> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# Auth0 Dashboard のシングルサインオン（SSO）を設定する

> Auth0 Dashboard の SSO を設定すると、テナントメンバーは既存のログイン方法に加えて、エンタープライズアイデンティティプロバイダー経由で認証できるようになります。

<Card title="始める前に">
  * Enterprise プランに加入してください。詳細については、[サブスクリプションを管理する](/docs/ja-jp/troubleshoot/customer-support/manage-subscriptions)を参照してください。
  * Public Cloud と Private Cloud のどちらを使用しているかを確認してください。これらの手順に関する Private Cloud の前提条件については、[Private Cloud をデプロイする](/docs/ja-jp/deploy-monitor/deploy-private-cloud)を参照してください。
</Card>

Auth0 を設定すると、[テナントメンバー](/docs/ja-jp/get-started/manage-dashboard-access)が独自の[エンタープライズアイデンティティプロバイダー](/docs/ja-jp/authenticate/identity-providers/enterprise-identity-providers) (<Tooltip tip="IDプロバイダー (IdP): デジタルアイデンティティを保存および管理するサービス。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=IdP">IdP</Tooltip>) を使用して、<Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要製品です。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Auth0+Dashboard">Auth0 Dashboard</Tooltip> に <Tooltip tip="Auth0 Dashboard: サービスを設定するための Auth0 の主要製品です。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=single+sign-on">シングルサインオン</Tooltip> (SSO) でサインインできるようにできます。

<div id="how-it-works">
  ## 仕組み
</div>

Auth0 Dashboard で SSO を設定するには、Auth0 Support と連携して、テナントメンバー が Auth0 Dashboard へのログイン時に利用できる認証方法を管理するルートテナントオーソリティ (RTA) に、エンタープライズ接続を追加する必要があります。

この SSO 接続を追加しても、テナントメンバー が既存の認証方法 (メール / パスワード、[LinkedIn](https://marketplace.auth0.com/integrations/linkedin-social-connection)、[Microsoft](https://marketplace.auth0.com/integrations/microsoft-account-social-connection)、[GitHub](https://marketplace.auth0.com/integrations/github-social-connection)、[Google](https://marketplace.auth0.com/integrations/google-social-connection) など) で引き続きログインできます。

Auth0 Dashboard で SSO を設定すると、次のようなすべての公開 Auth0 サイトでも SSO が有効になります。

* Auth0 website ([https://auth0.com](https://auth0.com))
* Auth0 Community ([https://community.auth0.com](https://community.auth0.com))
* Auth0 Docs ([https://www.auth0.com/docs](https://www.auth0.com/docs))
* Auth0 Support Center ([https://support.auth0.com](https://support.auth0.com))

<div id="user-experience">
  ### ユーザーエクスペリエンス
</div>

Auth0 Dashboard にログインする際、アクセスを許可されたユーザーは、Auth0 の <Tooltip tip="Universal Login: ユーザーの本人確認を行うために、アプリケーションは Auth0 の認可サーバーでホストされる Universal Login にリダイレクトされます。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Universal+Login">Universal Login</Tooltip> ページに登録済みドメインのメールアドレス (たとえば `user@example.com`) を入力し、その後、認証を完了するために IdP にリダイレクトされます。

<div id="limitations">
  ### 制限事項
</div>

Auth0 Dashboard の SSO を設定する前に、次の制約事項をご確認ください。

* SSO を特定のテナントのみに制限することはできません。
* SSO は IdP-Initiated の認証フローをサポートしていません。
* テナントメンバーへの招待は、Auth0 の <Tooltip tip="Management API: 顧客が管理タスクを実行できるようにする製品。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=Management+API">Management API</Tooltip> を使って自動化したり、一括送信したりすることはできません。
* テナントメンバーのアクセスを、IdP のグループメンバーシップに基づいて管理することはできません。
* <Tooltip tip="多要素認証 (MFA): SMS によるコードなど、ユーザー名とパスワードに加えて認証要素を使用するユーザー認証プロセス。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=MFA">MFA</Tooltip> をテナント内のすべてのメンバーに対して必須にすることはできません。

<div id="considerations">
  ### 留意点
</div>

<div id="full-directory-access-to-dashboard">
  #### ディレクトリ内の全ユーザーによる Auth0 Dashboard へのアクセス
</div>

テナントメンバー がログイン時に使用できる接続として IdP を追加すると、IdP のディレクトリ内のすべてのユーザーが Auth0 Dashboard にアクセスできるようになります。ただし、特定のテナントに招待されている テナントメンバー のみが、そのテナントにアクセスできます。

