SSO & SCIM. エンタープライズID、摩擦ゼロ。

ElidoはSSOおよびSCIMブローカーとしてWorkOSを使用しており、Okta、Azure AD / Entra ID、Google Workspace、OneLogin、PingFederate、Shibboleth、ADFS、JumpCloud、およびあらゆるSAML 2.0準拠のIdPをサポートしています。Google WorkspaceやAzureなどのプロバイダーについては、OIDC接続もサポートされています。お使いのIdPがWorkOSの標準リストにない場合でも、WorkOSの'Generic SAML'接続タイプを使用すれば、あらゆるSAML 2.0 SP開始フローに対応可能です。リストにない特定のIdP接続が必要な場合は、お問い合わせください。

JIT (Just-in-Time) プロビジョニングは、ユーザーの初回SSOログイン時にElidoアカウントを作成します。事前のプロビジョニングが不要なためセットアップは簡単ですが、誰がログインできるかの制御はできません（有効なSSOアサーションを持つ全員にアカウントが付与されます）。SCIMプロビジョニングはIdP側で制御可能です。プロビジョニングされたグループ内のユーザーのみがログインでき、アカウントは初回ログイン前に作成されます。アクセスに事前承認が必要なエンタープライズ環境では、SCIMが推奨されます。SCIMが有効な場合、JITプロビジョニングは無効になります。

ワークスペースのSSO設定で、IdPグループをElidoのロールにマップします。例：'Oktaグループ: Elido Admins' → 'Elidoロール: Admin'、'Oktaグループ: Elido Members' → 'Elidoロール: Member'。Elido内でのユーザーのロールはIdP의 グループメンバーシップに従います。OktaでAdminsグループからMembersグループに移動された場合、次回のSCIM同期（通常60秒以内）でElidoのロールもダウングレードされます。複数のグループに所属しているユーザーは、一致するマッピングの中で最も権限の高いロールが適用されます。

SSOは、強制（全ユーザーがSSO経由でサインインする必要があり、パスワードサインインは無効化される）またはオプション（ユーザーがSSOかメール+パスワードを選択できる）に設定できます。Businessプランでは、ワークスペースのSSO設定で強制を構成できます。強制を有効にすると、有効なSSOアイデンティティを持たないユーザーはロックアウトされます。強制を有効にする前に、SCIMプロビジョニングまたはJITによってアカウントが作成されていることを確認してください。管理者アカウントは、緊急時のバックドアとしてSSO強制の対象外に設定することも可能です。

SCIMがユーザーを無効化すると、Elidoはそのユーザーが作成したすべてのAPIキーを停止します。停止されたキーによる認証は HTTP 401 を返します。キーは削除されず、監査目的でワークスペース管理者が引き続き確認でき、'停止中 - オフボーディングされたユーザー' というステータスラベルが表示されます。個人用APIキー（ワークスペースのサービスキーではない）をサービスアカウントで使用していた場合、キーの停止によってその連携が切断されますが、これは意図的な動作です。本番環境の連携には、ユーザー個人のAPIキーではなくワークスペースレベルのサービスキーを使用してください。

SSOとSCIMはBusinessプラン専用の機能です。Proワークスペースでは、Elidoに組み込まれた認証（当社の認証レイヤーによるメール+パスワード、およびオプション Google/GitHub OAuth）を使用します。調達の承認要件としてSSOが必須である場合は、Businessプランが対象となります。契約前にSSOを評価したい場合は、Businessプランのトライアルについてお問い合わせください。

各Elidoワークスペースは独自のSSO構成を持っています。ブランドやビジネスユニットごとに複数のワークスペースを運用している場合、それぞれ個別にIdP接続とSCIMプロビジョニングを設定します。ユーザーは複数のワークスペースのメンバーになることができ、それぞれで異なるロールを持つことができます。IdPのアイデンティティは共通ですが、グループとロールのマッピングはワークスペースごとに評価されます。共有のOktaグループを、あるワークスペースではAdminに、別のワークスペースではMemberにマップすることも可能です。

はい。失敗したSSO試行（無効なSAMLアサーション、セッション切れ、JIT無効時のSCIMアカウント不足など）は、理由コードとともにワークスペースの監査トレールに記録されます。これは特定のユーザーがログインできない原因を特定したり、SSOへのブルートフォース攻撃を検知したりするのに役立ちます。閾値を超えたIPアドレスからの失敗試行は、ワークスペースアラートをトリガーします（ワークスペースのセキュリティ設定で構成可能）。