SAML 2.0によるSSOの設定
SAML 2.0を使用してCleveraをIDプロバイダーに接続します。IdPに提供するエンティティIDとACS URL、署名およびName IDの設定、Cleveraが読み取る属性、すべての設定項目、テスト方法、SSOの有効化について説明します。
SAML 2.0を使用してCleveraをIDプロバイダー（IdP）に接続し、チームメンバーが会社の社内アカウントでサインインできるようにします。この記事では、Cleveraの設定ダイアログにあるすべての項目、IdPに必要な正確な値、およびテストと有効化の手順を説明します。
SSOによってメンバーにどのような変更があるかについては、まずシングルサインオンについてをお読みください。IdPごとの詳細な設定手順については、Okta、Microsoft Entra ID、Google Workspaceのガイドをご覧ください。
開始する前に
- あなたはカスタムプランのワークスペースのオーナーであること。
- IdPでSAMLアプリを作成できること、または作成できる担当者と連携していること。
- チームが使用するすべてのメールドメイン（
acme.exampleやeu.acme.exampleなど）を把握していること。
IdPに提供する値
Cleveraの設定ダイアログの「IDプロバイダーを設定する担当者向け」セクションに、コピーボタン付きでこれらの値が表示されます。そこからコピーしてください。エンティティIDには、ワークスペース固有のIDが含まれています。
| Cleveraのラベル | IdPでの名称 | 値 |
|---|---|---|
| エンティティID / Audience URI | Audience URI, SP Entity ID, Identifier | https://app.clevera.ai/sso/metadata/ にワークスペースIDを続けたもの |
| ACS URL (返信URL) | Assertion Consumer Service URL, Single sign-on URL, Reply URL | https://app.clevera.ai/sso/saml/callback |
| SPメタデータURL | Service provider metadata | エンティティIDと同じアドレス。インポート可能なIdP向けに、CleveraのSAMLメタデータをXMLとして提供します。 |
IdPでアプリを次のように設定します。
| IdP設定 | 設定値 |
|---|---|
| Name ID形式 | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Name ID値 | 本人の社内メールアドレス |
| 署名 | SAMLレスポンスとアサーションの両方に署名する。SHA-256を推奨。 |
| アサーションの暗号化 | オフ。Cleveraは暗号化されたアサーションを受け付けません。 |
| 署名付き認証リクエスト | 不要。Cleveraは署名なしのリクエストを送信します。 |
| ACS URLのバインディング | HTTP POST |
| デフォルトのRelayState、IdP開始のサインイン | 空欄にする。サインインは必ずCleveraのサインインページから開始する必要があります。 |
Cleveraが読み取る属性
メールアドレスはName IDから取得されます。Name IDがメールアドレスでない場合、Cleveraは以下の属性を順に検索します。
| 目的 | Cleveraが受け付ける属性名（優先順） |
|---|---|
| メール | email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
| 名 | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| 姓 | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| 表示名（名や姓がない場合に使用） | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
名前はCleveraが新しいアカウントを作成する際にのみ使用されます。名前の属性がまったくない場合、アカウント名はメールアドレスの @ より前の部分から付けられます。Cleveraはグループやロールの属性を読み取りません。SSOで作成されたすべてのユーザーには、以下で選択するデフォルトのロールが割り当てられます。
CleveraでIdPを接続する
セキュリティタブを開く
サイドバー上部のワークスペースメニューを開き、チーム設定、次にセキュリティを選択します。シングルサインオンの下にあるSSOを設定をクリックします。シングルサインオンの設定ダイアログが開きます。
プロバイダー
IDプロバイダー（Okta、Microsoft Entra ID (Azure AD)、OneLogin、Google Workspace、JumpCloud、またはカスタムSAML/OIDCプロバイダー）を選択し、プロトコルをSAML 2.0に設定します。グレーのボックス内の値をIdPにコピーし、続行をクリックします。
プロバイダー名は、サインインボタンに表示される名前です（例：Oktaで続行）。カスタムSAML/OIDCプロバイダーの場合、ボタンにはSSOで続行と表示されます。
IDプロバイダー
IdPのSAML設定ページから値を貼り付けます。フィールドリファレンスを参照してください。続行をクリックします。
ドメインとロール
許可されたメールドメインに各メールドメインを入力し、追加をクリックします（またはEnterキーを押します）。次に、初回サインイン時にアカウントを作成するかどうかを選択し、新しいSSOメンバーのデフォルトロールを選択します。ドメインとロールを参照してください。
確認
概要を確認し、設定を保存をクリックします。「SSO設定が保存されました。テストを実行してから有効にしてください。」と表示されます。保存しただけではSSOは有効になりません。
IDプロバイダーのフィールド
| フィールド | 必須 | 貼り付ける内容 | IdPでの名称 |
|---|---|---|---|
| IdPエンティティID | はい | IdPの発行者（IdPの表示通り） | Identity Provider Issuer, Entity ID, Microsoft Entra Identifier |
| SSOサインインURL | はい | Cleveraがサインイン用にリダイレクトするURL（HTTP Redirectバインディング） | Identity Provider Single Sign-On URL, Login URL, SSO URL |
| ログアウトURL | いいえ | IdPのシングルログアウトURL。「プロバイダーがシングルログアウトを必要としない限り空欄」 | Single Logout URL, Logout URL |
