SAML認証で管理画面にログインする（シングルサインオン）
お客様の社内認証基盤（IDプロバイダー）と連携し、ヘルプドッグの管理画面へのログインをシングルサインオン（SSO）にする手順を説明します。チームメンバーはお客様のIDプロバイダーにログインするだけで管理画面にアクセスでき、パスワードログインをSAML認証のみに制限してセキュリティを強化することもできます。
この記事でわかること
SAML認証設定を作成してIDプロバイダーと連携する基本設定の手順
パスワードログインをSAML認証のみに制限する設定
SAML認証で管理画面にログインする流れと、事前のユーザー招待が必要なこと
IPアドレス制限との併用と、動作確認済みのIDプロバイダー
FAQサイト・フォーム・AIチャットボットなどの限定公開コンテンツへの読者ログインは、SAML認証で限定公開するをご覧ください。
補足：この記事は管理画面へのユーザーログイン向けです
この記事は、管理画面（チームメンバーが使う管理画面）へのユーザーログイン向けです。FAQサイト・フォーム・AIチャットボットなどの限定公開コンテンツへの読者ログインは、SAML認証で限定公開するをご覧ください。
SAML認証設定の基本設定（SP情報の登録・IDプロバイダーとの連携・有効化）は、限定公開コンテンツへの読者ログインと共通です。基本設定の手順は、この記事の「SAML認証設定を作成する（基本設定）」にまとめています。
ご利用条件
項目 | 内容 |
|---|---|
対象プラン | ビジネスプラン |
必要な権限 | チームオーナー |
事前に必要なもの | お客様側でのIDプロバイダー（Google Workspace、Microsoft Entra IDなど）の管理権限。IDプロバイダー側でアプリケーションの登録と設定を行っていただきます。 |
操作する画面 | 「チーム設定」＞「高度な認証」＞「SAML認証」 |
SAML認証で管理画面にログインするメリット
SAML認証を使うと、チームメンバーがお客様のIDプロバイダーにログインするだけで、ヘルプドッグの管理画面にそのままアクセスできるようになります。Google Workspace、Microsoft Entra ID、Oktaなどの主要なIDプロバイダーに対応しており、開発対応なしで導入できます。
パスワード管理の統一：お客様のIDプロバイダーにログインするだけで管理画面にアクセスできます。パスワードの二重管理が不要になります。
管理画面のセキュリティ強化：パスワードログインを禁止し、SAML認証のみに制限することで、管理画面へのアクセスをより安全に管理できます。
IPアドレス制限との併用：管理画面へのSAMLログインでは、IPアドレス制限と組み合わせてアクセス制御をさらに強化できます。
SAML認証設定を作成する（基本設定）
手順1〜5は、限定公開コンテンツへの読者ログインを設定する場合とも共通です。すでにSAML認証設定を作成済みの場合は、「管理画面ログインの設定」の手順6へ進んでください。
1. SAML認証設定を作成する
「チーム設定」＞「高度な認証」＞「SAML認証」を開きます。
「SAML認証を利用する」ボタンをクリックします。
「SAML認証を利用する」ボタンをクリック
補足：SAML認証設定は1チームにつき1個です
SAML認証設定は、1チームにつき1個のみ作成できます。1つの設定で、管理画面へのユーザーログインと限定公開コンテンツへの読者ログインの両方に利用できます。
2. SP情報をIDプロバイダーに登録する
SAML認証設定を作成すると、ヘルプドッグのSP（Service Provider）情報が表示されます。表示される項目は次のとおりです。
項目 | 説明 |
|---|---|
SP Metadata URL | サービスプロバイダーのメタデータを取得できるURLです。IDプロバイダーがメタデータURLの登録に対応している場合、このURLを登録すると設定を自動的に取り込めます。 |
SP Entity ID | ヘルプドッグをサービスプロバイダーとして識別するためのIDです。IDプロバイダーのEntity ID（識別子）欄に登録してください。 |
SP ACS URL（Assertion Consumer Service） | ヘルプドッグがIDプロバイダーからの認証レスポンスを受け取るエンドポイントです。IDプロバイダーのACS URL（応答URL）欄に登録してください。 |
各項目の右側の「コピー」ボタンをクリックして値をコピーし、お客様のIDプロバイダーの管理画面に登録します。
