SSOでログインできないときは（エラーコード一覧）
SAML認証（シングルサインオン）でログインに失敗すると、画面に「（エラーコード：SSO-2010）」のようなコードが表示されます。このコードから原因を特定するための一覧です。JWT認証のエラーの調べ方もあわせて記載しています。
エラーコードが表示される画面
ログインの種類 | エラーコードの表示 |
|---|---|
管理画面へのユーザーログイン | 表示されます |
限定公開コンテンツへの読者ログイン | 表示されません（「ログインできませんでした」というメッセージのみ） |
限定公開コンテンツの読者向けのログインページでは、読者を混乱させないためにエラーコードを表示していません。読者から「ログインできない」とご連絡を受けた場合は、「読者ログインでよくある原因」をご確認ください。
なお、読者ログインでも、対象チームを特定できずにエラーとなった場合（IDプロバイダーのアプリ一覧からログインを開始した場合など）は、エラーコード付きの画面が表示されます。
まず確認していただきたいこと
ヘルプドッグのSSOは、ヘルプドッグのログインページからログインを開始する方式（SP-Initiated）に対応しています。IDプロバイダーの管理画面にある「テスト」ボタンや、アプリ一覧（ポータル）のアイコンからログインを開始した場合は、エラー（SSO-2010）になります。
管理画面へのログインは、以下の手順でお試しください。
管理画面のログインページ（https://app.helpdog.ai/signin ）を開く
アカウントIDを入力する
表示される「SAML認証でログイン」のボタンをクリックする
IDプロバイダーのログイン画面で認証する
限定公開コンテンツへの読者ログインの場合は、限定公開コンテンツのログインページに表示されるボタンからログインを開始してください。
SAML認証のエラーコード（SSO-2000番台）
コード | 対象 | 意味 | 主な原因と対処法 |
|---|---|---|---|
SSO-2000 | 共通 | 一時的なエラーが発生しました | 時間をおいてやりなおしてください。解消しない場合は、下記の情報を添えてお問い合わせください |
SSO-2010 | 共通 | ログインの開始情報（RelayState）が受け取れませんでした | IDプロバイダーのテストボタンやアプリ一覧からログインを開始すると発生します。ヘルプドッグのログインページから開始してください。ログインページから開始しても発生する場合は、IDプロバイダー側でRelayStateを引き継ぐ設定になっているかご確認ください |
SSO-2020 | 共通 | ログインの開始情報が正しく読み取れませんでした | 古いタブやブラウザの戻る操作から再送信すると発生します。ログインページを開き直してやりなおしてください |
SSO-2030 | 共通 | 認証結果（SAMLレスポンス）が届いていません | IDプロバイダーに登録したSP ACS URLが正しいかご確認ください |
SSO-2040 | 共通 | 認証結果を検証できませんでした | 「SSO-2040 が表示される場合の確認手順」をご覧ください |
SSO-2060 | 共通 | SAML認証が利用できない状態です | 「SAMLによるSSOを有効にする」が有効か、ご契約プランが対象（ビジネスプラン）かをご確認ください。IDプロバイダーに登録したSP ACS URLが別の設定を指している場合にも発生します |
SSO-2070 | 共通 | 認証結果からメールアドレスを取得できませんでした | NameIDにメールアドレスを設定するか、属性（Attribute）としてメールアドレスを送信してください。属性で送信する場合、属性名は `email` / `mail` / `emailAddress` / `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress` のいずれかにしてください（大文字・小文字は区別されます）。これ以外の属性名では、値がメールアドレスであっても認識されません。メールアドレスの形式が正しくない場合にも発生します |
SSO-2080 | 共通 | ログイン後の遷移先が正しくありません | ヘルプドッグのログインページからやりなおしてください |
SSO-2090 | 読者ログイン | 読者アカウントがまだ登録されていません | 読者アカウントの自動作成（JITプロビジョニング）を有効にするか、あらかじめ読者を登録してください |
SSO-2500 | 管理画面ログイン | 該当するユーザーが見つかりません | 管理画面からユーザーを招待してください。すでに招待済みの場合は、IDプロバイダー側のメールアドレスと、ヘルプドッグに登録されているメールアドレスが一致しているかご確認ください。無効化されたユーザーもログインできません |
