シングルサインオン設定ガイド

Talentifyでは、SAML 2.0プロトコルによるシングルサインオン（SSO）機能を提供しています。企業のIdP（アイデンティティプロバイダー）と連携することで、従業員が既存の社内アカウントでTalentifyにログインできるようになります。

対応IdP例： - Microsoft Entra ID（旧 Azure AD） - Okta - HENNGE One - Google Workspace - OneLogin - その他SAML 2.0対応IdP

SSO機能を設定するには、以下の条件を満たしている必要があります。

• システム管理者権限を持つアカウントでログインしていること

• 企業側でSAML 2.0対応のIdPを運用していること

• SSO対象ドメインのDNS設定を変更できる権限があること

1. 管理センターにアクセスします

2. サイドバーから「セキュリティ」→「シングルサインオン」を選択します

IdP側でTalentifyを登録するために必要な情報が表示されています。これらの情報をIdP側の設定で使用します。

• Entity ID: TalentifyのSP識別子

• ACS URL: SAML認証レスポンスを受け取るURL

• メタデータURL: SP設定情報を含むメタデータファイルのURL

各項目の右側にある「コピー」ボタンをクリックすると、値をクリップボードにコピーできます。

IdP側でTalentifyをSAMLアプリケーションとして登録します。具体的な手順はIdPごとに異なりますが、一般的に以下の情報を入力します。

1. 新しいSAMLアプリケーションを作成

2. Talentifyの情報を登録：

   • Entity ID（SP識別子）

   • ACS URL

   • または、メタデータURLを指定

3. NameID形式を「emailAddress」に設定

4. IdPのメタデータファイル（XML）またはメタデータURLを取得

1. SSO設定画面の「IdP（アイデンティティプロバイダー）設定」セクションで「メタデータのアップロード」ボタンをクリックします

2. IdPから取得したメタデータファイル（XMLファイル）を選択してアップロードします

   • メタデータURLが利用可能な場合は、URLを入力することも可能です

ヒント: IdPのメタデータには、認証エンドポイントや証明書などの情報が含まれています。

SSO認証を許可するメールドメインを登録します。

1. 「SSO対象ドメイン」セクションのテキストボックスにドメインを入力します

   • 例: example.com

2. 「追加」ボタンをクリックします

3. ドメインが追加され、DNS検証の手順が表示されます

ドメインの所有権を確認するため、DNS TXTレコードを設定します。

1. 表示されたDNS設定情報を確認します：

   • 種別: TXT

   • レコード名: 登録したドメイン名（例: example.com）

   • レコード値: talentify-domain-verification= で始まる検証トークン

2. DNSサービスの管理画面で、TXTレコードを追加します

   • 各項目の「コピー」ボタンをクリックすると、値をクリップボードにコピーできます

   • DNSの設定方法は、利用しているDNSプロバイダー（お名前.com、ムームードメイン、Route 53など）によって異なります

3. TXTレコードの追加後、「検証」ボタンをクリックします

4. 検証が成功すると、ドメインのステータスが「検証済み」に変更されます

注意: DNSの反映には時間がかかる場合があります（数分〜最大48時間）。検証が失敗する場合は、しばらく時間をおいてから再度「検証」ボタンをクリックしてください。

JIT（Just-In-Time）プロビジョニングを有効にすると、SSO認証時にTalentifyに存在しないユーザーを自動的に作成できます。

1. 「JITプロビジョニング」セクションのスイッチをクリックして有効/無効を切り替えます

有効にした場合: - SSO認証成功時、Talentifyにユーザーが存在しない場合、自動的にユーザーアカウントが作成されます - 作成されるユーザーのロールは「メンバー」固定です - 従業員との紐付けは行われないため、必要に応じて管理者が手動で設定してください

