Skip to main content
SSO は組織ごとに設定します。各組織には独自の SSO 接続が必要です。つまり、組織ごとに確認済みのドメインと、IdP 内の Profound アプリケーションが必要になります。複数の組織に所属するユーザーには、通常、IdP 内に組織ごとの Profound タイルが表示され、各組織にはそれぞれの接続を通じてサインインします。同じドメインを複数の組織の SSO 接続に使用できます。別の組織ですでに確認済みのドメインで 2 つ目の組織の SSO を設定する前に、カスタマーサポートにお問い合わせください。Profound 側で先に設定を調整する必要があります。また、同じ ID プロバイダーであっても、接続ごとに異なるプロトコルを使用できます。各 Profound 組織が独自の SSO 接続を持つことを示す図: ID プロバイダー A は OIDC で組織 1 に、SAML で組織 2 に接続し、ID プロバイダー B と C はそれぞれ別の組織に接続している各組織の SSO 接続を設定するには、SSO を設定するの手順に従ってください。カスタム認可サーバーを使用している場合は、カスタム OIDC 接続で SSO を設定するを参照してください。適切な SSO 接続を通じて適切な組織にユーザーを追加するには、その組織の設定にある People ページからユーザーを招待してください。
SSO 設定ポータルが組織用にこれらの値を生成します。Profound は固定の接続値を公開しておらず、サポートにリクエストする必要もありません。値を取得するには、Settings > Organization > Enterprise Setup を開き、Configure SSO を選択します。ドメインを確認し、ID プロバイダー(IdP)を選択すると、IdP にコピーする値がポータルに表示されます。
  • Security Assertion Markup Language(SAML): ACS URL、Service Provider Entity ID、Metadata URL
  • OpenID Connect(OIDC): Authorized Redirect URI
これらの値は SSO 接続ごとに生成され、Profound の他の場所には表示されません。SSO を設定するのステップ 4 を参照してください。
ドメイン確認と IdP の設定は別々のステップです。DNS TXT レコードは、ユーザーがサインインに使用するメールドメインを組織が所有していることを証明します。IdP は、ドメインの確認後、次のステップで接続します。ポータルの DNS の手順には、Cloudflare や AWS Route 53 など、ドメインの DNS レコードをホストしているプロバイダーの名前が表示されます。このプロバイダーは IdP ではなく、ここに表示されていても IdP の選択が間違っているわけではありません。SSO のドメイン確認を参照してください。
ルートドメインかサブドメインかにかかわらず、ユーザーのメールアドレスの @ の後に続くドメインを確認してください。チームが name@example.com でサインインする場合は、example.com を確認します。name@mail.example.com でサインインする場合は、mail.example.com を確認します。確認のためだけに用意した別のチャレンジ用ドメインなど、異なるドメインで代用することはできません。ルートドメインを確認してもそのサブドメインは対象にならず、サブドメインを確認してもルートドメインは対象にならないため、ユーザーがサインインに使用する各ドメインを確認してください。確認が完了すると、SSO 接続は他の確認済みドメインと同様にそのドメインも対象にします。複数のドメインを確認するを参照してください。
はい。ドメインは組織に対して確認され、組織の SSO 接続はすべての確認済みドメインを対象にします。ユーザーがサインインに使用する各ドメインを確認すると、Profound はいずれのドメインのユーザーも IdP に誘導します。ドメインを追加するには、Settings > Organization > Enterprise Setup を開き、Single Sign-On カードで Add domain を選択します。ポータルがドメイン確認のステップで開きます。ドメインごとに独自の TXT レコードが発行されるため、各レコードは発行されたドメインに追加してください。複数のドメインを確認するを参照してください。
ユーザーのメールドメインによって異なります。
  • メールドメインが確認済みドメインのいずれかであるユーザーは、直接 IdP に誘導されます。SSO を有効にすると、これらのユーザーのパスワードサインインは無効になります。ロールアウト期間中など、これらのユーザーに SSO と併せてパスワードサインインを許可するには、カスタマーサポートにお問い合わせください。
  • 代理店や業務委託先のアカウントなど、他のドメインのユーザーは、引き続きメールアドレスとパスワードでサインインできます。
SSO が有効な場合のサインインを参照してください。Directory Sync を使用している場合は、ディレクトリと併せて外部ユーザーを引き続き追加する方法を確認してください。
確認済みドメインのユーザーは IdP を通じてのみサインインするため、IdP が復旧するまで Profound にサインインできません。管理者向けの個別の緊急用パスワードはありません。障害が長引く場合は、カスタマーサポートにお問い合わせください。Profound は組織の SSO の強制を無効にしてユーザーがメールアドレスとパスワードでサインインできるようにし、IdP の復旧後に再び有効にできます。これまで SSO でのみサインインしてきたユーザーはまだパスワードを持っていないため、サインインページの Forgot password? でパスワードを設定します。
現在はできません。ロールとカテゴリーへのアクセスは Profound で管理します。Directory Sync でプロビジョニングされたメンバーには最初に Member ロールが付与され、その後 Admin が Profound でロールとカテゴリーへのアクセスを変更します。
SSO が扱うのはサインインのみです。SSO 自体はユーザーを組織に追加しないため、ユーザーが IdP を通じてサインインするには、メンバーであるか、保留中の招待を受けている必要があります。ユーザーの手動招待をやめるには、Directory Sync(SCIM) を設定してください。IdP が Profound に割り当てたすべてのユーザーをプロビジョニングし、IdP で割り当て解除または無効化されたユーザーのアクセスを削除します。SSO と Directory Sync は独立しているため、どちらか一方または両方を有効にできます。両方を有効にすると、新しいメンバーは IdP から直接サインインし、招待メールは送信されません。
いいえ。テストは自社の Profound 組織で行い、別のテスト用組織は必要ありません。本番環境で設定を試しても問題ありません。
  • 設定の最後のステップで SSO を有効にするまで、チームは通常どおりサインインを続けられます。
  • ポータルのテストサインインは、テストに使用したアカウントにのみ影響し、必要なだけ何度でも実行できます。
  • いつでもポータルを終了して再開でき、Reset Connection を選択して最初からやり直すこともできます。
Profound はどちらもサポートしています。IdP と IT チームが希望するプロトコルを使用してください。ポータルの手順は両方に対応しており、それ以外の設定手順は同じです。プロトコルまたは IdP を切り替えるには、SSO 設定ポータルで Reset Connection を選択してプロンプトに従い、新しい選択で IdP のステップを再度開始します。チームのサインインに影響しないよう、SSO を有効にする前に行ってください。Okta のカスタム認可サーバーなど、自社で運用する認可サーバーを通じてユーザーが認証する場合は、カスタム OIDC オプションを使用してください。カスタム OIDC 接続で SSO を設定するを参照してください。
はい、IdP で行えます。SSO では、IdP がユーザーを認証し、Profound はその結果を受け入れます。Profound は SSO ユーザーに対して、多要素認証(MFA)、管理対象デバイスの要件、ネットワークまたは場所の制限、パスワードルールの設定・強制・検証を行わないため、これらは IdP で設定してください。Profound のパスワードサインインでは MFA を利用できません。ID プロバイダーが処理する管理項目を参照してください。