SSO に関するよくある質問

Cliqer チームでシングルサインオンを設定し、強制適用します。

SSO を使うと、チームは自社の ID プロバイダー経由でサインインできます。SSO は Enterprise プラン、または Presenter、Studio HD、Studio 4K、Studio 8K の Enterprise アドオンに含まれており、チームが ダッシュボード → チーム → セキュリティ（/dash/team/security）で設定します。設定には セキュリティの管理 というチーム権限が必要です（オーナーと管理者にはデフォルトで付与されています）。

どのプロバイダーに対応していますか？

セルフサービスの SSO は OpenID Connect（OIDC） を使用します。OIDC プロバイダーであればどれでも使えます。Okta、 Microsoft Entra ID（Azure AD）、Google Workspace、Auth0 などは、いずれも OIDC エンドポイントを提供しています。

SAML も利用できますが、マネージド での提供となります。Cliqer にご連絡いただければ、チーム向けに設定いたします。セルフサービスのフォームで作成できるのは OIDC プロバイダーのみです。

プロバイダーを追加するには？

プロバイダーを追加

チーム → セキュリティ → シングルサインオン に移動し、プロバイダーを追加 をクリックします。

フォームに入力

表示名：サインインボタンに表示されるラベルです。
発行者 URL：プロバイダーの OIDC 発行者（issuer）です。Cliqer は <issuer>/.well-known/openid-configuration からディスカバリー情報を自動的に取得します。
クライアント ID と クライアントシークレット：IdP で作成したアプリケーションの値です。
識別子クレーム：Cliqer アカウントに対応付けるクレーム（email、 sub、preferred_username のいずれか）です。デフォルトは email です。
メールドメイン許可リスト （任意）：サインインを特定のメールドメインに制限します。
アカウントの自動作成：初回サインイン時に Cliqer アカウントを作成します。

保存

保存します。これでプロバイダーがサインインページに表示されます。

プロバイダーを編集する際、クライアントシークレット欄は空欄のままにできます。その場合、保存済みのシークレットがそのまま維持されます。シークレットが再表示されることはありません。

IdP にはどのリダイレクト URI を設定しますか？

https://<your-cliqer-host>/sso/<slug>/callback

slug はプロバイダーの作成時に生成されます。サインインフローは /api/auth/sso/<slug>/start から始まり、上記のコールバックに戻ります。

複数のプロバイダーを使用できますか？

はい。複数のプロバイダーを追加でき、それぞれが専用のボタンとしてサインインページに表示されます。メールドメイン許可リストを使って、各プロバイダーが受け入れるユーザーの範囲を指定します。

「SSO を必須にする」は何をしますか？

SSO を必須にする をオンにすると、チームメンバーのパスワードおよびパスキーによるサインインは サーバー側で拒否 されます。メンバーはいずれかの SSO プロバイダーを使用する必要があります。

強制はログインエンドポイント（/api/auth/login とパスキーの検証ステップ）で行われ、フォームを隠すだけの仕組みではありません。そのため、API を直接呼び出しても回避できません。
チームオーナーは適用対象外（緊急時用）です。オーナーは常にパスワードでサインインできるため、組織が自らを締め出してしまうことはありません。

強制を有効にする前に、動作するプロバイダーを少なくとも 1 つ追加してテストしてください。

既存のアカウントはどうなりますか？

メンバーは識別子クレーム（デフォルトはメール）によって SSO の ID と照合されます。既存のアカウントのデータと設定はそのまま保持されます。自動作成 を有効にすると、一致するアカウントがない初回の SSO ユーザーにはアカウントが自動的に作成されます。

強制を無効にするには？

同じページで SSO を必須にする をオフにします。パスワードとパスキーによるサインインはすぐに再び利用可能になります。プロバイダーの設定はそのまま残ります。