SAML認証で管理画面にログインする（シングルサインオン）
お客様の社内認証基盤（IDプロバイダー）と連携し、ヘルプドッグの管理画面へのログインをシングルサインオン（SSO）にできます。チームメンバーはお客様のIDプロバイダーにログインするだけで管理画面にアクセスでき、パスワードログインをSAML認証のみに制限してセキュリティを強化することもできます。Google Workspace、Microsoft Entra ID、Oktaなどの主要なIDプロバイダーに対応しており、開発対応なしで導入できます。
この記事は「管理画面（チームメンバーが使う管理画面）へのユーザーログイン」向けです。 FAQサイト・問い合わせフォーム・AIチャットボットなどの限定公開コンテンツへの読者ログインは、SAML認証を利用して限定公開する をご覧ください。 SAML認証設定の基本設定（SP情報の登録・IDプロバイダーとの連携・有効化）は、限定公開コンテンツへの読者ログインと共通です。本記事にその手順をまとめています。
どんなことができる？
SAML認証を使うと、チームメンバーがお客様のIDプロバイダーにログインするだけで、ヘルプドッグの管理画面にそのままアクセスできるようになります。
管理画面ログイン時のセキュリティ強化
パスワードログインを禁止して、SAML認証のみに制限
IPアドレス制限との併用によるアクセス制御の強化
メリット
パスワード管理の統一: お客様のIDプロバイダーにログインするだけで管理画面にアクセスできます。パスワードの二重管理が不要になります
管理画面のセキュリティ強化: パスワードログインを禁止し、SAML認証のみに制限することで、管理画面へのアクセスをより安全に管理できます
IPアドレス制限との併用: 管理画面へのSAMLログインでは、IPアドレス制限と組み合わせてさらにセキュリティを強化できます
ご利用条件
項目 | 内容 |
|---|---|
対象プラン | ビジネスプラン |
必要な権限 | チームオーナー |
前提条件
SAML認証をご利用いただくには、お客様側でIDプロバイダー（Google Workspace、Microsoft Entra IDなど）の管理権限が必要です。IDプロバイダー側でアプリケーションの登録と設定を行っていただきます。
設定手順
まず、SAML認証設定を作成します（手順1〜5）。続いて、管理画面ログインに固有の設定を行います（手順6以降）。
SAML認証設定を作成する（基本設定）
以下の手順1〜5は、限定公開コンテンツへの読者ログインを設定する場合とも共通です。すでにSAML認証設定を作成済みの場合は、手順6へ進んでください。
1. SAML認証設定を作成する
チーム設定 > 高度な認証 > SAML認証 を開き、「SAML認証を利用する」ボタンをクリックします。
SAML認証設定は、1チームにつき1個のみ作成できます。1つの設定で、管理画面へのユーザーログインと限定公開コンテンツへの読者ログインの両方に利用できます。
2. SP情報をIDプロバイダーに登録する
SAML認証設定を作成すると、ヘルプドッグのSP（Service Provider）情報が表示されます。以下の情報をお客様のIDプロバイダーの管理画面に登録してください。各項目の右側の「コピー」ボタンで値をコピーできます。
項目 | 説明 |
|---|---|
SP Metadata URL | サービスプロバイダーのメタデータを取得できるURLです。IDプロバイダーがメタデータURLの登録に対応している場合、このURLを登録すると設定を自動的に取り込めます |
SP Entity ID | ヘルプドッグをサービスプロバイダーとして識別するためのIDです。IDプロバイダーのEntity ID（識別子）欄に登録してください |
SP ACS URL（Assertion Consumer Service） | ヘルプドッグがIDプロバイダーからの認証レスポンスを受け取るエンドポイントです。IDプロバイダーのACS URL（応答URL）欄に登録してください |
メタデータファイルをダウンロードしてIDプロバイダーにアップロードすることもできます。「メタデータをダウンロード」ボタンをクリックしてください。
3. IDプロバイダーの情報を登録する
IDプロバイダーの情報をヘルプドッグに登録します。「IdP情報の取得方法」で、以下の3つの方法から選択できます。
メタデータURLで設定する場合
IDプロバイダーのメタデータURLを入力し、「取得」ボタンをクリックします。IdP Entity ID、IdP SSO URL、IdP証明書が自動的に取得されます。
XMLファイルで設定する場合
IDプロバイダーからダウンロードしたメタデータXMLファイルをアップロードします。「ファイルをアップロード」ボタンをクリックしてファイルを選択してください。
手動設定で入力する場合
以下の項目を手動で入力します。
項目 | 説明 | 必須 |
|---|---|---|
IdP Entity ID | IDプロバイダーを識別する一意のIDです | はい |
IdP SSO URL | ログイン時にリダイレクトするURLです | はい |
IdP 証明書 | SAMLレスポンスの署名検証に使用するX.509証明書です | はい |
4. ログインボタンのテキストを設定する
ログインページに表示されるSAML認証への遷移ボタンのテキストを設定します。30文字以内で入力してください。
未設定の場合は「SAML認証でログイン」と表示されます。
5. SAML認証を有効にする
「基本設定」で「SAMLによるSSOを有効にする」を「有効」に設定し、「保存」をクリックします。
有効にすると、管理画面へのユーザーログイン（および限定公開コンテンツへの読者ログイン）にSAML認証を利用できるようになります。
管理画面ログインの設定
6. パスワードログインの併用設定を変更する（必要な場合）
管理画面へのログインをSAML認証のみに制限したい場合は、パスワードログインの併用設定を変更します。