ユーザーが招待されていないテナントに Auth0 Dashboard からアクセスしようとすると、システムによって拒否されます。ユーザーがどのテナントにも属していない場合、システムは [ユーザープロファイルの入力を完了](#complete-user-profiling) して、新しい試用テナントを作成するよう求めます。新しい試用テナントを作成しても、それが Enterprise プランに関連付けられることはありません。

<div id="residual-tenant-member-identities">
  #### 残存する テナントメンバー のアイデンティティ
</div>

テナントメンバー が、新しい接続で作成されたものとは異なるアイデンティティで Auth0 Dashboard 内の テナント に招待され (かつアクセス権を付与され) ていた場合、技術的には、そのアイデンティティを使って引き続き テナント にアクセスできます。

古いアイデンティティを削除するか、認証の代替手段として残しておくかを判断する必要があります。

<div id="configure-sso-for-the-dashboard">
  ## Auth0 Dashboard の SSO を設定する
</div>

Auth0 Dashboard の SSO を設定するには、お客様と Auth0 Support がそれぞれ対応する一連の手順が必要です。

<div id="share-idp-configuration-data">
  ### IdP の設定データを共有する
</div>

SSO 設定を構成できるように、IdP の設定データを共有するには、[Auth0 Support に ticket を送信](/docs/ja-jp/troubleshoot/customer-support/open-and-manage-support-tickets)してください。ticket の送信時には、次の情報を含めてください。

* SSO 設定に関連付けるメールドメイン
* IdP の名前
* 認証プロトコル
* IdP 固有の追加情報

使用する IdP と認証プロトコルによっては、追加の設定手順が必要になります。

<div id="adfs-saml">
  #### ADFS (SAML)
</div>

1. 次のプロパティを設定して、[証明書利用者信頼を作成](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/operations/create-a-relying-party-trust#to-create-a-claims-aware-relying-party-trust-manually)します。

   | プロパティ          | 値                                          |
   | -------------- | ------------------------------------------ |
   | エンティティ ID      | `urn:auth0:auth0:{assignedConnectionName}` |
   | コールバック エンドポイント | `https://auth0.auth0.com/login/callback`   |
2. 次の各クレームについて、[クレームの説明を追加](https://learn.microsoft.com/en-us/windows-server/identity/ad-fs/operations/add-a-claim-description)します。

   | クレーム     | クレーム識別子                                                                | 値                                            |
   | -------- | ---------------------------------------------------------------------- | -------------------------------------------- |
   | 名前識別子    | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier` | `E-Mail-Addresses` または `User-Principal-Name` |
   | メール アドレス | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`   | 該当なし                                         |
   | 名前       | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name`           | 該当なし                                         |
3. SAML 2.0 エンドポイントを有効にします。
4. Auth0 Support に次の情報を提供します。

   * ログイン エンドポイント (例: `https://{yourServer}/adfs/ls`)
   * 署名証明書、または SAML メタデータ XML ファイル

<div id="azure-ad-oidc">
  #### Azure AD (OIDC)
</div>

1. [新しいアプリの登録を作成します](https://learn.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app)。
2. **Redirect URI** の種類を Web、値を `https://auth0.auth0.com/login/callback` に設定します。
3. **Register** を選択します。
4. [ID トークンの Implicit Grant を有効にします](https://learn.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-implicit-grant-flow#send-the-sign-in-request)。
5. [ID トークンに email クレームを追加します](https://learn.microsoft.com/en-us/azure/active-directory/develop/active-directory-optional-claims)。
6. 次の情報を Auth0 Support に提供してください。

   * アプリケーション (クライアント) ID
   * OIDC メタデータ エンドポイント (例: `https://login. microsoftonline.com/{yourAzureAdTenantId}/v2.0/.well-known/openid-configuration`)

<div id="azure-ad-saml">
  #### Azure AD (SAML)
</div>

1. [新しい Enterprise Application を作成します](https://learn.microsoft.com/en-us/azure/active-directory/manage-apps/add-application-portal)。

