SSO と SCIM の設定

できること

Microsoft Entra ID、Okta、Google Workspace、HENNGE One などの IdP を登録すると、メンバーは会社のアカウントでログインできます。SAML 2.0 と OpenID Connect に対応しています。設定できるのは、Enterprise プランのプロジェクトのオーナーと管理者です。

流れ

1. 1

   管理画面の「SSO」を開き、方式 (SAML 2.0 か OpenID Connect) を選びます。

2. 2

   画面に出る値を IdP に登録し、IdP の値と会社のメールのドメインを Scandock に入れて登録します。

3. 3

   「TXT レコードを出す」で出た値を、メールのドメインの DNS に TXT レコードとして足し、「確かめる」を押します。確かめるまでは、この IdP ではログインできません。

4. 4

   ログインの画面の「会社の ID でログイン (SSO)」から、会社のメールアドレスでログインします。

SAML 2.0

• IdP に登録する値: 応答 URL (ACS URL) と識別子 (Entity ID)。どちらも Scandock の SSO の画面に出ます。
• IdP から送る値: メールアドレスを、NameID (形式は emailAddress) か、email という名前の属性で送ってください。アサーションには署名が要ります。
• Scandock に入れる値: IdP の識別子 (Issuer・Entity ID)、IdP のログイン URL (SSO URL)、IdP の署名証明書 (PEM 形式)。IdP によって呼び方が違います。

OpenID Connect

• IdP に登録する値: リダイレクト URI。Scandock の SSO の画面に出ます。
• Scandock に入れる値: IdP の識別子 (Issuer)、クライアント ID、クライアントシークレット。Scandock は Issuer の /.well-known/openid-configuration から、ほかの設定を読み取ります。

ドメインの確認

TXT レコードの名前は _scandock-verify-<ID>.<ドメイン> で、値は SSO の画面に出ます。値は 7 日間有効で、DNS に反映されるまで数分から数時間かかることがあります。

メンバーの扱い

そのドメインのメールアドレスの人が初めて会社の ID でログインすると、「メンバー」としてプロジェクトに加わります。役割は「メンバー」の画面で変えられます。すでにアカウントがある人は、同じメールアドレスのアカウントに結び付きます。

SSO を設定しても、パスワードでのログインはそのまま使えます。Enterprise プランの契約が終わると、SSO でのログインは止まります。

メンバーの自動追加・削除 (SCIM)

SCIM 2.0 に対応した IdP (Microsoft Entra ID、Okta など) から、メンバーを自動で追加・削除できます。使えるのは、ドメインを確かめた Enterprise プランのプロジェクトです。

1. 1

   管理画面の「SSO」の「メンバーの自動追加・削除 (SCIM)」で「トークンを発行する」を押します。トークンはこのときだけ表示されます。

2. 2

   IdP のアプリのプロビジョニングの設定に、画面に出る接続先 URL (テナント URL) とトークンを入れます。

3. 3

   IdP でアプリにユーザーやグループを割り当てると、その人がプロジェクトに加わります。

SCIM でのメンバーの扱い

• 追加: 割り当てた人は「メンバー」として加わります。すでに Scandock のアカウントがある人は、そのアカウントに結び付きます。対象は、確かめたドメインのメールアドレスの人だけです。
• 変更: 名前とメールアドレスが IdP に合わせて変わります。役割は IdP からは変わりません。「メンバー」の画面で変えてください。
• 外す: 割り当てを外すか、IdP でユーザーを無効にすると、このプロジェクトのメンバーから外れ、プロジェクトのデータに届かなくなります。アカウントは残り、ほかのプロジェクトには影響しません。もう一度割り当てると、メンバーとして戻ります。