「パスワードログインの併用設定」で、以下の2つから選択できます。
パスワードログインと併用する（デフォルト）: パスワードログインとSAML認証の両方でログインできます
パスワードログインを禁止する: SAML認証でのみログインできます。パスワードを使ったログインはできなくなります
注意: 「パスワードログインを禁止する」を選ぶと、パスワードでログインできなくなります。あわせて、新しく招待するユーザーにもパスワードを設定できなくなります。SAML認証で問題なくログインできることを確認してから変更してください。
7. 動作確認をする
設定が完了したら、実際にSAML認証で管理画面にログインできるか確認してください。
管理画面のログインページにSAML認証のログインボタンが表示されること
ボタンをクリックするとIDプロバイダーのログインページに遷移すること
IDプロバイダーでログインすると、ヘルプドッグにリダイレクトされてログインが完了すること
ユーザーのログインの流れ
SAML認証で管理画面にログインするには、事前にヘルプドッグの管理画面からユーザーを招待しておく必要があります。招待されていないユーザーはSAML認証でログインできません。
ユーザーが管理画面のログインページにアクセスします
SAML認証用のログインボタンが表示されます
ボタンをクリックすると、お客様のIDプロバイダーのログインページに遷移します
IDプロバイダーでログインすると、認証結果がヘルプドッグに送信されます
ヘルプドッグが認証結果を検証し、招待済みのユーザーであればログインが完了します
限定公開コンテンツへの読者ログインとは異なり、管理画面へのユーザーログインではアカウントの自動作成（JITプロビジョニング）は行われません。事前に招待されたユーザーのみがログインできます。
IPアドレス制限との併用
管理画面へのSAMLログインは、IPアドレス制限と併用できます。SAML認証で認証が成功しても、IPアドレス制限に引っかかる場合はログインがブロックされます。
IPアドレス制限は チーム設定 > セキュリティ > IPアドレス制限 で設定します。
なお、限定公開コンテンツへの読者ログインには、IPアドレス制限は適用されません。
対応IDプロバイダー
以下のIDプロバイダーで動作確認が完了しています。
IDプロバイダー | 状況 |
|---|---|
Microsoft Entra ID（旧 Azure AD） | 動作確認済み |
Google Workspace | 動作確認済み |
Okta | 動作確認済み |
GMOトラスト・ログイン | 動作確認済み |
OneLogin | 動作確認済み |
SmartHR | 動作確認済み |
SAML 2.0に準拠したIDプロバイダーであれば基本的に連携可能です。上記以外のIDプロバイダーについては、お問い合わせください。
よくある質問
Q. パスワードログインを禁止するとどうなりますか？
「パスワードログインを禁止する」を設定すると、管理画面へのログインがSAML認証のみに制限されます。ユーザーはパスワードを使ったログインができなくなり、SAML認証用のログインボタンからのみログインできます。
設定変更は即時反映されますが、すでにログイン中のセッションには影響しません。
なお、パスワードログインの禁止は管理画面のユーザーにのみ影響します。限定公開コンテンツの読者のログイン方法には影響しません。
Q. 招待していないユーザーがSAML認証でログインしようとした場合はどうなりますか？
ログインできません。管理画面へのSAML認証ログインには、事前にヘルプドッグの管理画面からユーザーを招待しておく必要があります。IDプロバイダー側でユーザーにアプリを割り当てていても、ヘルプドッグ側で招待されていなければログインエラーになります。
Q. 管理画面へのログインでも、読者のようにアカウントは自動作成されますか？
いいえ。アカウントの自動作成（JITプロビジョニング）は、限定公開コンテンツへの読者ログインのみが対象です。管理画面へのユーザーログインでは、事前に招待されたユーザーのみがログインでき、未招待のユーザーが自動作成されることはありません。
Q. IPアドレス制限とSAML認証は併用できますか？
はい、管理画面へのSAMLログインではIPアドレス制限と併用できます。SAML認証で認証が成功しても、IPアドレス制限に引っかかる場合はログインがブロックされます。
なお、限定公開コンテンツへの読者ログインにはIPアドレス制限は適用されません。
Q. 1チームに複数のSAML認証設定を作れますか？
いいえ、1チームにつき1個のみです。1つのSAML認証設定で、管理画面へのユーザーログインと限定公開コンテンツへの読者ログインの両方に利用できます。どちらか一方だけの利用も可能です。
Q. SAML認証設定は削除できますか？
SAML認証設定は削除できません。不要になった場合は、「SAMLによるSSOを有効にする」を「無効」にしてご利用ください。
Q. IDプロバイダーの証明書の有効期限が切れたらどうなりますか？
IDプロバイダーの証明書の有効期限が切れると、SAML認証でのログインができなくなります。IDプロバイダーの管理画面で新しい証明書を発行し、ヘルプドッグのSAML認証設定画面で証明書を更新してください。
関連記事
SAML認証を利用して限定公開する - 限定公開コンテンツへの読者ログインの設定方法
JWT認証を利用して限定公開する - JWT認証の設定方法
注意事項
SAML認証の導入には、お客様側でIDプロバイダーの設定が必要です。導入前にお客様が利用しているIDプロバイダーをご確認ください
1チームあたりのSAML認証設定は1個のみです
パスワードログインを禁止する場合、IDプロバイダーに障害が発生するとすべてのユーザーが管理画面にログインできなくなります。運用上のリスクを十分にご検討ください
IDプロバイダーの証明書には有効期限があります。期限切れになるとログインできなくなるため、定期的に更新してください
ログインボタンのテキストは30文字以内で設定してください