2. 次のプロパティを使用して [SAML のシングルサインオンを設定します](https://learn.microsoft.com/en-us/azure/active-directory/develop/single-sign-on-saml-protocol) (Auth0 Support から SSO 接続名が提供されるまでは、プレースホルダー値を使用する必要がある場合があります) 。

   | プロパティ                  | 値                                                                    |
   | ---------------------- | -------------------------------------------------------------------- |
   | Identifier (Entity ID) | `urn:auth0:auth0:{assignedConnectionName}`                           |
   | Reply (ACS) URL        | `https://auth0.auth0.com/login/callback`                             |
   | Sign-on URL            | `https://manage.auth0.com/login?connection={assignedConnectionName}` |

3. **Attributes & Claims** セクションは、`email`、`Unique User Identifier`、および必要に応じて `name -` を含め、Azure の提案のまま変更しないでください。

4. SAML メタデータ XML データを Auth0 Support に提供してください。方法は次のいずれかです。

   * App Federation Metadata URL (例: `https://login.microsoftonline.com/{azureAdTenantId}/federationmetadata /2007-06/federationmetadata.xml?appid={appId}`) を共有する。
   * Federation Metadata XML ドキュメントをダウンロードし、チケットに添付する。

<div id="google-saml">
  #### Google (SAML)
</div>

Auth0 では、Google <Tooltip tip="Security Assertion Markup Language（SAML）: 2者間でパスワードを使わずに認証情報をやり取りできるようにする標準化されたプロトコル。" cta="用語集を見る" href="/docs/ja-jp/glossary?term=SAML">SAML</Tooltip> IdP を使用して Auth0 Dashboard の SSO を設定できますが、既存の Google 認証方式を使ってユーザーをログインさせることを推奨しています。

ユーザーが Google SAML IdP にログインすると、Auth0 はそのユーザーに対して新しいユーザー ID を作成します (既存の Google ユーザー ID とは別です) 。そのため、混乱を招くおそれがあります。

Google SAML IdP を使用して Auth0 Dashboard の SSO を設定する場合は、手順について [Generic IdP (SAML)](#generic-idp-saml) を参照してください。

<div id="okta-saml">
  #### Okta (SAML)
</div>

1. 次のプロパティで SAML アプリケーションを作成します (Auth0 Support から SSO 接続名が提供されるまでは、プレースホルダー値を使用する必要がある場合があります) 。

   | Property                    | Value                                      |
   | --------------------------- | ------------------------------------------ |
   | Entity ID                   | `urn:auth0:auth0:{assignedConnectionName}` |
   | Callback endpoint (ACS URL) | `https://auth0.auth0.com/login/callback`   |

2. **Name Identifier** でユーザーのメールアドレスを送信するように設定します。

3. Auth0 Support に SAML メタデータ XML データを提供します。方法は次のいずれかです。

   * SAML メタデータ XML の URL を共有する。

     1. **SAML Signing Certificates** セクションを見つけます。
     2. **Actions** メニューを選択します。
     3. **View IdP metadata** を選択し、続けて **Copy Link Address** を選択します。URL は `https://{org}.okta.com/app/{appId}/sso/saml/metadata` という形式です。
   * SAML メタデータ XML ファイルをダウンロードし、チケットに添付する。

<div id="idp-initiated-authentication-flows">
  ##### IdP-initiated 認証フロー
</div>

Auth0 Dashboard の SSO は、IdP-initiated 認証フローに対応していません。ユーザーが chiclet を選択して Auth0 Dashboard にログインできるようにするには、次の操作が必要です。

1. ユーザーには SAML アプリを表示しないようにします。
2. `https://manage.auth0.com/login?connection={assignedConnectionName}` を指す [Bookmark App を作成](https://help.okta.com/en/prod/Content/Topics/Apps/Apps_Bookmark_App.htm) します。ユーザーはこのアプリケーションを選択してログインできるようになります。

アプリケーションを利用できるユーザーと同じユーザーに対して、SAML アプリケーションと Bookmark App の両方を有効にしてください。

<div id="onelogin-saml">
  #### OneLogin (SAML)
</div>

1. 次のプロパティを指定して SAML テストコネクタ (SP) を作成します (Auth0 Support から SSO 接続名が提供されるまでは、プレースホルダー値を使用する必要がある場合があります) 。

   | プロパティ                   | 値                                                                    |
   | ----------------------- | -------------------------------------------------------------------- |
   | Entity ID               | `urn:auth0:auth0:{assignedConnectionName}`                           |
   | コールバックエンドポイント (ACS URL) | `https://auth0.auth0.com/login/callback`                             |
   | ログイン URL                | `https://manage.auth0.com/login?connection={assignedConnectionName}` |
2. SAML メタデータ XML ファイルを Auth0 Support に提供します。