SSO-2510 | 管理画面ログイン | IPアドレス制限によりブロックされました | チーム設定 > セキュリティ > IPアドレス制限 の許可リストをご確認ください |
SSO-2040 が表示される場合の確認手順
以下の順にご確認ください。1 が最も多い原因です。
1. アサーションに署名が付与されているか
ヘルプドッグは、なりすまし・改ざんを防ぐため、アサーション（認証結果の本体部分）への署名を必須としています。レスポンス全体にのみ署名している場合はこの条件を満たさず、認証結果を受け付けられません。
IDプロバイダーの「署名方式」にあたる設定で、アサーションに署名する方式を選択してください。
例: HENNGE One の場合は、SP設定の「署名方式」を「レスポンス」から「アサーション」に変更します。
2. IdP証明書が最新か
IDプロバイダー側で証明書を更新・交換された場合は、ヘルプドッグのSAML認証設定でも証明書の更新が必要です。有効期限が切れている場合も同様です。
3. SP Entity ID・SP ACS URL が一致しているか
IDプロバイダーに登録した値が、ヘルプドッグのSAML認証設定画面に表示されている値と完全に一致しているかご確認ください。SP Entity ID は末尾が /metadata のURLです。
4. IDプロバイダー側の時刻がずれていないか
認証結果の有効期間は、前後5分までを許容しています。
JWT認証のエラー（SSO-1000番台）
JWT認証は限定公開コンテンツへの読者ログイン専用です。読者向けのログインページではエラーコードを表示していないため、JWT認証のエラーは、コードではなく次の方法でご確認ください。
JWTの内容に起因するエラー（有効期限・署名・キーID・ペイロード）: JWT認証一覧画面の「JWT認証をテスト」ボタンから検証モーダルを開き、発行したJWTを貼り付けて「JWTを検証」をクリックすると、どの項目に問題があるかが表示されます。詳しくは JWT認証を利用して限定公開する の「Q. トークン検証でエラーが出た場合はどうすればよいですか？」をご覧ください
リモートログインURLを直接開いた場合や、jwt パラメータが付いていない場合: エラーコード（SSO-1010 / SSO-1030）が表示されます。限定公開コンテンツのログインページに表示されるボタンからログインを開始してください
共通のエラーコード（SSO-9000番台）
認証そのものは成功し、ログイン完了直前の処理でエラーが発生した場合に表示されます。SAML認証・JWT認証のどちらでも発生します。
コード | 対象 | 意味 | 主な原因と対処法 |
|---|---|---|---|
SSO-9000 | 共通 | 一時的なエラーが発生しました | 時間をおいてやりなおしてください。解消しない場合は、下記の情報を添えてお問い合わせください |
SSO-9010 | 共通 | ログイン情報を引き継げませんでした | ログインページからやりなおしてください |
SSO-9030 | 共通 | ログインの有効期限が切れました | 認証後の画面遷移が3分を超えると発生します。ログインページからやりなおしてください |
SSO-9040 | 管理画面ログイン | IPアドレス制限によりブロックされました | チーム設定 > セキュリティ > IPアドレス制限 の許可リストをご確認ください |
読者ログインでよくある原因
限定公開コンテンツへの読者ログインではエラーコードが表示されないため、読者からご連絡を受けた場合は以下の順にご確認ください。
読者アカウントが未登録で、かつ読者アカウントの自動作成（JITプロビジョニング）が無効になっている（SAML認証：SSO-2090）
IDプロバイダーが認証結果にメールアドレスを含めていない（SAML認証：SSO-2070）
「SAMLによるSSOを有効にする」が無効になっている、または限定公開の公開範囲にSAML認証・JWT認証が設定されていない（SAML認証：SSO-2060）
IdP証明書の有効期限が切れている（SAML認証：SSO-2040）
IDプロバイダーのアプリ一覧やテストボタンからログインを開始している（SAML認証：SSO-2010）
関連記事
SAML認証で管理画面にログインする（シングルサインオン） - 管理画面へのSSOログインとSAML認証設定の作成手順
SAML認証を利用して限定公開する - 限定公開コンテンツへの読者ログインの設定方法
JWT認証を利用して限定公開する - JWT認証の設定方法
注意事項
ヘルプドッグのSSOは、ヘルプドッグのログインページからログインを開始する方式（SP-Initiated）に対応しています。IDプロバイダー起点でのログイン開始には対応していません
IdP証明書には有効期限があります。期限切れになるとログインできなくなるため、定期的に更新してください
エラーコードは原因の切り分けを目的としたものです。同じコードでも、IDプロバイダーの設定内容によって対処法が異なる場合があります
