> For the complete documentation index, see [llms.txt](https://docs.maiagent.ai/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.maiagent.ai/tech/ja/identity-and-access/sso-overview.md).
# SSO と ID 連携の概要
MaiAgent が対応するログイン・ID 連携方式の概要：内蔵アカウント、SAML、EIP、Keycloak、Cloudflare Access、LDAP パスワード認証、Google アカウントログインの用途、設定場所、およびメンバープロビジョニングとの組み合わせ
本ページは、お客様の IT 担当者や SI パートナーが適切な ID 連携方式を選ぶためのガイドです。MaiAgent が対応するログイン方式、それぞれに適した環境、準備する情報、ログイン（SSO）とメンバープロビジョニング（SCIM、LDAP 同期）の組み合わせを説明します。方式を選んだら、対応するページで設定の詳細をご確認ください。
{% hint style="info" %}
**ユーザーマニュアルとの役割分担**：管理画面での設定手順は、ユーザーマニュアルの[サードパーティログイン（SSO）](https://docs.maiagent.ai/org/sso)とその子ページをご覧ください。本ページでは、各方式の技術仕様、選定、組み合わせのみを説明します。
{% endhint %}
## ログインとプロビジョニングは別の仕組みです
| 課題 | 担当する仕組み | 関連ページ |
| ---------------------------------------------------- | ------------ | ------------------------------------------------------------------------------- |
| ユーザーが本人確認を行い、MaiAgent の Web サイト、MaiGPT、App にログインする方法 | ログイン方式（本ページ） | 本ページ、[SAML SSO 連携](/tech/ja/identity-and-access/sso-overview/saml-sso.md) |
| ユーザーが組織メンバーになるタイミング、退職時の無効化担当、ロールの同期方法 | メンバープロビジョニング | [メンバープロビジョニング：SCIM／招待／SSO](/tech/ja/identity-and-access/member-provisioning.md) |
SSO は**ログイン時にのみ**アカウントを作成したり、本人確認を行ったりします。従業員が IdP で無効化されても、MaiAgent はそのメンバー資格を自動で無効化しません。退職時の無効化には、SCIM、ID 同期、または管理画面での無効化を使用してください。
SSO を有効にしても、既存アカウントのパスワードログインは無効になりません。MaiAgent のパスワードをすでに持つアカウントは、引き続き Email＋パスワードでログインできます。プラットフォームには「SSO ログインのみを許可する」設定はありません。管理画面での無効化方法は、ユーザーマニュアルの[退職とメンバーの無効化](https://docs.maiagent.ai/org/sso#offboarding)をご覧ください。
## 組織で設定できるログイン方式
設定場所：組織設定 → 組織概要 → サードパーティログイン設定。Enterprise 版の機能で、変更できるのは組織オーナーのみです。
| 方式 | 仕組み | MaiAgent に入力する情報 | 初回ログイン | ロール同期 | 適した環境 |
| ----------------- | ---------------------------------------- | ------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ | ---------------------------------------------- | ------------------------------------------- |
| MaiAgent（デフォルト） | Email＋パスワード | 設定不要です | 招待または自己登録を行います | — | 小規模なチーム、IdP がない環境 |
| SAML | SAML 2.0、MaiAgent は SP です | IdP Metadata URL、または IdP Entity ID＋IdP SSO URL＋X.509 証明書のいずれか；メールドメイン（任意） | アカウントを自動作成し、組織に追加します | 同期せず、Email と表示名のみを読み取ります | Entra ID、Okta、Google Workspace、ADFS などの IdP |
| EIP | MaiAgent が貴社の EIP API を呼び出してユーザー情報を取得します | サーバー URL | アカウントを自動作成し、組織に追加します | EIP が `groupIds` を返す場合、以前 EIP が割り当てたロールを置き換えます | 独自ポータル、標準 IdP がない環境 |
