# チーム向けのシングルサインオン

> SAML 2.0 または OpenID Connect プロバイダー (Okta, Entra ID, Google Workspace, Keycloak) を介して、組織の全メンバーに任意で要求されるコンソールへのサインイン。

Source: https://developers.anpheros.com/ja/guides/team-sso

Scale プランでは、チームは会社の ID プロバイダー (Okta, Microsoft Entra ID, Google Workspace, Keycloak または任意の SAML 2.0 または OpenID Connect プロバイダー) を介してコンソールにサインインします。シングルサインオンが必須の場合、会社を退職したユーザーは、ID プロバイダーで無効化されるとすぐに組織へのアクセス権を失います。パスワードや Google アカウントだけでは十分ではなくなります。

## 仕組み

1. お客様のIDプロバイダーの詳細（下記参照）と、チームが使用するメールドメインをお知らせください。
2. 当社がプロバイダーをお客様の組織に接続します。ベータ期間中は手動でのセットアップとなり、通常1営業日かかります。
3. チームメンバーは、コンソールサインインページで **Sign in with SSO** を選択し、会社のメールアドレスを入力します。コンソールはドメインからお客様のプロバイダーを検索し、お客様の会社のサインインページを開きます。
4. オプションで、シングルサインオンを**必須**にすることができます。メンバーは、プロバイダー経由でサインインした後のみ、組織のプロジェクト、キー、アプリケーション、ログを開くことができます。全員がサインインできることを確認した後、ご要望に応じてこの設定を有効にします。

メンバーは引き続き組織のメンバーである必要があります。シングルサインオンは、誰が所属しているかではなく、本人確認の方法を決定します。1つのドメインは1つの組織にのみ所属でき、パブリックなメールドメイン（gmail.com、outlook.comなど）は使用できません。

## 送信いただくもの

**SAML 2.0:** IdP エンティティ ID、シングルサインオン URL、および署名証明書（またはメタデータ XML）。
IdP を以下のように設定してください。

| 設定項目 | 値 |
|---|---|
| Assertion Consumer Service (ACS) URL | `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler` |
| Service provider entity ID | セットアップ開始時に弊社からお送りする値 |
| Name ID | ユーザーのメールアドレス |

**OpenID Connect:** 発行者 URL、クライアント ID、およびコードフローの場合はクライアントシークレット。以下のリダイレクト URI をプロバイダーに登録してください: `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler`。

件名を「SSO setup」として、platform@anpheros.com までご連絡ください。

## 制限事項

- シングルサインオンは、コンソールおよび管理API（people）に適用されます。お客様のソフトウェアで使用されるAPIキーおよびOAuthアクセストークンには影響しません。
- メンバーシップは引き続きコンソールで管理されます。ユーザーはディレクトリから自動的に作成されるわけではありません。
- 患者向けの同意ページには影響しません。患者は自身のカウントでサインインします。