Microsoft Entra IDでSSOを設定する

Microsoft Entra ID（旧Azure AD）とCleveraの間でシングルサインオンを設定し、チームメンバーがMicrosoftの職場アカウントでサインインできるようにします。SAML 2.0またはOpenID Connect (OIDC) で接続できます。このガイドでは、Entra側の設定とCleveraでの対応するフィールドの両方を説明します。

Microsoft Entra管理センターの画面は随時変更されます。以下のラベルが一致しない場合は、同じ意味を持つ設定を探してください。値の全リストについては、一般的なガイドであるSAMLおよびOIDCを参照してください。

開始する前に#

• あなたはカスタムプランを利用しているCleveraワークスペースのオーナーです。
• Entraでエンタープライズアプリケーションやアプリ登録を作成する権限（アプリケーション管理者など）を持っています。
• メンバーが使用するメールアドレスのドメイン（例: acme.example）を把握しています。

まずCleveraのセットアップダイアログを開き、値をコピーできるようにします。サイドバー上部のワークスペースメニューを開き、チーム設定、セキュリティの順に選択して、SSOを設定をクリックします。IDプロバイダーとして**Microsoft Entra ID (Azure AD)**を選択してください。

SAML 2.0で接続する#

1. エンタープライズアプリケーションを作成する#

   Microsoft Entra管理センターで、エンタープライズアプリケーションに移動し、新しいアプリケーション、独自のアプリケーションの作成の順にクリックします。名前をCleveraとし、**ギャラリーに見つからないその他のアプリケーションを統合します（ギャラリー以外）**を選択して、作成をクリックします。

2. SAMLを選択する#

   新しいアプリで、シングルサインオンを開き、SAMLを選択します。

3. Cleveraの値を入力する#

   基本的なSAML構成で、編集をクリックし、以下を入力します。

   Entraフィールド	Cleveraからの値
   識別子 (エンティティID)	エンティティID / Audience URI (Cleveraダイアログからコピーしてください。ワークスペースIDで終わります)
   応答URL (Assertion Consumer Service URL)	https://app.clevera.ai/sso/saml/callback
   サインオンURL	空のままにします
   リレー状態	空のままにします
   ログアウトURL	シングルログアウトを使用する場合のみ: https://app.clevera.ai/sso/saml/slo

   保存をクリックします。

4. クレームを確認する#

   属性とクレームで、一意のユーザー識別子 (名前ID)を開きます。名前識別子の形式をメールアドレスに設定し、ソース属性をメンバーのメールアドレスが格納されている属性（user.mail、またはサインイン名がメールアドレスの場合はuser.userprincipalname）に設定します。デフォルトのgivenname、surname、emailaddressクレームはそのまま保持してください。Cleveraがこれらを読み取ります。

5. 応答とアサーションに署名する#

   SAML証明書で、署名証明書の横にある編集をクリックします。署名オプションをSAML応答とアサーションに署名するに、署名アルゴリズムをSHA-256に設定します。保存をクリックします。

   Entraはデフォルトでアサーションのみに署名しますが、Cleveraではそれでは拒否されます。

6. Entraの値をCleveraにコピーする#

   SAML証明書で、証明書 (Base64)をダウンロードし、テキストエディタで開きます。Cleveraをセットアップで、各URLをコピーします。Cleveraで、プロトコルをSAML 2.0に設定し、続行をクリックして、以下を貼り付けます。

   Entraの値	Cleveraフィールド
   Microsoft Entra識別子	IdPエンティティID
   ログインURL	SSOサインインURL
   ログアウトURL	ログアウトURL (任意)
   証明書 (Base64) の内容	X.509証明書

7. ユーザーを割り当てる#

   ユーザーとグループで、ユーザーまたはグループの追加をクリックし、Cleveraを使用するメンバーやグループを追加します。

次にClevera側で完了させます: ドメインとロール。

OpenID Connectで接続する#

1. アプリを登録する#

   Cleveraのセットアップダイアログで、プロトコルをOpenID Connectに設定し、グレーのボックスから**リダイレクトURI (コールバックURL)**をコピーします。Entraで、アプリの登録に移動し、新規登録をクリックします。名前をCleveraとし、この組織ディレクトリ内のアカウントのみ (シングルテナント)を選択します。リダイレクトURIでWebを選択し、https://app.clevera.ai/sso/oidc/callbackを貼り付けて、登録をクリックします。

2. IDをコピーする#

   アプリの概要で、アプリケーション (クライアント) IDとディレクトリ (テナント) IDをコピーします。

3. クライアントシークレットを作成する#

   証明書とシークレットを開き、新しいクライアントシークレットをクリックして、有効期限を選択し、追加をクリックします。シークレットの値をすぐにコピーしてください（シークレットIDではありません）。Entraはこれを一度しか表示しません。

4. メールクレームを追加する#

   トークン構成を開き、オプションのクレームの追加をクリックして、IDを選択し、emailにチェックを入れて追加をクリックします。Microsoft Graphのメール権限を追加するプロンプトを承諾します。これがないと、Cleveraはサインイン名（preferred_username）にフォールバックしますが、これはサインイン名がメールアドレスである場合にのみ機能します。

5. Cleveraに入力する#

   Cleveraで続行をクリックし、以下を入力します。

   Cleveraフィールド	値
   クライアントID	アプリケーション (クライアント) ID
   クライアントシークレット	シークレットの 値
   ディスカバリーURL	https://login.microsoftonline.com/ あなたの ディレクトリ (テナント) ID /v2.0/.well-known/openid-configuration

   URLにはcommonやorganizationsではなく、テナントIDを使用してください。Cleveraは発行者をチェックするため、共有URLでは一致しません。

6. サインインできるユーザーを制限する（任意）#

   デフォルトでは、テナント内の誰でもアプリを使用できます。制限するには、エンタープライズアプリケーション → Clevera → プロパティを開き、ユーザーの割り当てが必要ですか?をはいに設定し、ユーザーとグループでメンバーやグループを追加します。

Cleveraで完了する#

1. ドメインとロールで、メンバーが使用するすべてのメールドメインを追加します（テナント内の追加の検証済みドメインも含む）。初回サインイン時にアカウントを作成と新しいSSOメンバーのデフォルトロールを選択します。
2. 確認で、構成を保存をクリックします。
3. テストを実行をクリックし、SSOを有効にするをオンにして、プライベートウィンドウでテストユーザーとしてCleveraのサインインページからサインインします。
4. 全員で正常に動作することを確認したら、SSOを唯一のログイン方法にする場合はSSOを必須にするをオンにします。

メンバーはCleveraのサインインページで職場のメールアドレスを入力し、Microsoft Entra ID (Azure AD) で続行をクリックします。

トラブルシューティング#

その他のメッセージ: SSOサインインの問題を修正する。

関連情報#