> For the complete documentation index, see [llms.txt](https://docs.roboflow.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.roboflow.com/get-started/ja/purattofmu/enterprise-features/single-sign-on-sso.md).

# シングルサインオン（SSO）

SSOはRoboflow Enterpriseのお客様にご利用いただけます。

{% hint style="info" %}
シングルサインオン（SSO）は **有料の** 機能で、Enterpriseでのみ利用できます。

プランとそれぞれの機能に関する最新情報については、料金ページをご覧ください。
{% endhint %}

Enterpriseのお客様は、シングルサインオン認証をリクエストできます。

SSO対応ソフトウェアの利用に関して、企業向けの認証要件がある場合に便利です。

シングルサインオンの詳細については、以下までお問い合わせください。 [Roboflow営業チーム](https://roboflow.com/sales) または担当のアカウント担当者までご連絡ください。

## セットアップ

### 始める前に

\- Workspace Adminロールへのアクセス。

\- ワークスペースでSSOが有効になっていること： [Roboflow](https://roboflow.com/sales).

\- ドメイン確認のためにDNSプロバイダーへアクセスできること

### ステップ1 - ドメインを確認する

\- Settings → Members and Roles → SSO に移動します。

\- 「Verify domain」をクリック → SSOセットアップポータルが開く → メールドメインを追加 → TXTレコードをコピー → DNSに追加します

<figure><img src="https://2537277549-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1YMZNIiZMBdlCHUDeZMP%2Fuploads%2Fgit-blob-9699b26fdb309da6b889e798801a544c358f74e6%2Fimage%20(79).png?alt=media" alt=""><figcaption></figcaption></figure>

\- 複数のドメインに対応しています。

### ステップ2 - IDプロバイダーを接続する

\- 少なくとも1つのドメインが確認済みになると、「Set up SSO」をクリックできるようになります。

\- 「Set up SSO」をクリック → 接続ページでSSOセットアップポータルが開く → SAMLまたはOIDCを選択し、プロバイダー固有のウィザードに従います。

### ステップ3 - 最初のサインインをテストする

\- Roboflowからサインアウトします。

\- app.roboflow\.com にアクセスし、確認済みドメインの勤務先メールアドレスを入力します。

\- IDプロバイダーにリダイレクトされることを確認します。

## SSOでサインインする

Roboflowのログインページには、Google、GitHub、メールでのサインインに加えて「Continue with SSO」ボタンがあります。SSOでサインインするには：

1. ログインページで「Continue with SSO」をクリックします。
2. 勤務先メールアドレスを入力します。
3. メールドメインにSSOが設定されている場合は、認証を完了するために組織のIDプロバイダーにリダイレクトされます。

ドメインにSSOが設定されていない場合、インラインエラーが表示されます。ワークスペース管理者または以下までお問い合わせください。 [Roboflow営業チーム](https://roboflow.com/sales) 組織でSSOを設定するには。

## SSOプロファイルベースの認可グループ

SSOを利用するEnterpriseのお客様は、設定できます **認可グループ属性** IDプロバイダー（IdP）のプロファイル属性（Active Directory（AD）グループの所属など）に基づいて、ユーザーをRoboflowの認可グループに自動割り当てできます。

ユーザーがSSO経由でサインインすると、RoboflowはSSOプロファイルの `sign_in_attributes` から指定された属性を読み取り、Roboflowの認可グループにマッピングします。これにより、Roboflowでグループを手動割り当てするのではなく、IdPを通じてアクセス制御を管理できます。

## プロファイル属性からのアカウントメール

Roboflowでは、emailクレーム以外のIdPプロファイル属性からアカウントメールを設定できます（例： `gevemail`）。属性名をアカウント担当者にお伝えください。値がない、無効、またはSSOメールドメインに含まれていない場合、ユーザーは現在のメールアドレスを維持します。

## ADグループによるワークスペースアクセス制限

EnterpriseのSSO環境では、ADグループの所属に基づくワークスペースごとのアクセス制限をサポートしています。SSO環境内の各許可ワークスペースは、次のように設定できます：

* **必須ADグループ**：指定したADグループの少なくとも1つに所属するユーザーのみがワークスペースにアクセスできます。要件を満たさなくなったユーザーは、次回サインイン時にアクセス権を失います。
* **自動参加**：有効にすると、必須ADグループを満たすユーザー（グループが設定されていない場合はすべてのSSOユーザー）が、招待なしでサインイン時に自動的にワークスペースに追加されます。

