> ## Documentation Index
> Fetch the complete documentation index at: https://docs.tryprofound.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SSO FAQ

> シングルサインオン(SSO)の設定、ドメイン、組織、ユーザープロビジョニングに関するよくある質問

<AccordionGroup>
  <Accordion title="複数の Profound 組織があります。SSO はどのように設定すればよいですか?">
    SSO は組織ごとに設定します。各組織には独自の SSO 接続が必要です。つまり、組織ごとに確認済みのドメインと、IdP 内の Profound アプリケーションが必要になります。複数の組織に所属するユーザーには、通常、IdP 内に組織ごとの Profound タイルが表示され、各組織にはそれぞれの接続を通じてサインインします。

    同じドメインを複数の組織の SSO 接続に使用できます。別の組織ですでに確認済みのドメインで 2 つ目の組織の SSO を設定する前に、[カスタマーサポート](mailto:support@tryprofound.com)にお問い合わせください。Profound 側で先に設定を調整する必要があります。また、同じ ID プロバイダーであっても、接続ごとに異なるプロトコルを使用できます。

    <img src="https://mintcdn.com/profound-37face47/0oMqQAjfTDxpRjFF/images/enterprise-connections/sso-multiple-organizations.webp?fit=max&auto=format&n=0oMqQAjfTDxpRjFF&q=85&s=45dd57597fb68fd02c8413a34c0e479c" alt="各 Profound 組織が独自の SSO 接続を持つことを示す図: ID プロバイダー A は OIDC で組織 1 に、SAML で組織 2 に接続し、ID プロバイダー B と C はそれぞれ別の組織に接続している" width="2000" height="1481" data-path="images/enterprise-connections/sso-multiple-organizations.webp" />

    各組織の SSO 接続を設定するには、[SSO を設定する](/ja-jp/platform-config/authentication/configure-sso)の手順に従ってください。カスタム認可サーバーを使用している場合は、[カスタム OIDC 接続で SSO を設定する](/ja-jp/platform-config/authentication/sso-custom-oidc)を参照してください。

    適切な SSO 接続を通じて適切な組織にユーザーを追加するには、その組織の設定にある [People ページ](/ja-jp/platform-config/people/add-and-manage-org-members)からユーザーを招待してください。
  </Accordion>

  <Accordion title="Entity ID、ACS URL、メタデータ、リダイレクト URI などのサービスプロバイダーの詳細はどこで入手できますか?">
    SSO 設定ポータルが組織用にこれらの値を生成します。Profound は固定の接続値を公開しておらず、サポートにリクエストする必要もありません。

    値を取得するには、**Settings** > **Organization** > **Enterprise Setup** を開き、**Configure SSO** を選択します。ドメインを確認し、ID プロバイダー(IdP)を選択すると、IdP にコピーする値がポータルに表示されます。

    * **Security Assertion Markup Language(SAML)**: ACS URL、Service Provider Entity ID、Metadata URL
    * **OpenID Connect(OIDC)**: Authorized Redirect URI

    これらの値は SSO 接続ごとに生成され、Profound の他の場所には表示されません。[SSO を設定するのステップ 4](/ja-jp/platform-config/authentication/configure-sso#step-4) を参照してください。
  </Accordion>

  <Accordion title="DNS TXT レコードの追加を求められるのはなぜですか?">
    ドメイン確認と IdP の設定は別々のステップです。DNS TXT レコードは、ユーザーがサインインに使用するメールドメインを組織が所有していることを証明します。IdP は、ドメインの確認後、次のステップで接続します。

    ポータルの DNS の手順には、Cloudflare や AWS Route 53 など、ドメインの DNS レコードをホストしているプロバイダーの名前が表示されます。このプロバイダーは IdP ではなく、ここに表示されていても IdP の選択が間違っているわけではありません。[SSO のドメイン確認](/ja-jp/platform-config/authentication/sso-domain-verification)を参照してください。
  </Accordion>

  <Accordion title="ルートドメインの代わりに、サブドメインや別のドメインを確認できますか?">
    ルートドメインかサブドメインかにかかわらず、ユーザーのメールアドレスの @ の後に続くドメインを確認してください。チームが `name@example.com` でサインインする場合は、`example.com` を確認します。`name@mail.example.com` でサインインする場合は、`mail.example.com` を確認します。確認のためだけに用意した別のチャレンジ用ドメインなど、異なるドメインで代用することはできません。

    ルートドメインを確認してもそのサブドメインは対象にならず、サブドメインを確認してもルートドメインは対象にならないため、ユーザーがサインインに使用する各ドメインを確認してください。確認が完了すると、SSO 接続は他の確認済みドメインと同様にそのドメインも対象にします。[複数のドメインを確認する](/ja-jp/platform-config/authentication/sso-domain-verification#verify-multiple-domains)を参照してください。
  </Accordion>

  <Accordion title="1 つの SSO 接続に複数のメールドメインを紐付けられますか?">
    はい。ドメインは組織に対して確認され、組織の SSO 接続はすべての確認済みドメインを対象にします。ユーザーがサインインに使用する各ドメインを確認すると、Profound はいずれのドメインのユーザーも IdP に誘導します。

    ドメインを追加するには、**Settings** > **Organization** > **Enterprise Setup** を開き、**Single Sign-On** カードで **Add domain** を選択します。ポータルがドメイン確認のステップで開きます。ドメインごとに独自の TXT レコードが発行されるため、各レコードは発行されたドメインに追加してください。[複数のドメインを確認する](/ja-jp/platform-config/authentication/sso-domain-verification#verify-multiple-domains)を参照してください。
  </Accordion>