<div id="generic-idp-oidc">
  #### 汎用 IdP (OIDC)
</div>

1. 以下のプロパティで、IdP にアプリケーション (クライアント) を登録します。

   | プロパティ      | 値                                        |
   | ---------- | ---------------------------------------- |
   | コールバック URL | `https://auth0.auth0.com/login/callback` |

2. [email クレームを追加](/docs/ja-jp/secure/tokens/json-web-tokens/create-custom-claims)し、ID トークンに含めます。

3. Auth0 Support に次の情報を提供します。

   * アプリケーション (クライアント) ID
   * Issuer URL または OIDC メタデータ エンドポイント (例: `https://{idpDomain}/[...]/.well-known/openid-configuration`)

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  利用可能であれば、Auth0 Support は [Form Post フローを使用する Implicit Mode](/docs/ja-jp/get-started/authentication-and-authorization-flow/implicit-flow-with-form-post) を使用します。お使いの IdP がこれをサポートしていない場合は、アプリケーションのクライアント シークレットを提供する必要があります。
</Callout>

<div id="generic-idp-saml">
  #### Generic IdP (SAML)
</div>

1. Auth0 Support から、SSO 接続名が提供されます。
2. 次のプロパティで SAML アプリケーションを作成します。

   | Property          | Value                                      |
   | ----------------- | ------------------------------------------ |
   | Entity ID         | `urn:auth0:auth0:{assignedConnectionName}` |
   | Callback endpoint | `https://auth0.auth0.com/login/callback`   |
3. SAML アサーションに次のクレームが含まれていることを確認します。

   | Claim           | Claim identifier                                                       | Value                   |
   | --------------- | ---------------------------------------------------------------------- | ----------------------- |
   | Name Identifier | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier` | `upn` or `emailaddress` |
   | Email Address   | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`   | N/A                     |
   | Name            | `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name`           | N/AA                    |
4. 次のいずれかを Auth0 Support に提供します。

   * サインイン URL と署名証明書
   * SAML メタデータ XML ファイル

<div id="set-up-sso-connection">
  ### SSO接続を設定する
</div>

Auth0 Support は、お客様から提供された設定データを基に、SSO接続の初期設定を行います。

ホームレルムディスカバリー (HRD) は、初期設定では設定されません。

<div id="test-sso-connection">
  ### SSO 接続をテストする
</div>

SSO 接続の初期設定が完了すると、Auth0 Support が、設定データが正しいこと、およびテナントメンバーが意図したとおりに SSO 接続で認証できることを確認するため、SSO 接続のテストを案内します。

Auth0 Support は、新しい SSO 接続での認証を開始するための直接ログイン URL を提供します。例:

`https://manage.auth0.com/login?connection={assignedConnectionName}`

<div id="enforce-sso-with-auth0-teams">
  ## Auth0 Teams で SSO を必須にする
</div>

Enterprise テナントで Auth0 Teams を使用している場合は、Teams アカウントに属するテナントに対して SSO 認証を必須にできます。テナントの管理について詳しくは、[Auth0 Teams](/docs/ja-jp/get-started/auth0-teams) を参照してください。

1. 新しいブラウザーを開き、Teams アカウントの識別子を入力します: `https://accounts.auth0.com/teams/{team-identifier}.`

   <Callout icon="file-lines" color="#0EA5E9" iconType="regular">
     Teams の識別子は、URL または Teams の [**設定**](https://accounts.auth0.com/teams/#/settings) で確認できます。
   </Callout>

2. **Security** ページに移動します。

3. **Enforce Single Sign On** を選択して、[Security Policies を構成](/docs/ja-jp/get-started/auth0-teams/configure-security-policies) します。

<div id="enable-home-realm-discovery-optional">
  ### ホームレルムディスカバリーを有効にする (任意)
</div>

Universal Login またはクラシックログインを使用している場合は、HRD を有効にするようリクエストできます。これにより、ログインページで テナントメンバー が入力したメールアドレスのドメインを認識し、新しい SSO 接続に誘導できるようになります。

<div id="when-to-enable-hrd">
  #### HRD を有効にするタイミング
</div>

HRD を有効にすると、以前はメールアドレス / パスワードの ID (設定された HRD ドメインに一致するメールアドレスのもの) を使用していた テナントメンバー は、login page からログインできなくなります。また、HRD はメールアドレスの identifier にのみ対応しています。

