対象機能（詳細）：キャンバス ,ドキュメント
必要な権限（詳細）：ワークスペース管理者
利用の条件（詳細）：SSO / SAML認証機能が利用可能なプランをご契約の企業
Otolioでは、SSO（シングルサインオン）/ SAML2.0 認証に対応しています。 普段企業でお使いのIDプロバイダー（IdP）と連携することで、1つのアカウントで安全かつスムーズにOtolioへサインインできるようになります。
本ページでは Google Workspace で SAML 認証を設定する方法を説明します。
【Google WorkspaceでSAMLを設定する方法】
1. Google Admin：[ウェブアプリとモバイルアプリ] を開く
Google Admin Dashboard にログインし、左サイドバーから [アプリ]を選択し、次のリストから[ウェブアプリとモバイルアプリ]を選択します。
2. Google Admin：アプリ名の設定
[アプリを追加]をクリックし、[カスタム SAML アプリの追加]を選択します。
3. Google Admin：アプリ名の設定
Google Adminのページでアプリの名称を「smartshoki」に設定し、[続行]をクリックします。※ 特殊文字が含めることができないため、英字で入力してください。
4. Google Admin：メタデータのダウンロード
Google Adminのページで[メタデータをダウンロード]をクリックし、メタデータファイルをダウンロードします。ダウンロード後、[続行]をクリックします。
5. Otolio：SAML設定画面を開く
Otolioの[ワークスペース管理] >[ 認証・セキュリティ]のページで、SAML認証の[設定する]をクリックします。
6. Otolio：メタデータのアップロード
OtolioのSAML認証のページで、先程ダウンロードした メタデータをアップロードします。
7. Otolio：ACS URL・Entity IDのコピー
OtolioのSAML認証の設定のページで、ACS URL・Entity IDをコピーします。
8. Google Admin：サービスプロバイダ詳細の貼り付け
Google Adminのページにて、サービスプロバイダの詳細のページで、 ACSのURL・エンティティ IDをそれぞれをペーストします。
9. Google Admin：名前IDの設定
名前IDの項目で、 [EMAIL]を選択し[続行]をクリックします。
10. Google Admin：属性マッピングの追加
属性マッピングのページで、[マッピングを追加]します。
フィールドに「Primary email」、アプリの属性に「email」を入力します。
※現時点ではメールアドレスのマッピングになります。今後のアップデートでその他の属性のマッピングに対応予定です。
11. Google Admin：ユーザーアクセスのオン
設定が完了したら[アプリ]>[ウェブアプリとモバイルアプリ]で設定内容を確認します。初期値は[ユーザーアクセス]がオフになっているため、右側の三角をクリックし、[サービスのステータス]を[オン（すべてのユーザー）]に変更し、[保存]します。
12. Otolio：属性マッピングの適用
OtolioのSAML認証の設定ページで、属性マッピングを設定します。
Otolioのユーザー属性 emailに対し、IdPのユーザー属性を入力して[適用する]
をクリックします。
13. 動作確認
一度サインアウトし、SAML認証でサインインします。
💡 ヒント
パスワード認証をオフにする場合は必ずSAML認証で正しくサインインができることを確認してから、オフにしてください。
【Microsoft Entra（旧 Azure AD）でSAMLを設定する方法】
1. Microsoft Entra管理センターで[エンタープライズアプリケーション]を選択
Microsoft Entra管理センター にアクセスし、Azureサービスのメニューで[エンタープライズアプリケーション]を選択します。（見当たらない場合は検索窓から検索してください）
2. [新しいアプリケーション]から[独自のアプリケーション]を選択
エンタープライズアプリケーションのページで、[新しいアプリケーション]>[独自のアプリケーション]をクリックします。
3. 名前に「Otolio」を設定
名前に 「Otolio」 を入力し、[ギャラリーに見つからないその他のアプリケーションを統合します（ギャラリー以外）]をチェックした後、[作成]をクリックします。
4. [シングル サインオンの設定]で[SAML]を選択
[シングル サインオンの設定]をクリックし、 [SAML]をクリックします。
