの横のメニュー内）で設定を削除します。SSOで作成されたメンバーは、**パスワードをお忘れですか？**を使用してパスワードを設定します。
詳細はSAMLによるSSOの設定を参照してください。OIDCにはシングルログアウト機能はありません。IdPからサインアウトしても、Cleveraからはサインアウトされません。