無効にした場合: - Talentifyに存在しないユーザーはSSO認証でログインできません - ユーザーを事前に登録しておく必要があります

IdP設定が正しく動作するか確認します。

1. 「接続テスト」セクションの「接続テスト」ボタンをクリックします

2. IdPの認証画面にリダイレクトされます

3. IdPで認証を完了します

4. 認証が成功すると、SSO設定画面に戻ります

注意: 接続テストは、IdP設定とドメイン検証が完了している場合のみ実行できます。

SSO設定が完了したら、ログイン方法でSSOを有効化します。

1. SSO設定画面上部の案内にある「ログイン方法へ移動」ボタンをクリックします

2. ログイン方法画面で「SSO」を有効にします

これで、SSO対象ドメインのメールアドレスを持つユーザーがSSO認証でログインできるようになります。

IdPのポータル画面からTalentifyにログインする場合は、IdPに「ブックマークアプリ」または「リンクアプリ」を登録します。

1. SSO設定画面の「SP情報」セクションで「IdP Initiated SSO（ブックマークアプリ）URL」を確認します

2. 検証済みドメインごとにURLが表示されています

3. このURLをIdPのブックマークアプリとして登録します

IdP側の設定例： - Okta: 「ブックマークアプリ」としてURLを登録 - Azure AD: 「リンク アプリ」としてURLを登録 - HENNGE One: 「URLアプリ」としてURLを登録

SSO設定後も、従来のメールアドレス/パスワード認証は引き続き利用できます。これにより、IdP障害時のフォールバック手段を確保できます。

ユーザーは、ログイン画面で以下のいずれかの方法でログインできます： - パスワード認証: パスワードを入力してログイン - SSO認証: 「SSOでログイン」ボタンをクリックしてIdPで認証

A. 現在のバージョンでは、1つのテナントに対して1つのIdPのみ設定可能です。

A. 1つのテナントに対して、最大5つまでのドメインを登録できます。

A. セキュリティ上の理由から、フリーメールドメインはSSO対象ドメインとして登録できません。

A. いいえ。SSO対象ドメインはシステム全体でユニークである必要があります。

A. はい。一度検証が完了したドメインは、DNSレコードを削除しても検証済みステータスを維持します。

A. はい。SSO設定後も、パスワード認証は引き続き利用できます。IdP障害時のフォールバック手段として活用できます。

A. 現在のバージョンでは対応していません。JITプロビジョニングで作成されるユーザーのロールは「メンバー」固定です。

症状: 「検証」ボタンをクリックしても検証が成功しない

原因と対処法: 1. DNSレコードの反映待ち - DNSの反映には時間がかかる場合があります（最大48時間） - しばらく時間をおいてから再度検証してください

2. TXTレコードの設定ミス

   • レコード名とレコード値が正しいか確認してください

   • 特にレコード値は、表示された文字列を完全にコピーして設定してください

3. DNSプロバイダーの制約

   • 一部のDNSプロバイダーでは、TXTレコードに特定の形式が必要な場合があります

   • プロバイダーのヘルプドキュメントを確認してください

症状: ログイン画面で「SSOでログイン」をクリックしても認証できない

原因と対処法: 1. ドメインの検証が未完了 - SSO設定画面でドメインのステータスを確認してください - 「検証済み」になっていない場合は、DNS検証を完了させてください

2. IdP設定の不備

   • IdP側のTalentify設定を確認してください

   • Entity IDやACS URLが正しく設定されているか確認してください

3. SSOが有効化されていない

   • ログイン方法画面でSSOが有効になっているか確認してください

症状: 「接続テスト」ボタンがグレーアウトしている

原因と対処法: - IdP設定が未完了 - IdPのメタデータをアップロードしてください - ドメインの検証が未完了 - 少なくとも1つのドメインが「検証済み」になっている必要があります

症状: IdPのポータル画面からTalentifyのアイコンをクリックしてもログインできない

原因と対処法: - ブックマークアプリのURL設定ミス - IdP側のブックマークアプリ設定で、SSO設定画面に表示されている「IdP Initiated SSO URL」が正しく登録されているか確認してください - ドメインが複数ある場合は、ドメインごとに正しいURLを登録してください