会社のアカウントでログインする（SSO）
ドメインを検証し、会社のアカウント管理とつないで、Tumiki に会社のアカウントでログインできるようにします。
手順更新日
会社のアカウント管理（Microsoft Entra ID、Google Workspace など）のアカウントで、Tumiki にログインできるようにします。設定は SAML で行います。
前提
| 項目 | 内容 |
|---|---|
| する人 | Tumiki のオーナー |
| 協力する人 | 会社のアカウント管理の担当の方、DNS の担当の方 |
| 用意するもの | DNS に TXT レコードを足せる権限、SAML のアプリを作れる権限 |
| アカウント | 設定する人のメールアドレスと同じアカウントが、会社のアカウント管理に要ります |
先にメンバーとして登録してください
SSO でログインできるのは、Tumiki のメンバーになっている人だけです。ログインしただけではメンバーは増えません。招待するか、メンバーと部署の同期で登録してください。
OpenID Connect でつなぎたいときは、お問い合わせください。
1. ドメインを検証する
会社のドメインの持ち主であることを確かめます。SSO でログインできるのは、検証したドメイン（サブドメインを含む）のメールアドレスだけです。
「SSO の接続」を開く
管理画面の左のメニューで「設定」を開き、上のタブで「ログインと同期」を選びます。「会社のアカウントでのログインを足す」の「接続を設定する」を押します。
ドメインを追加する
「ドメインを追加」に、社員のメールアドレスの @ 以降を入れて「追加」を押します。
DNS に TXT レコードを登録する
画面に出た値を、ドメインの DNS に登録します。
| 欄 | 値 |
|---|---|
| ホスト名 | _tumiki-verification.ドメイン名。Cloudflare などでは _tumiki-verification だけを入れます |
| タイプ | TXT |
| 値 | 画面に出た値 |
反映には数分から1時間ほどかかることがあります。画面を開いているあいだは30秒ごとに自動で確かめ、終わると「検証済み」と出ます。
TXT レコードは消さないでください
消えたまま3日たつと検証が外れ、オーナー以外は SSO でログインできなくなります。
2. 会社のアカウント管理に登録する
会社のアカウント管理で SAML のアプリを作り、画面の「2. 会社のアカウント管理に登録する」に出ている値を貼り付けます。名前 ID（NameID）はメールアドレスにします。
| Tumiki の画面 | Microsoft Entra ID | Google Workspace |
|---|---|---|
| ACS の URL | 応答 URL | ACS の URL |
| エンティティ ID | 識別子 | エンティティ ID |
Microsoft Entra ID
- Entra 管理センターの「エンタープライズ アプリケーション」で「新しいアプリケーション」を押し、「独自のアプリケーションの作成」を選びます。
- 「シングル サインオン」で「SAML」を選び、上の値を入れます。
- 「属性とクレーム」で、一意のユーザー識別子をメールアドレスにします。
- 「フェデレーション メタデータ XML」をダウンロードします。
- 「ユーザーとグループ」で、ログインする人を割り当てます。
Google Workspace
- 管理コンソールの「アプリ」で「ウェブアプリとモバイルアプリ」を開き、「カスタム SAML アプリを追加」を選びます。
- 「Google ID プロバイダの詳細」でメタデータをダウンロードします。
- 上の値を入れ、名前 ID の形式を EMAIL、名前 ID をメインのメールアドレスにします。
- アプリの「ユーザー アクセス」をオンにします。
3. 設定を読み込む
Tumiki の画面に戻り、「3. 会社のアカウント管理の設定を読み込む」を進めます。
- 「ログイン画面での名前」を入れます。ログイン画面のボタンに出ます。
- 「ファイルを選ぶ」で、ダウンロードしたメタデータ（XML）を選びます。
ファイルを出せないときは「手で入力する」に切り替え、次の3つを入れて「保存する」を押します。
| 欄 | 別の呼び名 |
|---|---|
| IdP のエンティティ ID | Issuer、発行元 |
| SSO の URL | ログイン URL、Sign-on URL |
| 証明書 | X.509 形式の証明書 |
4. テストログインして有効にする
テストログインする
「テストログインする」を押し、画面に出ているアカウントで、10分以内にログインします。終わると Tumiki の画面に戻ります。テストのあいだも、いまのログイン方法はそのまま使えます。
有効にする
「成功」と出たら「有効にする」を押し、確認の画面で「SSO を有効にする」を押します。組織の全員のログイン画面に、この SSO が出ます。ほかのログイン方法は残ります。
ほかのログイン方法を止める
SSO だけにするときは、「ログインと同期」の「ログイン方法」で、ほかの方法をオフにします。オフにすると組織の全員がいったんログアウトします。
あとから変えるとき
| すること | 手順 |
|---|---|
| ログイン画面の名前とロゴを変える | 「接続の設定」を開き、「名前とロゴを変更」を押します。有効なままで変えられます |
| 証明書や設定を入れ替える | 接続を削除して登録し直します。削除の前に無効にします。無効にすると組織の全員がいったんログアウトします |
| SSO を止める | 「無効にする」を押します。あなたがこの SSO でしかログインできないときは、無効にできません |
うまくいかないとき
| 画面に出ること | 確かめること |
|---|---|
| TXT レコードが見つかりませんでした | ホスト名と値を確かめ、反映を待ちます |
| このドメインは、ほかの組織で検証済みです | 心当たりが無いときは、お問い合わせください |
| 時間内にログインが終わりませんでした | テストログインを、始めてから10分以内に終えます |
| ログインが中断されました | 会社のアカウント管理にあなたのアカウントがあり、アプリに割り当てられているかを確かめます |
| 別のアカウントでログインされました | 画面に出ているアカウントでログインします |
| 届いた結果を確かめられませんでした | 手順2で登録した値と、手順3の設定を見直します |
| オーナー以外は SSO でログインできません | 検証済みのドメインがありません。手順1を終えます |