SSOでログインできないときの対処方法（エラーコード一覧）
SAML認証（シングルサインオン）でログインに失敗すると、画面に「（エラーコード：SSO-2010）」のようなコードが表示されます。この記事では、エラーコードから原因を特定して対処する方法をご案内します。JWT認証のエラーの調べ方もあわせて記載しています。
この記事でわかること
エラーコードが表示される画面と表示されない画面
SSOでログインするときに、まず確認していただきたいログインの開始方法
SAML認証のエラーコード（SSO-2000番台）と共通のエラーコード（SSO-9000番台）の意味と対処方法
JWT認証のエラーの確認方法
読者ログインでよくある原因
SSO以外の方法でログインできない場合は「ログインできないときの対処方法」をご確認ください。
エラーコードが表示される画面
ログインの種類 | エラーコードの表示 |
|---|---|
管理画面へのユーザーログイン | 表示されます |
限定公開コンテンツへの読者ログイン | 表示されません（「ログインできませんでした」というメッセージのみ） |
限定公開コンテンツの読者向けのログインページでは、読者を混乱させないためにエラーコードを表示していません。読者から「ログインできない」とご連絡を受けた場合は、「読者ログインでよくある原因」をご確認ください。
なお、読者ログインでも、対象チームを特定できずにエラーとなった場合（IDプロバイダーのアプリ一覧からログインを開始した場合など）は、エラーコード付きの画面が表示されます。
まず確認していただきたいこと
ヘルプドッグのSSOは、ヘルプドッグのログインページからログインを開始する方式（SP-Initiated）に対応しています。IDプロバイダーの管理画面にある「テスト」ボタンや、アプリ一覧（ポータル）のアイコンからログインを開始した場合は、エラー（SSO-2010）になります。
1. ヘルプドッグのログインページからログインを開始する
管理画面へのログインは、次の手順でお試しください。
管理画面のログインページ（https://app.helpdog.ai/signin）を開きます。
チームIDを入力します。
表示される「SAML認証でログイン」のボタンをクリックします。
IDプロバイダーのログイン画面で認証します。
限定公開コンテンツへの読者ログインの場合は、限定公開コンテンツのログインページに表示されるボタンからログインを開始してください。
SAML認証のエラーコード（SSO-2000番台）
コード | 対象 | 意味 | 主な原因と対処法 |
|---|---|---|---|
SSO-2000 | 共通 | 一時的なエラーが発生しました | 時間をおいてやり直してください。解消しない場合は、下記の情報を添えてお問い合わせください |
SSO-2010 | 共通 | ログインの開始情報（RelayState）が受け取れませんでした | IDプロバイダーのテストボタンやアプリ一覧からログインを開始すると発生します。ヘルプドッグのログインページから開始してください。ログインページから開始しても発生する場合は、IDプロバイダー側でRelayStateを引き継ぐ設定になっているかご確認ください |
SSO-2020 | 共通 | ログインの開始情報が正しく読み取れませんでした | 古いタブやブラウザの戻る操作から再送信すると発生します。ログインページを開き直してやり直してください |
SSO-2030 | 共通 | 認証結果（SAMLレスポンス）が届いていません | IDプロバイダーに登録したSP ACS URLが正しいかご確認ください |
SSO-2040 | 共通 | 認証結果を検証できませんでした | 「SSO-2040 が表示される場合の確認手順」をご覧ください |
SSO-2060 | 共通 | SAML認証が利用できない状態です | 「SAMLによるSSOを有効にする」が有効か、ご契約プランが対象（ビジネスプラン）かをご確認ください。IDプロバイダーに登録したSP ACS URLが別の設定を指している場合にも発生します |
SSO-2070 | 共通 | 認証結果からメールアドレスを取得できませんでした | NameIDにメールアドレスを設定するか、属性（Attribute）としてメールアドレスを送信してください。属性で送信する場合、属性名は `email` / `mail` / `emailAddress` / `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress` のいずれかにしてください（大文字・小文字は区別されます）。上記以外の属性名では、値がメールアドレスであっても認識されません。メールアドレスの形式が正しくない場合にも発生します |
SSO-2080 | 共通 | ログイン後の遷移先が正しくありません | ヘルプドッグのログインページからやり直してください |
SSO-2090 | 読者ログイン | 読者アカウントがまだ登録されていません | 通常の設定では表示されません。表示された場合は、「ヘルプドッグに関するお問い合わせ」フォームからサポートにお問い合わせください。 |