この動作変更があるため、HRD の有効化は、少なくとも現在の テナントメンバー の一部がこの変更を把握し、さらに自分たちが次のいずれかに該当することを理解した後で依頼してください。

* 新しい ID で テナント に参加するための招待を受け取る
* 新しい ID で自分自身を再招待する必要がある

<div id="how-to-bypass-hrd">
  #### HRD を回避する方法
</div>

テナントメンバーがメールアドレス / パスワードの ID でログインする必要がある場合は、ログイン用の直接 URL を案内できます。

`https://manage.auth0.com/login?connection=auth0`

この URL を使うと HRD を回避して、メールアドレス / パスワードの ID でログインできます。

<div id="example-of-hrd-login-behavior">
  #### HRDログイン動作の例
</div>

以下はテナントメンバーのリストの例です。

| Tenant            | Tenant Member       | 接続             | 影響あり? |
| ----------------- | ------------------- | -------------- | ----- |
| `fabrikam@us`     | `user1@example.com` | email/password | はい    |
| `fabrikam@us`     | `user1@gmail.com`   | google-oauth2  | いいえ   |
| `fabrikam@us`     | `user2@example.com` | github         | いいえ   |
| `fabrikam@us`     | `user3@acme.com`    | email/password | いいえ   |
| `fabrikam@us`     | `user4@example.com` | email/password | はい    |
| `fabrikam-dev@us` | `user5@example.com` | email/password | はい    |
| `fabrikam-dev@us` | `user1@example.com` | email/password | はい    |

example.com ドメインを新しい接続に関連付けると、テナントメンバー `user1@gmail.com`、`user2@example.com`、`user3@acme.com` は、ソーシャルプロバイダーを使用しているか、関連付けられていないドメインのメールアドレスを使っているため、これまでどおりログインできます。

一方で、テナントメンバー `user1@example.com`、`user4@example.com`、`user5@example.com` は、メールアドレスが HRD 用に設定されたドメインに関連付けられているため、これまでどおりにはログインできません。

<div id="migrate-existing-tenant-members">
  ## 既存のテナントメンバーの移行
</div>

既存のテナントメンバーを移行する方法は、HRD が有効かどうかによって異なります。

<div id="how-to-migrate-with-hrd-disabled">
  ### HRD を無効にして移行する方法
</div>

HRD を無効にして テナントメンバー を移行するには、新しい SSO 接続の直接ログイン URL を共有する必要があります。

`https://manage.auth0.com/login?connection={assignedConnectionName}`

1. テナントメンバー 用の[新しい テナントメンバー 招待](/docs/ja-jp/get-started/manage-dashboard-access/add-dashboard-users)を作成します。
2. テナントメンバー に次のように案内します。

   1. 招待を承諾する前に、直接ログイン URL を使用して新しい SSO 接続にログインします。

      <Callout icon="file-lines" color="#0EA5E9" iconType="regular">
        新しい SSO 接続へのログインが初めての場合は、プロファイル情報の補完ページ ([https://auth.com/profile](https://auth.com/profile)) が表示されることがあります。どの項目にも入力せず、**Next** も選択しないでください。代わりに、次の手順に進んでください。
      </Callout>

   2. 招待メールで受け取った招待 URL をコピーして、新しい SSO 接続にログインしたときと同じブラウザーに貼り付けます。ユーザーは **Create Account** を選択しないでください。

   3. 招待を承諾します。

   4. ユーザーが他のテナントへの招待も受け取っている場合は、この時点でそれらも使用できます。

<div id="how-to-migrate-with-hrd-enabled">
  ### HRD が有効な場合の移行方法
</div>

HRD が有効なテナントメンバーを移行するには、[テナントメンバーの追加](/docs/ja-jp/get-started/manage-dashboard-access/add-dashboard-users)と同様の手順に従う必要があります。

1. テナントメンバー向けに[新しいテナントメンバー招待](/docs/ja-jp/get-started/manage-dashboard-access/add-dashboard-users)を作成します。
2. テナントメンバーに次のように案内します。

   1. Auth0 Dashboard からログアウトします (以前に古い ID でログインしていた場合) 。

      <Callout icon="file-lines" color="#0EA5E9" iconType="regular">
        これが初めて承諾する招待である場合は、「Create a new tenant」または「Create a new account」ページが表示されることがあります。**Next** は選択しないでください。代わりに、次の手順に従ってください。
      </Callout>

   2. 受信した招待メール内の招待リンクを開きます。

   3. 新しい接続でログインします。

   4. 招待を承諾します。