  <Accordion title="SSO を有効にした後も、代理店や業務委託先など IdP 外のユーザーはメールアドレスとパスワードでサインインできますか?">
    ユーザーのメールドメインによって異なります。

    * メールドメインが確認済みドメインのいずれかであるユーザーは、直接 IdP に誘導されます。SSO を有効にすると、これらのユーザーのパスワードサインインは無効になります。ロールアウト期間中など、これらのユーザーに SSO と併せてパスワードサインインを許可するには、[カスタマーサポート](mailto:support@tryprofound.com)にお問い合わせください。
    * 代理店や業務委託先のアカウントなど、他のドメインのユーザーは、引き続きメールアドレスとパスワードでサインインできます。

    [SSO が有効な場合のサインイン](/ja-jp/platform-config/authentication/sign-in-security#sign-in-when-sso-is-enabled)を参照してください。Directory Sync を使用している場合は、ディレクトリと併せて[外部ユーザーを引き続き追加する](/ja-jp/platform-config/people/directory-sync#membership-source)方法を確認してください。
  </Accordion>

  <Accordion title="IdP がダウンした場合はどうなりますか?管理者はどのようにアクセスできますか?">
    確認済みドメインのユーザーは IdP を通じてのみサインインするため、IdP が復旧するまで Profound にサインインできません。管理者向けの個別の緊急用パスワードはありません。

    障害が長引く場合は、[カスタマーサポート](mailto:support@tryprofound.com)にお問い合わせください。Profound は組織の SSO の強制を無効にしてユーザーがメールアドレスとパスワードでサインインできるようにし、IdP の復旧後に再び有効にできます。これまで SSO でのみサインインしてきたユーザーはまだパスワードを持っていないため、サインインページの **Forgot password?** でパスワードを設定します。
  </Accordion>

  <Accordion title="IdP のグループを Profound のロールやカテゴリーへのアクセスにマッピングできますか?">
    現在はできません。ロールとカテゴリーへのアクセスは Profound で管理します。[Directory Sync](/ja-jp/platform-config/people/directory-sync) でプロビジョニングされたメンバーには最初に Member ロールが付与され、その後 Admin が Profound で[ロール](/ja-jp/platform-config/people/roles-and-permissions)とカテゴリーへのアクセスを変更します。
  </Accordion>

  <Accordion title="SSO はユーザーアカウントを自動的に作成しますか?それとも全員を招待する必要がありますか?">
    SSO が扱うのはサインインのみです。SSO 自体はユーザーを組織に追加しないため、ユーザーが IdP を通じてサインインするには、メンバーであるか、保留中の招待を受けている必要があります。

    ユーザーの手動招待をやめるには、[Directory Sync(SCIM)](/ja-jp/platform-config/people/directory-sync) を設定してください。IdP が Profound に割り当てたすべてのユーザーをプロビジョニングし、IdP で割り当て解除または無効化されたユーザーのアクセスを削除します。SSO と Directory Sync は独立しているため、どちらか一方または両方を有効にできます。両方を有効にすると、新しいメンバーは IdP から直接サインインし、招待メールは送信されません。
  </Accordion>

  <Accordion title="IT チームが本番環境に手を加える前に設定を試せるテスト用またはサンドボックスの組織はありますか?">
    いいえ。テストは自社の Profound 組織で行い、別のテスト用組織は必要ありません。

    本番環境で設定を試しても問題ありません。

    * 設定の最後のステップで SSO を有効にするまで、チームは通常どおりサインインを続けられます。
    * ポータルのテストサインインは、テストに使用したアカウントにのみ影響し、必要なだけ何度でも実行できます。
    * いつでもポータルを終了して再開でき、**Reset Connection** を選択して最初からやり直すこともできます。
  </Accordion>

  <Accordion title="SAML と OIDC のどちらを使用すべきですか?設定を開始した後に切り替えることはできますか?">
    Profound はどちらもサポートしています。IdP と IT チームが希望するプロトコルを使用してください。ポータルの手順は両方に対応しており、それ以外の設定手順は同じです。

    プロトコルまたは IdP を切り替えるには、SSO 設定ポータルで **Reset Connection** を選択してプロンプトに従い、新しい選択で IdP のステップを再度開始します。チームのサインインに影響しないよう、SSO を有効にする前に行ってください。

    Okta のカスタム認可サーバーなど、自社で運用する認可サーバーを通じてユーザーが認証する場合は、カスタム OIDC オプションを使用してください。[カスタム OIDC 接続で SSO を設定する](/ja-jp/platform-config/authentication/sso-custom-oidc)を参照してください。
  </Accordion>

  <Accordion title="SSO を通じて MFA、パスワードポリシー、デバイスやネットワークの制限を強制できますか?">
    はい、IdP で行えます。SSO では、IdP がユーザーを認証し、Profound はその結果を受け入れます。Profound は SSO ユーザーに対して、多要素認証(MFA)、管理対象デバイスの要件、ネットワークまたは場所の制限、パスワードルールの設定・強制・検証を行わないため、これらは IdP で設定してください。

    Profound のパスワードサインインでは MFA を利用できません。[ID プロバイダーが処理する管理項目](/ja-jp/platform-config/authentication/sign-in-security#controls-your-identity-provider-handles)を参照してください。
  </Accordion>
</AccordionGroup>