SSO-2500 | 管理画面ログイン | 該当するユーザーが見つかりません | 管理画面からユーザーを招待してください。すでに招待済みの場合は、IDプロバイダー側のメールアドレスと、ヘルプドッグに登録されているメールアドレスが一致しているかご確認ください。無効化されたユーザーもログインできません |
SSO-2510 | 管理画面ログイン | IPアドレス制限によりブロックされました | チーム設定 > セキュリティ > IPアドレス制限 の許可リストをご確認ください |
SSO-2040 が表示される場合の確認手順
次の順にご確認ください。1番目の項目が最も多い原因です。
アサーションに署名が付与されているか
ヘルプドッグは、なりすまし・改ざんを防ぐため、アサーション（認証結果の本体部分）への署名を必須としています。レスポンス全体にのみ署名している場合は署名の条件を満たさず、認証結果を受け付けられません。IDプロバイダーの「署名方式」にあたる設定で、アサーションに署名する方式を選択してください。
例：HENNGE One の場合は、SP設定の「署名方式」を「レスポンス」から「アサーション」に変更します。
IdP証明書が最新か
IDプロバイダー側で証明書を更新・交換された場合は、ヘルプドッグのSAML認証設定でも証明書の更新が必要です。証明書の有効期限が切れている場合も同様です。
SP Entity ID・SP ACS URL が一致しているか
IDプロバイダーに登録した値が、ヘルプドッグのSAML認証設定画面に表示されている値と完全に一致しているかご確認ください。SP Entity ID は末尾が /metadata のURLです。
IDプロバイダー側の時刻がずれていないか
認証結果の有効期間は、前後5分までを許容しています。
JWT認証のエラー（SSO-1000番台）
JWT認証は限定公開コンテンツへの読者ログイン専用です。読者向けのログインページではエラーコードを表示していないため、JWT認証のエラーは、エラーコードではなく次の方法でご確認ください。
JWTの内容に起因するエラー（有効期限・署名・キーID・ペイロード）：JWT認証一覧画面の「JWT認証をテスト」ボタンから検証モーダルを開き、発行したJWTを貼り付けて「JWTを検証」をクリックすると、どの項目に問題があるかが表示されます。詳しくは「JWT認証で限定公開する」の「Q. トークン検証でエラーが出た場合はどうすればよいですか？」をご覧ください。
リモートログインURLを直接開いた場合や、jwt パラメータが付いていない場合：エラーコード（SSO-1010 / SSO-1030）が表示されます。限定公開コンテンツのログインページに表示されるボタンからログインを開始してください。
共通のエラーコード（SSO-9000番台）
認証そのものは成功し、ログイン完了直前の処理でエラーが発生した場合に表示されます。SAML認証・JWT認証のどちらでも発生します。
コード | 対象 | 意味 | 主な原因と対処法 |
|---|---|---|---|
SSO-9000 | 共通 | 一時的なエラーが発生しました | 時間をおいてやり直してください。解消しない場合は、下記の情報を添えてお問い合わせください |
SSO-9010 | 共通 | ログイン情報を引き継げませんでした | ログインページからやり直してください |
SSO-9030 | 共通 | ログインの有効期限が切れました | 認証後の画面遷移が3分を超えると発生します。ログインページからやり直してください |
SSO-9040 | 管理画面ログイン | IPアドレス制限によりブロックされました | チーム設定 > セキュリティ > IPアドレス制限 の許可リストをご確認ください |
読者ログインでよくある原因
限定公開コンテンツへの読者ログインではエラーコードが表示されないため、読者からご連絡を受けた場合は次の順にご確認ください。
IDプロバイダーが認証結果にメールアドレスを含めていない（SAML認証：SSO-2070）
「SAMLによるSSOを有効にする」が無効になっている、または限定公開の公開範囲にSAML認証・JWT認証が設定されていない（SAML認証：SSO-2060）
IdP証明書の有効期限が切れている（SAML認証：SSO-2040）
IDプロバイダーのアプリ一覧やテストボタンからログインを開始している（SAML認証：SSO-2010）
注意事項
ヘルプドッグのSSOは、ヘルプドッグのログインページからログインを開始する方式（SP-Initiated）に対応しています。IDプロバイダー起点でのログイン開始には対応していません。
IdP証明書には有効期限があります。期限切れになるとログインできなくなるため、定期的に更新してください。
エラーコードは原因の切り分けを目的としたものです。同じエラーコードでも、IDプロバイダーの設定内容によって対処法が異なる場合があります。
関連記事
SAML認証で管理画面にログインする（シングルサインオン）：管理画面へのSSOログインとSAML認証設定の作成手順
SAML認証で限定公開する：限定公開コンテンツへの読者ログインの設定方法
JWT認証で限定公開する：JWT認証の設定方法