これらのオプションはワークスペースごとに組み合わせて使用できます：

| 必須ADグループ | 自動参加 | 動作                                     |
| -------- | ---- | -------------------------------------- |
| 未設定      | オフ   | デフォルト：管理者がユーザーを手動で招待する必要があります          |
| 未設定      | オン   | すべてのSSOユーザーがワークスペースに自動追加されます           |
| 設定済み     | オフ   | 一致しない既存メンバーは削除されます。新しいユーザーは引き続き招待が必要です |
| 設定済み     | オン   | 一致するユーザーは自動追加され、一致しないメンバーは削除されます       |

{% hint style="info" %}
Roboflowの管理者はADグループによる制限の対象外で、常にワークスペースへのアクセス権を保持します。SSO環境のデフォルトワークスペースは、制限対象になりません。
{% endhint %}

ADグループの所属は、ユーザーがIdP経由でサインインするたびに更新されます。IdPでユーザーが必須ADグループから削除されると、次回Roboflowにサインインした際に制限対象ワークスペースへのアクセス権を失います。

ワークスペースのアクセス制限を設定するには、以下までお問い合わせください。 [Roboflow営業チーム](https://roboflow.com/sales) または担当のアカウント担当者までご連絡ください。

## SSOグループによるカスタムロールのマッピング

ワークスペースで [カスタムロール](/get-started/ja/purattofmu/enterprise-features/role-based-access-control.md#custom-roles) が有効になっている場合、IDプロバイダーのグループをカスタムロールにマッピングできます。ユーザーがSSO経由でサインインすると、Roboflowは、マッピングされたグループがユーザーのIDプロバイダーのグループ所属と一致するカスタムロールを割り当てます。

SSOグループにマッピングされたロールは、サインインのたびに照合されます：

* 一致するグループを持つロールは自動的に割り当てられます。
* マッピングされたグループがユーザーと一致しなくなったロールは削除されます。
* SSOグループのマッピングがないロール（手動割り当てロール）は保持され、SSO同期の影響を受けません。

メンバーがグループにマッピングされたロールをすべて失い、手動割り当てロールもない場合は、代わりにワークスペースのデフォルトロールが割り当てられます。

IDプロバイダーのグループが複数のマッピング済みロールに一致する場合、メンバーは複数のカスタムロールを同時に持つことができます。ワークスペースのMembersページには、メンバーの現在のロールがすべて表示されます。

SSOグループのマッピングを持つカスタムロールでは、 [Super User](/get-started/ja/purattofmu/enterprise-features/role-based-access-control.md#super-user-roles) フラグを有効にして、そのロールに完全なワークスペースアクセス権を付与できます。

## 認証グループ

認証グループはワークスペースメンバーの名前付きセットであり、個人単位ではなくチーム単位で管理できます。

プロジェクトフォルダー権限を持つワークスペースでは、Settingsの下に「Auth Groups」タブが表示されます。「Create Auth Group」をクリックしてグループ名を付け、対応するIDプロバイダーグループ名を一覧表示します。

手動で割り当てたメンバーには「Manual」バッジが付きます。IDプロバイダーのグループがマッピングに一致するメンバーには「SSO」バッジが付き、サインインのたびに再確認されます。

## カスタムブランディング

EnterpriseのSSO環境ではカスタムブランディングをサポートしており、Roboflowの体験を組織のビジュアルアイデンティティに合わせられます。管理者はエンジニアの関与なしにSSO管理パネルからブランディングを設定できます。

カスタマイズ可能な要素には以下が含まれます：

* **ログイン画面**：組織ロゴ、ロゴサイズ、アクセントカラー、カードの背景色と枠線色、ボタン色、Roboflowのワードマーク色。
* **サイドバーナビゲーション**：ホバー時の背景色、選択時/未選択時のテキストとアイコンの色、ロゴの枠線色。
* 読み込みアイコン：ページの読み込み中に表示されるアニメーションの代わりに使う画像です。アニメーションGIFまたはWebP（PNGとJPEGも可）を使用し、サイズは最大2 MBまでです。SVGはサポートされていません。

ワークスペース管理者はSettingsの「Branding」でブランディングを編集できます。変更を適用するには「Save Changes」をクリックし、保存済みのブランディングに戻るには「Discard Changes」をクリックします。

変更はSSO環境内のすべてのユーザーに即時反映されます。SSO環境外のユーザーには影響しません。

カスタムブランディングを設定するには、以下までお問い合わせください。 [Roboflow営業チーム](https://roboflow.com/sales) または担当のアカウント担当者までご連絡ください。