SSO（シングルサインオン）

CoeFont通訳 Enterpriseでは、組織のIDプロバイダー（IdP）を利用したSAML 2.0 によるシングルサインオン（SSO）に対応しています。SSOを設定すると、組織のメンバーは普段使っているIdPの認証だけでCoeFont通訳にログインできます。

Admin権限が必要です

このページの設定操作は Admin 権限を持つ方のみ実行できます。

SSO設定でできること

機能	説明
SAML SSO 連携	Okta、Microsoft Entra ID（旧 Azure AD）、Google Workspace など、SAML 2.0 対応 IdP と連携できます
ログイン方式ポリシー	組織メンバーのログイン方式を「パスワードのみ」「SSO または パスワード」「SSO必須」の3モードから選択できます
メンバー招待時の認証方式制御	設定したポリシーに応じて、新規招待時の認証方式が自動的に切り替わります

ログイン方式ポリシー（モード）

組織内のメンバーがどの方法でログインできるかは「ログイン方式ポリシー」で決まります。SSO設定画面の ログイン方式ポリシー ドロップダウンから切り替えます。

ポリシーはメンバーごとに認証方式を割り当てる仕組みです

ログイン方式ポリシーは「メンバーがログイン時にSSOとパスワードのどちらかを選べる」ものではなく、メンバーごとに利用できる認証方式を組織側で決定するものです。たとえば SSO または パスワード モードでは、IdPに登録済みのメンバーはSSO認証で固定、未登録のメンバーはパスワード認証で固定として招待されます。詳細は「5. メンバー招待時の挙動」を参照してください。

ポリシー	メンバーがログインに使える方式	主な用途
パスワードのみ	メールアドレス＋パスワード	SSOを利用しない組織のデフォルト
SSO または パスワード	メンバーごとにSSOまたはパスワードのいずれかを割り当て	SSO導入の移行期、両方の認証方式を併用したい場合
SSO必須	原則SSO（Adminはパスワード認証も維持可能）	認証経路をSSOに統一したい場合

Enterprise 組織のデフォルト

Enterprise 組織を新規作成すると、ログイン方式ポリシーの初期値は SSO または パスワード になります。SAML設定が完了するまでは実際にはSSOでログインできないため、SAML設定を保存するまではパスワード認証だけが使える状態です。

SSO必須モードでの管理者の扱い

SSO必須 でも、Admin 権限のメンバーはパスワード認証のまま残すことができます。これは、IdP 側の障害や設定ミスで誰もログインできなくなる事態を避けるための救済措置です。Admin 以外のメンバー（Editor）は SSO でしかログインできません。

SSO設定の流れ

SSO を導入する際の標準的な手順は次のとおりです。

1. IdP 側で CoeFont 通訳用の SAML アプリケーションを作成する
2. CoeFont 通訳の SSO 設定画面で SAML 設定を保存する（IdP から取得したメタデータを登録）
3. 必要に応じてログイン方式ポリシーを変更する（SSO必須にしたい場合など）
4. IdP 側で CoeFont 通訳用のアプリにユーザーを割り当てる
5. メンバーに SSO ログイン手順を案内する

それぞれのステップを次の節で説明します。

1. IdP 側で SAML アプリケーションを作成する

CoeFont 通訳は SAML 2.0 の Service Provider として動作します。IdP 側のアプリケーション設定では、CoeFont 通訳の SSO 設定画面に表示される Service Provider 情報（Audience (Entity ID) / ACS URL（Assertion Consumer Service URL）など）を登録してください。