メタデータファイルをIDプロバイダーにアップロードして登録する場合は、「メタデータをダウンロード」ボタンをクリックしてメタデータファイルをダウンロードします。
SP情報の表示と「メタデータをダウンロード」ボタン
3. IDプロバイダーの情報を登録する
IDプロバイダーの情報をヘルプドッグに登録します。「IdP情報の取得方法」では、次の3つの方法から選択できます。
取得方法 | 操作 |
|---|---|
メタデータURLで設定する場合 | IDプロバイダーのメタデータURLを入力し、「取得」ボタンをクリックします。IdP Entity ID、IdP SSO URL、IdP証明書が自動的に取得されます。 |
XMLファイルで設定する場合 | 「ファイルをアップロード」ボタンをクリックし、IDプロバイダーからダウンロードしたメタデータXMLファイルを選択してアップロードします。 |
手動設定で入力する場合 | 次の「手動設定で入力する項目」を手動で入力します。 |
「IdP情報の取得方法」で取得方法を選択します。
選択した取得方法に応じて、上の表のとおり操作します。
手動設定で入力する項目は次のとおりです。
項目 | 説明 | 必須 |
|---|---|---|
IdP Entity ID | IDプロバイダーを識別する一意のIDです。 | はい |
IdP SSO URL | ログイン時にリダイレクトするURLです。 | はい |
IdP 証明書 | SAMLレスポンスの署名検証に使用するX.509証明書です。 | はい |
4. ログインボタンのテキストを設定する
ログインページに表示される、SAML認証への遷移ボタンのテキストを30文字以内で入力します。
ログインボタンのテキストが未設定の場合は、「SAML認証でログイン」と表示されます。
5. SAML認証を有効にする
「基本設定」で「SAMLによるSSOを有効にする」を「有効」に設定します。
「保存」をクリックします。
SAML認証を有効にすると、管理画面へのユーザーログイン（および限定公開コンテンツへの読者ログイン）にSAML認証を利用できるようになります。
管理画面ログインの設定
6. パスワードログインの併用設定を変更する（必要な場合）
管理画面へのログインをSAML認証のみに制限したい場合は、パスワードログインの併用設定を変更します。「パスワードログインの併用設定」では、次の2つから選択できます。
設定 | ログイン方法 |
|---|---|
「パスワードログインと併用する」（デフォルト） | パスワードログインとSAML認証の両方でログインできます。 |
「パスワードログインを禁止する」 | SAML認証でのみログインできます。パスワードを使ったログインはできなくなります。 |
「パスワードログインの併用設定」で、「パスワードログインと併用する」または「パスワードログインを禁止する」を選択します。
ご注意ください：SAML認証でログインできることを確認してから変更してください
「パスワードログインを禁止する」を選ぶと、パスワードでログインできなくなります。あわせて、新しく招待するユーザーにもパスワードを設定できなくなります。SAML認証で問題なくログインできることを確認してから変更してください。
パスワードログインを禁止した場合、IDプロバイダーに障害が発生すると、すべてのユーザーが管理画面にログインできなくなります。運用上のリスクを十分にご検討ください。
7. 動作確認をする
設定が完了したら、実際にSAML認証で管理画面にログインできるか確認してください。
管理画面のログインページに、SAML認証のログインボタンが表示されることを確認します。
ログインボタンをクリックすると、IDプロバイダーのログインページに遷移することを確認します。
IDプロバイダーでログインすると、ヘルプドッグにリダイレクトされてログインが完了することを確認します。
ユーザーのログインの流れ
SAML認証で管理画面にログインするには、事前にヘルプドッグの管理画面からユーザーを招待しておく必要があります。招待されていないユーザーは、SAML認証でログインできません。
ユーザーが管理画面のログインページにアクセスします。
SAML認証用のログインボタンが表示されます。
ユーザーがログインボタンをクリックすると、お客様のIDプロバイダーのログインページに遷移します。
ユーザーがIDプロバイダーでログインすると、認証結果がヘルプドッグに送信されます。
