SAMLまたはOIDCを使用したシングルサインオン（SSO）の設定

ScribbleMapsは、SAML 2.0またはOpenID Connect (OIDC)を使用したエンタープライズシングルサインオンをサポートしています。これにより、チームメンバーはOkta、Microsoft Entra ID (Azure AD)、Google Workspace、Auth0などの組織のアイデンティティプロバイダー（IdP）を使用して認証を行うことができます。

SSO設定はteam.scribblemaps.comで利用可能であり、完全に無料です。

目次

1. サポートされている機能
2. 始める前に
3. ステップ 1: メールドメインの確認
4. ステップ 2: アイデンティティプロバイダーの設定
5. ステップ 3: ScribbleMapsでのSSO設定
6. ステップ 4: 設定のテスト
7. ステップ 5: SSOの有効化
8. SP-Initiated SSO
9. OIN Universal Logout
10. プロバイダー別ガイド
11. 高度なオプション
12. トラブルシューティング

サポートされている機能

ScribbleMapsのSSO連携では、以下の機能がサポートされています：

始める前に

• SSOを設定するには、Team Ownerである必要があります
• 組織のアイデンティティプロバイダーの管理コンソールへのアクセス権が必要です
• メールドメイン（例：yourcompany.com）を用意してください

ステップ 1: メールドメインの確認

SSOを設定する前に、メールドメインの所有権を確認する必要があります。このセキュリティ対策により、承認された組織のみがそのドメインのSSOを設定できるようになります。

1. team.scribblemaps.com にログインします
2. Settings > Single Sign-On に移動します
3. Domains タブに移動します
4. Add Domain をクリックし、メールドメイン（例：yourcompany.com）を入力します
5. 確認方法を選択します：

オプション A: DNS TXT レコード（推奨）

ドメインのDNS設定にTXTレコードを追加します：

注意: DNSの変更が反映されるまで、最大48時間かかる場合があります。

オプション B: ファイルのアップロード

1. scribblemaps-verify.txt という名前のテキストファイルを作成します
2. 確認コードのみを内容として追加します
3. アップロード先: https://yourcompany.com/.well-known/scribblemaps-verify.txt

確認を追加した後、Verify Domain をクリックして所有権を確認します。

ステップ 2: アイデンティティプロバイダーの設定

アイデンティティプロバイダーにアプリケーションとしてScribbleMapsを追加します。Oktaを使用している場合は、Okta Integration Network (OIN) カタログから直接ScribbleMapsを追加できます。SAML SSO URL、SP Entity ID、ACS URL、およびOIDC Redirect URIは自動的に事前設定されています。

SAML 2.0 の場合

OIDC の場合

ステップ 3: ScribbleMapsでのSSO設定

SAML 2.0 の設定

1. ScribbleMapsで、Settings > Single Sign-On > SAML タブに移動します
2. アイデンティティプロバイダーから提供された以下の情報を入力します：

3. Save Settings をクリックします

OIDC の設定

1. ScribbleMapsで、Settings > Single Sign-On > OIDC タブに移動します
2. Provider Type（Google、Microsoft、Okta、Auth0、またはCustom）を選択します
3. 以下の情報を入力します：

4. Save Settings をクリックします

ステップ 4: 設定のテスト

すべてのユーザーに対してSSOを有効にする前に、設定をテストします：

1. Test Connection ボタンをクリックします
2. 新しいウィンドウが開き、SSOログインフローがシミュレートされます
3. アイデンティティプロバイダーで認証を完了します
4. ScribbleMapsに正常にリダイレクトされることを確認します

テストが失敗した場合は、エラーメッセージを確認し、設定内容をチェックしてください。

ステップ 5: SSOの有効化

テストが成功したら：

1. Enable SSO スイッチをONに切り替えます
2. 強制オプションを選択します：
   • Optional: ユーザーはSSOまたはパスワードログインを選択できます
   • Enforced: 確認済みのメールドメインを持つユーザーはSSOを使用する必要があります（パスワードログインは無効になります）

注意: SSOが強制されている場合でも、Team Ownerはバックアップとして常にパスワードログインを使用できます。

SP-Initiated SSO

ScribbleMapsはSP-initiated SSOをサポートしており、ユーザーはScribbleMapsのログインページからサインインプロセスを開始できます。仕組みは以下の通りです：

1. scribblemaps.com/account/login に移動します
2. メールアドレス（例：[email protected]）を入力します
3. Sign in with SSO をクリックします
4. 認証のために組織のアイデンティティプロバイダー（例：Okta）にリダイレクトされます
5. 認証が成功すると、自動的にScribbleMapsにリダイレクトされ、サインインします

組織でSSOが強制されている場合、ログインページでメールアドレスを入力すると自動的にアイデンティティプロバイダーにリダイレクトされ、パスワードフィールドは表示されません。