これらの値は組織ごとに異なる場合があります。Webコンソール右上のアカウントメニュー → SSO設定 から確認できます。

代表的な IdP 別の手順を以下に示します。画像はマニュアル作成時点のもので、IdP 側の UI は変更される場合があります。

Okta

1-1. Okta でアプリケーションを作成する

Okta 管理画面の アプリケーション → アプリケーション から アプリ統合を作成 をクリックします。

1-2. SAML 2.0 を選択

新しいアプリ統合を作成 ダイアログで、SAML 2.0 を選択し 次へ をクリックします。

1-3. 一般設定

一般設定 画面で、アプリ名 に「CoeFont」など CoeFont通訳 のアプリだとわかる名前を入力します。

アプリのロゴ は任意で設定できます。

1-4. SAMLの構成

SAMLの構成 画面で、以下の値を設定します。

項目	値
シングルサインオンURL	https://coefont.cloud/__/auth/handler
オーディエンスURI（SPエンティティID）	https://coefont.cloud
名前IDのフォーマット	EmailAddress
アプリケーションのユーザー名	Oktaユーザー名
次でアプリケーションのユーザー名を更新	作成・更新

1-5. フィードバック入力

フィードバック 画面では特に入力する項目はありません。そのまま 完了 をクリックして、アプリケーションの作成を終了します。

これでアプリの作成は完了です。

Microsoft Entra ID

1-1. Entra でエンタープライズアプリケーションを作成する

Microsoft Entra 管理センターの エンタープライズ アプリケーション → 新しいアプリケーション → 独自のアプリケーションの作成 から、ギャラリー以外のアプリケーションとして CoeFont 用のアプリケーションを作成します。

1-2. SAML 基本構成を設定する

シングル サインオン → SAML を開き、基本的な SAML 構成 の 編集 から以下の値を登録します。

項目	値
識別子 (Entity ID)	https://coefont.cloud
応答 URL (Assertion Consumer Service URL)	https://coefont.cloud/__/auth/handler

その他のIdP

Okta、Microsoft Entra 以外でも、SAML 2.0 に対応した IdP（Google Workspace、OneLogin、JumpCloud など）であれば連携可能です。

CoeFont 通訳の SSO 設定画面に表示される ACS URL と Audience (Entity ID) を、IdP 側の SAML アプリケーション設定に登録してください。Name ID にはユーザーのメールアドレスが含まれるよう設定してください。

2. SAML 設定を保存する

IdP 側でアプリケーションを作成すると、メタデータ XML、または以下の値が取得できます。CoeFont 通訳の SSO 設定画面に登録します。

項目	説明
Entity ID	IdP の発行者識別子（IdP Entity ID）
SSO URL	IdP の SSO エンドポイント URL
証明書	IdP の署名検証用証明書

メタデータ XML をアップロードする

SSO 設定画面では、IdP が発行する SAML メタデータ XML ファイルをドラッグ＆ドロップでアップロードできます。XML を読み込むと、上の3項目が自動で入力されます。

Okta

2-1. メタデータ URL を取得する

サインオン タブを開き、SAML 2.0 → メタデータの詳細 に表示される メタデータ URL をコピーします。

（任意）Okta ユーザー名がメールアドレスと異なる場合

Okta のユーザー名と CoeFont 通訳側で利用するメールアドレスが異なる組織では、アプリケーションユーザー名の形式を Oktaユーザー名 から メールアドレス に変更する必要があります。アプリケーションの サインオン タブで 編集 をクリックします。

下にスクロールし、アプリケーションユーザー名の形式 を メールアドレス に変更して 保存 をクリックします。

2-2. ブラウザで開いてファイル保存を行う

コピーした メタデータ URL をブラウザで開き、ブラウザの保存機能（macOS なら ⌘+S、Windows なら Ctrl+S）で .xml ファイルとしてローカルに保存します。

2-3. CoeFont通訳にファイルをアップロードする

CoeFont通訳の SSO 設定画面を開き、保存したメタデータファイルを SAML Metadata File にドラッグ＆ドロップでアップロードします。その後 設定を保存 をクリックします。

Microsoft Entra ID

2-1. フェデレーション メタデータ XML をダウンロードする

Microsoft Entra 管理センターで対象アプリケーションの シングル サインオン → SAML を開き、SAML 証明書 セクションの フェデレーション メタデータ XML から XML ファイルをダウンロードします。

（任意）user.userprincipalname がメールアドレスと異なる場合

Entra で user.userprincipalname がユーザーのメールアドレスと一致しない場合、Unique User Identifier (Name ID) を user.mail に変更する必要があります。

