> For the complete documentation index, see [llms.txt](https://docs.roboflow.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.roboflow.com/roboflow/roboflow-jp/workspaces/single-sign-on-sso.md).

# Single Sign On (SSO)

{% hint style="info" %}
Single Sign On（SSO）は **premium** 機能で、Enterpriseでのみ利用できます。

プランとそれに付随する機能の最新情報については、価格ページをご覧ください。
{% endhint %}

Enterpriseのお客様はSingle Sign On認証をリクエストできます。

これは、SSOを使用するソフトウェアに関するEnterprise向け認証要件がある場合に便利です。

Single Sign Onの詳細については、 [Roboflowの営業チーム](https://roboflow.com/sales) または担当アカウント担当者までご連絡ください。

## セットアップ

### 始める前に

\- Workspace Adminロールへのアクセス。

\- あなたのワークスペースでSSOが有効化されていること： [Roboflow](https://roboflow.com/sales).

\- ドメイン確認のためにDNSプロバイダーへアクセスできること

### ステップ1 - ドメインを確認する

\- Settings → Members and Roles → SSO に移動します。

\- 「Verify domain」をクリック → SSO設定ポータルが開く → メールドメインを追加 → TXTレコードをコピー → DNSに追加

<figure><img src="/files/d4a6594da1eb72e9a608456d982ad5f85262c5eb" alt=""><figcaption></figcaption></figure>

\- 複数のドメインがサポートされています。

### ステップ2 - identity providerを接続する

\- 少なくとも1つのドメインがVerifiedになると、Set up SSO をクリックできるようになります。

\- 「Set up SSO」をクリック → 接続ページでSSO設定ポータルが開く → SAMLまたはOIDCを選択し、プロバイダー固有のウィザードに従います。

### ステップ3 - 最初のサインインをテストする

\- Roboflowからサインアウトします。

\- app.roboflow\.comにアクセスし、Verified済みドメインの仕事用メールアドレスを入力します。

\- identity providerにリダイレクトされることを確認します。

## SSOでサインインする

Roboflowのログインページには、Google、GitHub、Emailのサインインオプションと並んで「Continue with SSO」ボタンがあります。SSOでサインインするには：

1. ログインページで「Continue with SSO」をクリックします。
2. 仕事用メールアドレスを入力します。
3. メールドメインにSSOが設定されている場合は、認証を完了するために組織のidentity providerへリダイレクトされます。

ドメインにSSOが設定されていない場合は、インラインエラーが表示されます。Workspace Adminまたは [Roboflowの営業チーム](https://roboflow.com/sales) 組織向けにSSOを設定するには、

## SSO Profile-Based Authorization Groups

SSOを使用するEnterpriseのお客様は、 **authorization group attributes** を設定して、Active Directory（AD）グループのメンバーシップなど、identity provider（IdP）のプロファイル属性に基づいて、ユーザーをRoboflowのauthorization groupに自動的に割り当てることができます。

ユーザーがSSO経由でサインインすると、RoboflowはSSOプロファイルの `sign_in_attributes` から指定された属性を読み取り、Roboflowのauthorization groupにマッピングします。これにより、Roboflowでグループを手動で割り当てるのではなく、IdPを通じてアクセス制御を管理できます。

## ADグループによるWorkspaceアクセス制限

EnterpriseのSSO環境では、ADグループのメンバーシップに基づくWorkspaceごとのアクセス制限がサポートされています。SSO環境内の各許可済みWorkspaceは、次のように設定できます。

* **Required AD Groups**：指定されたADグループのうち少なくとも1つに属するユーザーだけがWorkspaceにアクセスできます。要件を満たさなくなったユーザーは、次回サインイン時にアクセス権を失います。
* **Auto-join**：有効にすると、必要なADグループを満たすユーザー（グループが設定されていない場合はすべてのSSOユーザー）が、招待なしでサインイン時に自動的にWorkspaceに追加されます。

これらのオプションはWorkspaceごとに組み合わせることができます。

| Required AD Groups | Auto-join | 動作                                    |
| ------------------ | --------- | ------------------------------------- |
| 未設定                | オフ        | デフォルト：管理者がユーザーを手動で招待する必要があります         |
| 未設定                | オン        | すべてのSSOユーザーがWorkspaceに自動追加されます        |
| 設定する               | オフ        | 一致しない既存メンバーは削除され、新しいユーザーには引き続き招待が必要です |
| 設定する               | オン        | 一致するユーザーは自動追加され、一致しないメンバーは削除されます      |

{% hint style="info" %}
Roboflowの管理者はADグループ制限の対象外であり、常にWorkspaceアクセスを保持します。SSO環境のデフォルトWorkspaceは制限の対象になりません。
{% endhint %}

ADグループのメンバーシップは、ユーザーがIdPを通じてサインインするたびに更新されます。ユーザーがIdP内の必須ADグループから削除されると、次回Roboflowにサインインしたときに制限付きWorkspaceへのアクセスを失います。

Workspaceアクセス制限を設定するには、 [Roboflowの営業チーム](https://roboflow.com/sales) または担当アカウント担当者までご連絡ください。

## SSO GroupsによるCustom Roleマッピング

ワークスペースで [Custom Roles](/roboflow/roboflow-jp/workspaces/team-members/role-based-access-control.md#custom-roles) が有効になっている場合、identity providerのグループをCustom Roleにマッピングできます。ユーザーがSSO経由でサインインすると、Roboflowは、マッピングされたグループがユーザーのidentity providerグループメンバーシップに一致するCustom Roleを割り当てます。

SSOグループマッピングを持つRoleは、サインインのたびに照合されます。

* 一致するグループを持つRoleは自動的に割り当てられます。
* マッピングされたグループがユーザーに一致しなくなったRoleは削除されます。
* SSOグループマッピングがないRole（手動で割り当てられたRole）は保持され、SSO同期の影響を受けません。

メンバーがグループマッピングされたRoleをすべて失い、手動割り当てのRoleも持っていない場合は、代わりにそのWorkspaceのデフォルトRoleが割り当てられます。

identity providerのグループが複数のマッピング済みRoleに一致する場合、メンバーは同時に複数のCustom Roleを持つことができます。WorkspaceのMembersページには、メンバーの現在のすべてのRoleが表示されます。

SSOグループマッピング付きのCustom Roleでは、 [Super User](/roboflow/roboflow-jp/workspaces/team-members/role-based-access-control.md#super-user-roles) フラグを有効にして、そのRoleを通じてWorkspaceへのフルアクセスを付与することもできます。

## Custom Branding

EnterpriseのSSO環境ではCustom Brandingがサポートされており、Roboflowの体験を組織のビジュアルアイデンティティに合わせることができます。管理者は、エンジニアの関与なしにSSO管理パネルからブランディングを設定できます。

カスタマイズ可能な要素には以下が含まれます。

* **ログイン画面**：組織のロゴ、ロゴサイズ、アクセントカラー、カードの背景色と枠線色、ボタン色、Roboflowのワードマーク色。
* **サイドバーナビゲーション**：背景のホバー色、選択時/未選択時のテキストとアイコンの色、ロゴの枠線色。

変更はSSO環境内のすべてのユーザーに即時反映されます。SSO環境外のユーザーには影響ありません。

Custom Brandingを設定するには、 [Roboflowの営業チーム](https://roboflow.com/sales) または担当アカウント担当者までご連絡ください。