ヘルプドッグが認証結果を検証し、招待済みのユーザーであればログインが完了します。
補足：管理画面へのログインではアカウントは自動作成されません
限定公開コンテンツへの読者ログインとは異なり、管理画面へのユーザーログインでは、アカウントの自動作成（JITプロビジョニング）は行われません。事前に招待されたユーザーのみがログインできます。
IPアドレス制限との併用
管理画面へのSAMLログインは、IPアドレス制限と併用できます。SAML認証で認証が成功しても、IPアドレス制限に引っかかる場合はログインがブロックされます。
IPアドレス制限は「チーム設定」＞「セキュリティ」＞「IPアドレス制限」で設定します。設定方法は、管理画面にIPアドレス制限を設定するをご覧ください。
なお、限定公開コンテンツへの読者ログインには、IPアドレス制限は適用されません。
対応IDプロバイダー
次のIDプロバイダーで動作確認が完了しています。
IDプロバイダー | 状況 |
|---|---|
Microsoft Entra ID（旧 Azure AD） | 動作確認済み |
Google Workspace | 動作確認済み |
Okta | 動作確認済み |
GMOトラスト・ログイン | 動作確認済み |
OneLogin | 動作確認済み |
SmartHR | 動作確認済み |
SAML 2.0に準拠したIDプロバイダーであれば、基本的に連携できます。上記以外のIDプロバイダーについては、お問い合わせください。IDプロバイダーごとの設定手順は、「関連記事」の各記事をご覧ください。
よくある質問
Q. パスワードログインを禁止すると、パスワードでログインできなくなりますか？
はい、「パスワードログインを禁止する」を設定すると、管理画面へのログインがSAML認証のみに制限されます。ユーザーはパスワードを使ったログインができなくなり、SAML認証用のログインボタンからのみログインできます。
設定変更は即時反映されますが、すでにログイン中のセッションには影響しません。
なお、パスワードログインの禁止は管理画面のユーザーにのみ影響します。限定公開コンテンツの読者のログイン方法には影響しません。
Q. 招待していないユーザーはSAML認証でログインできますか？
いいえ、ログインできません。管理画面へのSAML認証ログインには、事前にヘルプドッグの管理画面からユーザーを招待しておく必要があります。IDプロバイダー側でユーザーにアプリを割り当てていても、ヘルプドッグ側で招待されていなければログインエラーになります。
Q. 管理画面へのログインでも、読者のようにアカウントは自動作成されますか？
いいえ、自動作成されません。アカウントの自動作成（JITプロビジョニング）は、限定公開コンテンツへの読者ログインのみが対象です。管理画面へのユーザーログインでは、事前に招待されたユーザーのみがログインでき、未招待のユーザーが自動作成されることはありません。
Q. IPアドレス制限とSAML認証は併用できますか？
はい、管理画面へのSAMLログインではIPアドレス制限と併用できます。SAML認証で認証が成功しても、IPアドレス制限に引っかかる場合はログインがブロックされます。
なお、限定公開コンテンツへの読者ログインには、IPアドレス制限は適用されません。
Q. 1チームに複数のSAML認証設定を作れますか？
いいえ、1チームにつき1個のみです。1つのSAML認証設定で、管理画面へのユーザーログインと限定公開コンテンツへの読者ログインの両方に利用できます。どちらか一方だけの利用も可能です。
Q. SAML認証設定は削除できますか？
いいえ、SAML認証設定は削除できません。不要になった場合は、「SAMLによるSSOを有効にする」を「無効」にしてご利用ください。
Q. IDプロバイダーの証明書の有効期限が切れても、SAML認証でログインできますか？
いいえ、IDプロバイダーの証明書の有効期限が切れると、SAML認証でのログインができなくなります。IDプロバイダーの管理画面で新しい証明書を発行し、ヘルプドッグのSAML認証設定画面で証明書を更新してください。
注意事項
SAML認証の導入には、お客様側でIDプロバイダーの設定が必要です。導入前に、お客様が利用しているIDプロバイダーをご確認ください。
1チームあたりのSAML認証設定は1個のみです。
IDプロバイダーの証明書には有効期限があります。期限切れになるとログインできなくなるため、定期的に更新してください。
ログインボタンのテキストは30文字以内で設定してください。