| X.509証明書 | はい | IdPの署名証明書 | X.509 Certificate, Certificate (Base64) |
証明書
- 証明書全体を貼り付けます。
-----BEGIN CERTIFICATE-----および-----END CERTIFICATE-----の行は任意です。スペースや改行は無視されます。 - バイナリの
.cerファイルではなく、Base64 (PEM) テキストを使用してください。ファイルをダウンロードした場合は、テキストエディターで開き、その内容をコピーしてください。 - Cleveraは証明書を暗号化して保存し、二度と表示しません。後で接続を編集する際、フィールドには「証明書が保存されています。保持する場合は空欄にしてください。」と表示されます。
- テストを実行すると、証明書が読み取れない場合や期限切れの場合に通知されます。
ドメインとロール
| 設定 | 内容 | デフォルト |
|---|---|---|
| 許可されたメールドメイン | これらのドメインを持つユーザーのみが接続を使用できます。ドメインは、サインインページでSSOを表示するタイミングも決定します。少なくとも1つは必須です。 | なし |
| 初回サインイン時にアカウントを作成 | 「SSOで初めてサインインした際にCleveraアカウントが作成されます。」新しいアカウントはこのワークスペースに参加します。 | オン |
| 新しいSSOメンバーのデフォルトロール | 新しいアカウントに割り当てられるロール：エディター、コンテンツクリエイター、または管理者。管理者は「初回サインイン時にアカウントを作成」がオフの場合のみ選択可能です。「自動作成されたアカウントには管理者は割り当てられません。」 | エディター |
ドメインについて：
- ドメインは完全に一致する必要があります。
acme.exampleはeu.acme.exampleをカバーしません。それぞれ追加してください。 - メールアドレスではなく、ドメインのみ（
acme.example）を入力してください。先頭の@は削除されます。 - 1つのドメインは1つのCleveraワークスペースにのみ所属できます。別のワークスペースですでに使用されている場合、保存時に「ドメイン acme.example はすでに別のチームに割り当てられています。」と表示されます。ご自身のドメインである場合はサポートにお問い合わせください。
コンテンツクリエイターはクリエイターシートを使用しますが、エディターは使用しません。デフォルトロールがコンテンツクリエイターで、すべてのクリエイターシートが埋まっている場合、SSO経由で参加したユーザーは代わりにエディターになります。そのため、SSOによってシート数を超えることはありません。準備ができたら、シートを追加し、チーム設定 → メンバーでロールを変更してください。ワークスペース、ロール、クリエイターシートについてを参照してください。
接続をテストする
チェックを実行する
セキュリティタブに戻り、接続をテストの横にあるテストを実行をクリックします。保存された設定（エンティティID、サインインURL、証明書が存在し、URLが有効で、証明書が読み取り可能かつ期限切れでないこと）を確認します。
「SSO設定は有効で、使用可能です。」または「SSO設定に解決が必要な問題があります。」とリストが表示されます。SSOサインインの問題を修正するを参照してください。
SSOを有効にする前にテストを実行してください。 SSOを有効にする
SSOを有効にするをオンにします。「SSOが有効になりました。」と表示されます。ステータスバッジがオフからアクティブに変わります。
テストメンバーとしてサインインする
プライベートブラウザウィンドウを開き、Cleveraのサインインページにアクセスして、メンバーのメールアドレスを入力します（初回サインイン時にアカウントが作成される場合は、新しいユーザーのメールアドレスを入力してください）。Continue with（プロバイダー名）をクリックし、IdPでサインインします。ワークスペース内のそのユーザーのCleveraホームページが表示されるはずです。
あなた自身のセッションには影響はありません。また、オーナーはいつでもパスワードを使用してサインインできます。
Run test（テスト実行）はIdPに接続しないため、ステップ3での実際のサインインが唯一の完全なテストとなります。Cleveraのサインインページから開始してください。IdPのダッシュボードから開始したテストは拒否されます。
SSOを必須にする
全員がサインインできるようになったら、Require SSO（SSOを必須にする）をオンにします（「一致するメンバーはSSOでサインインする必要があります」）。「SSO is now required.（SSOが必須になりました）」と表示され、バッジが Active · enforced（有効・強制）になります。
これ以降、ドメイン内のメンバーはパスワードやGoogleを使用したサインインができなくなります。また、ドメイン内の新規ユーザーはパスワードを使用してCleveraアカウントを作成できなくなり、SSOでサインインすることでアカウントを取得するようになります。この設定は Enable SSO（SSOを有効にする）がオンの場合のみオンにでき、Enable SSOをオフにするとこの設定もオフになります。
シングルログアウト
Logout URL（ログアウトURL）を入力すると、Cleveraのメタデータにもログアウトアドレスがリストされます：https://app.clevera.ai/sso/saml/slo（HTTPリダイレクトバインディング）。IdPがそこにログアウト要求を送信すると、Cleveraはユーザーをサインアウトさせ、IdPにリダイレクトします。
Cleveraでサインアウトしても、IdPからはサインアウトされません。
接続の変更または削除
- 変更する： Provider（プロバイダー）の横にある 編集 をクリックします。保存済みの値が入力された状態でダイアログが開きます。証明書をそのままにする場合は空欄のままにしてください。
- 一時的にオフにする： Enable SSO をオフにします。設定は保存されたままになります。
- 削除する： ステータスバッジの横にあるメニューを開き、Remove SSO configuration（SSO設定を削除）を選択し、次に Remove SSO（SSOを削除）を選択します。「SSOでサインインしているメンバーは、今後サインインを続けるためにパスワードをリセットする必要があります」と表示されます。
Provider（プロバイダー）の行には、プロトコルとドメインの数が表示されます。ユーザーがSSOを使用し始めると、セクションの下部に「12 SSO sign-ins · last Oct 12（SSOサインイン12回 · 最終10月12日）」のような行が表示されます。