| Keycloak | Keycloak（OIDC）専用フローです | サーバー URL、Realm 名、Client ID、仮想メールドメイン | アカウントを自動作成し、組織に追加します。アカウントの Email は `@<仮想メールドメイン>` です | 同期しません | Keycloak で ID を管理している環境 |
| Cloudflare Access | Cloudflare Zero Trust が発行した JWT を検証します | サーバー URL、Team Name、AUD Tag；メールドメイン（任意）；メンバーの自動作成 | メンバーを自動作成 の設定に従います。有効なら自動作成して追加し、無効なら既存メンバーのみを許可します | 同期しません | Cloudflare Zero Trust で内部サービスを保護している環境 |
各方式に共通するルールは以下のとおりです。
* 各組織が同時に使用できるログイン方式は**1 種類**だけです。別の方式を選ぶと元の設定が上書きされ、元に戻せません。
* サードパーティの方式では、認証元の名前 を入力する必要があります。名前はプラットフォーム全体で一意である必要があり、ログインリンクと SAML エンドポイント URL の一部になります。
* 保存後、ログインリンク カードに、メンバーに共有できる ログイン URL が表示されます。EIP の場合は、EIP の管理画面に設定するコールバック URL が表示されます。
* MaiAgent の内蔵アカウントに戻した場合、メンバーは次回から MaiAgent のパスワードでログインする必要があります。SSO で作成され、一度もパスワードを設定していないアカウントは、先にパスワードを設定する必要があります。
* 現在、汎用 OIDC 設定はありません。Keycloak 以外の OIDC 型 IdP では、その IdP の SAML 連携を使用してください。
各方式の設定手順は、[SAML 連携](https://docs.maiagent.ai/org/sso/sso-saml)（[ADFS 連携](https://docs.maiagent.ai/org/sso/sso-saml/sso-saml-adfs)を含みます）、[EIP 連携](https://docs.maiagent.ai/org/sso/sso-eip)、[Keycloak 連携](https://docs.maiagent.ai/org/sso/sso-keycloak)、[Cloudflare Access 連携](https://docs.maiagent.ai/org/sso/sso-cloudflare-access)をご覧ください。SAML の SP 仕様、属性、アカウント照合ルールは、技術マニュアルの [SAML SSO 連携](/tech/ja/identity-and-access/sso-overview/saml-sso.md)をご覧ください。Cloudflare Access の JWT 検証方法は[以下](#cloudflare-access)で説明します。
## 各方式でのメールドメインの意味
同じフィールドでも、方式によって用途が異なります。1 つのドメインを使用できる認証元は、プラットフォーム全体で 1 つだけです。重複している場合、保存は失敗します（`This email domain is already in use.`）。
| 方式 | 必須かどうか | 用途 |
| ----------------- | ------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| SAML | 任意です | メンバーがログインページでこのドメインのメールアドレスを入力すると、この SAML ログインに自動でリダイレクトします（SaaS のログインページでは有効です。オンプレミスではデプロイ設定に依存します）。ドメインは完全一致が必要で、`user@mail.acme.com` は `acme.com` に一致しません |
| Keycloak | 必須です | メンバーアカウントの Email（仮想メールアドレス）を構成します |
| Cloudflare Access | 任意です | このドメインのメールアドレスのみ、Cloudflare Access 経由のログインを許可します |
## Cloudflare Access
Cloudflare Zero Trust で従業員のアクセスを管理している組織に適しています。従業員が先に Cloudflare Access の認証を通過し、MaiAgent は Cloudflare が発行した ID を信頼します。入力するフィールド（サーバー URL、Team Name、AUD Tag、メールドメイン、メンバーの自動作成）とアカウント照合ルールは、ユーザーマニュアルの [Cloudflare Access 連携](https://docs.maiagent.ai/org/sso/sso-cloudflare-access#configure-in-maiagent)をご覧ください。
ログイン時、MaiAgent はメンバーを `<サーバー URL>/api/auth/cloudflare/<認証元の名前>/callback/` にリダイレクトします。このパスは Cloudflare Access を経由して MaiAgent に転送される必要があり、Cloudflare がリクエストに `Cf-Access-Jwt-Assertion` ヘッダーを追加できるようにします。MaiAgent はその team の公開鍵で JWT 署名（RS256）を検証し、AUD と発行者を照合した後、JWT 内の Email でアカウントを照合します。検証に失敗した場合やログインが許可されない場合、メンバーは MaiAgent に戻され、エラーメッセージが表示されます。