属性とクレーム セクションの 編集 をクリックします。

Required claim の Unique User Identifier (Name ID) を選択します。

Source attribute を user.mail に変更し 保存 します。

2-2. CoeFont通訳にファイルをアップロードする

CoeFont通訳の SSO 設定画面を開き、ダウンロードしたメタデータファイルを SAML Metadata File にドラッグ＆ドロップでアップロードします。その後 設定を保存 をクリックします。

その他のIdP

SAML 2.0 対応の IdP では、IdP 側で発行・エクスポートした SAML メタデータ XML を CoeFont通訳の SSO 設定画面の SAML Metadata File にドラッグ＆ドロップでアップロードし、設定を保存 をクリックします。メタデータ XML のエクスポート方法は IdP によって異なるため、各 IdP のドキュメントを参照してください。

保存時の挙動

SAML 設定を保存すると、ログイン方式ポリシーが パスワードのみ のままだった場合、自動的に SSO または パスワード に切り替わります。これにより、保存直後から SSO によるログインが利用可能になります。すでに SSO または パスワード または SSO必須 の場合は変更されません。

メタデータが無効な場合

無効な SAML メタデータをアップロードすると「無効な SAML メタデータです」というエラーが表示されます。IdP 側でエクスポートしたメタデータをそのまま使ってください。

3. ログイン方式ポリシーを変更する

SSO 設定画面の ログイン方式ポリシー ドロップダウンで切り替えます。SAML 設定が未保存の状態ではドロップダウンは無効化され、「ログイン方式を変更するには、先にSAML設定を保存してください。」と表示されます。

ポリシー切替時のチェック

切替時には現在の在籍メンバー構成と矛盾しないかが検証されます。条件を満たしていない場合は変更が拒否され、エラーが表示されます。

切替先	必要な条件	エラー時のメッセージ
SSO または パスワード	制約なし	（切替前から SSO の有効/無効に関わらず常に変更可能）
SSO必須	Admin 以外にパスワード認証のメンバーが残っていない	「パスワード認証のメンバーが残っているため、SSO必須に変更できません。」
パスワードのみ	SAML 認証のメンバーが在籍していない	「SSO認証のメンバーが残っているため、パスワードのみに変更できません。」

パスワードのみへ戻すと SAML 設定がクリアされます

ポリシーを パスワードのみ に変更すると、確認ダイアログで「ログイン方式を「パスワードのみ」に変更するとSAML設定がクリアされます。続行しますか？」と表示されます。変更する を選ぶと SAML 設定（Entity ID / SSO URL / 証明書）が削除されます。再度 SSO を有効化するには、SAML 設定をやり直す必要があります。

「SSO必須」に切り替えるための事前準備

SSO必須 に切り替える前に、Admin 以外のパスワード認証メンバーを以下のいずれかの方法で整理してください。

• 組織から削除する
• いったん削除し、SSO 認証メンバーとして招待し直す（招待時の挙動は後述）

Admin はそのままパスワード認証で残してかまいません。

4. IdP 側で CoeFont 通訳用のアプリにユーザーを割り当てる

SSO を利用するメンバーを、IdP 側で CoeFont 通訳用のアプリケーションに割り当てます。

また、IdP 側で割り当てた際、CoeFont 通訳側にもメンバーとして自動で追加・更新・削除が行えるプロビジョニング機能があります。設定したい場合は プロビジョニング を参照してください。

プロビジョニングを設定すると、IdP のユーザー属性 department（部署）を CoeFont 通訳の 部門 に自動同期することもできます。詳しくは 部門のIdP同期 を参照してください。