OIN Universal Logout

OktaによるUniversal logoutがサポートされています。設定手順については、こちらのリンクを参照してください。

プロバイダー別ガイド

Okta

1. Okta管理コンソールで、Applications > Browse App Catalog に移動します
2. ScribbleMaps を検索し、Add Integration をクリックします
3. SSO URL、Entity ID、およびRedirect URIは自動的に事前設定されています
4. Sign On タブに移動して、IdPの設定詳細を確認します：
   • X.509 Certificate をダウンロードします
   • Identity Provider Issuer（Entity ID）をコピーします
   • Single Sign-On URL をコピーします
5. これらの値をScribbleMapsのSSO設定に入力します（ステップ 3を参照）

Microsoft Entra ID (Azure AD)

1. Azureポータルで、Microsoft Entra ID > App registrations > New registration に移動します
2. 設定します：
   • Redirect URI: https://api.scribblemaps.com/oidc/callback (Webプラットフォーム)
3. Certificates & secrets > 新しい Client secret を作成します
4. Application (client) ID と Client secret value をコピーします
5. Authority URL: https://login.microsoftonline.com/YOUR-TENANT-ID/v2.0

Google Workspace

1. Google Cloud Consoleで、APIs & Services > Credentials に移動します
2. Create Credentials > OAuth client ID をクリックします
3. Web application を選択します
4. Authorized redirect URI を追加します: https://api.scribblemaps.com/oidc/callback
5. Client ID と Client Secret をコピーします
6. Authority URL: https://accounts.google.com

注意: Google WorkspaceでMFAを必須にするには、Google Workspace管理コンソールで設定してください。

Auth0

1. Auth0ダッシュボードで、Applications > Create Application に移動します
2. Regular Web Applications を選択します
3. 設定します：
   • Allowed Callback URLs: https://api.scribblemaps.com/oidc/callback
   • Allowed Logout URLs: https://api.scribblemaps.com/oidc/logout-callback
4. Settings タブから Client ID と Client Secret をコピーします
5. Authority URL: https://YOUR-DOMAIN.auth0.com

高度なオプション

Just-In-Time (JIT) プロビジョニング

有効にすると、初回SSOログイン時にユーザーがScribbleMapsに自動的に作成されます。プロフィール情報（名前、メールアドレス）はアイデンティティプロバイダーから取得されます。

多要素認証（MFA）の必須化（OIDCのみ）

ログインを許可する前にMFA検証を必須にするには、このオプションを有効にします。ScribbleMapsは、IdPがユーザーに対してMFAを強制していることを確認します。

Oktaの場合、以下のようなカスタムACR値を指定できます：

• urn:okta:loa:2fa:any - 任意の第2要素
• phr - フィッシング耐性のある認証
• phrh - フィッシング耐性のあるハードウェアバインド認証

属性/クレームマッピング

IdPからのユーザー属性をScribbleMapsのユーザーフィールドにマッピングする方法をカスタマイズします：

トラブルシューティング

一般的な問題

"Domain not verified"

• DNS TXTレコードまたは確認ファイルが正しく設定されていることを確認してください
• DNSの変更が反映されるまで、最大48時間かかる場合があります
• 確認コードに誤字脱字がないか確認してください

"Invalid certificate"

• -----BEGIN CERTIFICATE----- と -----END CERTIFICATE----- を含む完全な証明書を使用していることを確認してください
• 証明書の期限が切れていないか確認してください
• 暗号化証明書ではなく、署名証明書をコピーしたことを確認してください

"Invalid signature"

• 証明書がIdPの現在の署名証明書と一致していることを確認してください
• 署名アルゴリズムが一致していることを確認してください（SHA-256 対 SHA-1）

"User not found" または "Email mismatch"

• IdPから返されたメールアドレスが確認済みのドメインと一致していることを確認してください
• NameIDフォーマットが Email Address に設定されていることを確認してください
• 属性/クレームマッピングが正しいことを確認してください

"Security error: Your Identity Provider is not authorized for this email domain"

• これは、IdPの設定が確認済みのドメインと一致しない場合に発生します
• メール ドメインがチームの下で確認されていることを確認してください
• 確認済みのドメインのメールアドレスでログインしていることを確認してください

監査ログの表示

Settings > Single Sign-On > Audit Logs でSSOのアクティビティを監視できます。以下の操作が可能です：

• イベントタイプ（Login、Logout、Failed Login）でフィルターする
• 日付範囲でフィルターする
• コンプライアンス報告用にログをCSVとしてエクスポートする

サポートが必要ですか？

SSOの設定で問題が発生している場合は、以下の情報を添えてサポートチームまでご連絡ください：

• チーム名
• 使用しているアイデンティティプロバイダー
• 表示されているエラーメッセージ
• IdP設定のスクリーンショット（機密情報は黒塗りしてください）

組織のSSO設定を完了できるよう、全力でサポートいたします。