## 「サードパーティログイン設定」以外のログイン方式
| 方式 | 説明 | 設定場所 |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| LDAP パスワード認証 | まず ID 同期で LDAP ディレクトリのユーザーをインポートし、LDAP パスワード認証を有効にします。メンバーが MaiAgent のログインページで Email と企業のパスワードを入力すると、MaiAgent が LDAP に対して認証します。有効化後、同期済みメンバーの元の MaiAgent パスワードは無効になります | 組織設定 → 組織概要 → ID 同期（Enterprise 版。有効化や変更は組織オーナーのみ可能で、「ID 同期権限」を持つメンバーは閲覧できます）。ユーザーマニュアルの [ID 同期（LDAP）](https://docs.maiagent.ai/org/sso/identity-sync#ldap-login)をご覧ください |
| Google アカウントログイン | SaaS のログインページの Google でログイン です。Google が検証した Email で既存アカウントを照合し、該当するアカウントがなければ新規作成します | プラットフォームが提供するため、組織では設定できません。メンバー資格は引き続き招待、SCIM、または組織の SSO によって決まります |
## メンバープロビジョニングとの組み合わせ
| 環境 | 推奨する組み合わせ |
| --------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------- |
| SCIM に対応する IdP（Entra ID、Okta、JumpCloud） | SCIM でメンバー一覧、ロール、退職時の無効化を管理し、SAML でログインを管理します。[メンバープロビジョニング：SCIM](/tech/ja/identity-and-access/member-provisioning.md#scim)をご覧ください |
| AD またはその他の LDAP ディレクトリ | LDAP の ID 同期でメンバー一覧とロールを管理し、LDAP パスワード認証を選ぶか、ADFS 経由で SAML を使用します |
| 独自ポータル | EIP でログインを管理し、ログイン時にロールを同期します。メンバー一覧と無効化は、別途[メンバー一覧同期ツール](/tech/ja/identity-and-access/member-provisioning/member-roster-sync.md)または管理画面で処理します |
| 従業員が自社システム内でのみ MaiGPT を使用する場合 | SSO は不要です。SCIM または[リアルタイム同期](/tech/ja/identity-and-access/member-provisioning/member-event-sync.md)でプロビジョニングし、メンバーの ID で埋め込みます |
{% hint style="warning" %}
SSO のみを使用し、MaiAgent のパスワードを持たないメンバーも、OAuth 認可ページの組織アカウントログインから、管理画面へのログインを完了して認可ページに戻り、Claude などの MCP クライアントをメンバー本人の権限で接続できます。詳細は [OAuth 2.1 認可サーバーとしての MaiAgent](/tech/ja/identity-and-access/maiagent-oauth-server.md#login-and-consent)をご覧ください。
{% endhint %}
## よくある質問
SAML と Keycloak を同時に有効にできますか？
できません。1 つの組織で同時に使用できるログイン方式は 1 種類だけです。別の方式を選ぶと元の設定が上書きされます。部署ごとに異なる IdP を使用する必要がある場合は、IdP 側で 1 つの入口に統合してください。
サードパーティログイン設定に LDAP が表示されないのはなぜですか？
LDAP のパスワード認証は ID 同期に紐づいています。まず LDAP 同期を完了してから、ID 同期 で有効にする必要があります。サードパーティログイン設定で管理するのは、SAML、EIP、Keycloak、Cloudflare Access のみです。
サードパーティログイン設定が表示されない、または保存できない場合は？
サードパーティログインは Enterprise 版の機能で、変更できるのは組織オーナーのみです。Enterprise 版以外の組織が保存すると、`Only enterprise plan can modify third-party authentication.` が返されます。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.maiagent.ai/tech/ja/identity-and-access/sso-overview.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.