4. [基本的なSAML構成]を編集
[基本的なSAML構成]の[編集]をクリックします。
5. Otolioの管理ページでSAML認証を設定
Otolioの[ワークスペース管理] >[ 認証・セキュリティ]のページで、SAML認証の[設定する]をクリックします。
6. OtolioでACS URL・Entity IDをコピー
OtolioのSAML認証の設定のページで、ACS URL・Entity IDをコピーします。
7. Microsoft Entra管理センターでACS URL・Entity IDをペースト
管理センターのページで、 OtolioでコピーしたACSのURL・エンティティ IDをそれぞれ追加します。（並び順がOtolioと異なるため、間違えないよう気をつけてください）
8. [SAML 証明書]のメタデータURLをコピー
[SAML 証明書]にある[アプリのフェデレーション メタデータ URL]をコピーします。
9. OtolioでメタデータドキュメントのエンドポイントURLを入力
Otolioの設定ページで、「メタデータドキュメントのエンドポイントURLを入力」を選択し、先程コピーしたURLを貼り付けます。
10. [属性とクレーム]で新しいクレームを追加
Microsoftのシングルサインオンの設定ページで[属性とクレーム]の[編集]をクリックし[新しいクレームの追加]をします。
注意
以下の条件に当てはまる場合は、10-11の操作が異なります。「SSO /SAML 認証のクレーム設定（Microsoft Entraでメールニックネームの設定がある場合）」を参照してください。
Entra IDにメールニックネームが設定されている場合
Otolioに登録しているメールアドレスの@より前の部分がEntra IDのメールニックネームと同じである場合
11. 新しいクレームを設定し[保存]をクリック
以下の情報を設定し、[保存]をクリックします。
名前：email
ソース：属性
ソース属性：user.mail
12. Otolioの属性マッピングを設定
OtolioのSAML認証の設定ページで、属性マッピングを設定します。
Otolioのユーザー属性 emailに対し、「email」を入力して[適用する]
をクリックします。
13. SAML認証が有効になっていることを確認
一度サインアウトし、SAML認証でサインインします。
注意事項
パスワード認証をオフにする場合は必ずSAML認証で正しくサインインができることを確認してから、オフにしてください。
【よくある質問】
Q：エラーメッセージが表示されました
A：設定などが間違っている場合にエラーメッセージが表示されます。詳細は以下を確認してください。
エラーメッセージ | 内容 | 対応方法 |
エラーが発生しました。しばらく時間をあけてから再度お試しください。 | Otolioで管理するサーバー側のエラーの可能性があります。 | サポートまでお問い合わせください。 |
不正なパラメーターです。 | ID プロバイダー側の設定が誤っている可能性があります。 | IDプロバイダーでの設定を再度ご確認ください。もし設定でご不明点があれば、サポートまでお問い合わせください。 |
ユーザーが存在しません。 | サービスに対応するユーザーが登録されていません。 | IDプロバイダー側で対応するユーザーを作成してください。 |
Q：SSO/SAML認証が設定できません。（Microsoft Entraでメールニックネームの設定がある場合）
A：Microsoft Entraをお使いで、以下の条件に当てはまる場合は作業手順が一部異なります。手順については「SSO /SAML 認証のクレーム設定（Microsoft Entraでメールニックネームの設定がある場合）」を確認してください。
【条件】
Entra ID にメールニックネームを設定している場合
Otolioに登録しているメールアドレスの@より前の部分がEntra IDのメールニックネームと同じである場合
Q：Otolioの多要素認証を設定している場合、SAML認証後に多要素認証を求められますか？
A：多要素認証を設定したユーザーであっても、SAML でサインインを行う場合はOtolio側の多要素認証は求められません。多要素認証はパスワードによる認証時のみ要求されます。
多要素認証の利用が必須条件の場合、SAML で設定する ID プロバイダー側で多要素認証を設定いただくようにお願いします。
Q：SSO / SAML認証を設定したので、サインイン画面にあるパスワードの入力項目を非表示にしたいのですが
A：SAMLでサインインできることを動作確認したあとで、パスワード認証を無効化してください。