注意

割り当てられていないユーザーは SSO ログインできません。

Okta

4-1. ユーザーまたはグループを割り当てる

作成したアプリケーションの 割り当て タブで、CoeFont 通訳を利用するユーザーまたはグループを割り当てます。

4-2. 割り当てを確認する

割り当てが正常に行われた場合、割り当て画面で確認することができます。

Microsoft Entra ID

4-1. ユーザーまたはグループを割り当てる

作成したアプリケーションの ユーザーとグループ で、CoeFont 通訳を利用するユーザーまたはグループを割り当てます。

その他のIdP

IdP 側で、CoeFont 通訳用の SAML アプリケーションに、SSO を利用するユーザーまたはグループを割り当てます。割り当て方法は IdP によって異なるため、各 IdP のドキュメントを参照してください。

5. メンバー招待時の挙動

メンバーは メンバー管理 → メンバー追加 から、メールアドレスを直接入力するか CSV テンプレートで一括追加できます。

メンバーを招待した際の認証方式は、その時点のログイン方式ポリシーによって自動的に決まります。

ポリシー	招待される Admin	招待される Editor
パスワードのみ	パスワード認証	パスワード認証
SSO または パスワード	SAML 認証（IdP に登録されている場合）／パスワード認証（IdP に未登録の場合）	SAML 認証（IdP に登録されている場合）／パスワード認証（IdP に未登録の場合）
SSO必須	SAML 認証（IdP に登録されている場合）／パスワード認証（IdP に未登録でも招待可能）	SAML 認証必須（IdP に未登録の場合は招待自体が拒否される）

SSO必須モードで Editor を招待するときは IdP 側に先に登録してください

SSO必須 モードで IdP に登録されていない Editor を招待しようとすると、招待が拒否されます。先に IdP 側でユーザーを作成してから招待してください。Admin はこの制限を受けません（救済措置のため）。

招待メールの再送

ポリシーが SSO または パスワード または SSO必須 の組織で、Admin 以外のパスワード認証メンバーへの招待メール再送は拒否されます。これは、SSO を導入した後に旧来のパスワード招待が再送されないようにするためです。再招待が必要な場合は、いったんメンバーを削除して招待し直してください。

招待リンクの受諾

メンバーが招待メールのリンクから初回ログインしようとした際にも、その時点のポリシーが再チェックされます。パスワードのみ のときに作成された Editor 向けパスワード招待が、後から SSO または パスワード に切り替わった状態で受諾されようとした場合は、受諾自体が拒否されます。

6. メンバーへの SSO ログイン手順の案内

SSO を有効にしたら、組織のメンバーに以下を案内してください。

1. CoeFont 通訳のログインページにアクセスし、SSO でログイン をクリックする
2. メールアドレスを入力し、SAML SSO でログイン をクリックする
3. IdP の認証画面でサインインする

メンバーが SSO でログイン をクリックすると、メールアドレス入力画面に遷移します。会社のメールアドレスを入力すると、組織の IdP にリダイレクトされます。

メールドメインから組織を判定します

メンバーが入力したメールアドレスのドメインから、CoeFont 通訳がどの組織にリダイレクトすればよいか自動的に判定します。組織 ID を案内する必要はありません。

よくある質問

SSO を有効にしたら、既存メンバーは影響を受けますか？

SSO または パスワード のままであれば、既存のパスワード認証メンバーはそのままパスワードでログインできます。SSO必須 に切り替えるためには、Admin 以外のパスワード認証メンバーを事前に整理する必要があります。

SSO 必須にしたあと、IdP に障害が起きたらログインできなくなりますか？

Admin 権限のメンバーはパスワード認証を維持できるため、Admin であれば IdP 障害時でもログインできます。組織には少なくとも 1 名はパスワード認証で利用できる Admin を残しておくことを推奨します。

Free / Standard / Plus プランでも SSO を使えますか？

SSO は Enterprise プラン専用機能です。Enterprise 以外のプランでは SSO 設定画面およびログイン方式ポリシーは表示されません。

一度パスワードのみに戻して、もう一度 SSO を有効化したい

ログイン方式ポリシーを パスワードのみ に切り替えると SAML 設定がクリアされます。再度 SSO を利用するには、SAML 設定を最初からやり直し、保存してください。保存時に SSO または パスワード に自動的に切り替わります。

関連情報

• 管理者ガイド
• メンバー管理
• 権限について