契約・組織
SSO設定（Google・Microsoftでのログイン）
前提
この設定を変えられるのは、サービス運営者（スーパー管理員）だけです。プロジェクトの管理員の管理画面には、「SSO設定」のメニューは出ません。プロジェクトの管理員がやることは、この記事の「管理員が知っておくこと」にある、メンバーへの案内だけです。
SSOは、GoogleまたはMicrosoftのアカウントで、CtoSにログインできる機能です。運営者が、各社から発行されたクライアントIDとシークレットを登録すると、ログイン画面に「Googleでログイン」「Microsoftでログイン」のボタンが出ます。これは、サービス全体に共通の設定で、プロジェクトごとの設定ではありません。
会社のIdP（Okta・Microsoft Entra IDなど）でログインさせたいとき この記事の設定は、サービス全体に共通のものです。プロジェクトごとに、自分たちのIdPを使うときは、プロジェクトの管理員が、「SSO（組織のIdP）」で設定します（「自分たちのIdPでログインさせる（SSO・OpenID Connect）」を参照）。
運営者の設定手順
- 管理画面の「アカウント・サポート」→「SSO設定（Google・Microsoft）」を開きます。
- 画面の上の「各社の管理画面に登録するURL」を確かめます。ここに、GoogleとMicrosoftそれぞれの、リダイレクトURI（コールバックURL）が表示されています。
- 各社の管理画面で、アプリ（OAuthクライアント）を作り、そのURLをリダイレクトURIとして登録します。
- Google: Google Cloudの「APIとサービス → 認証情報」で、OAuthクライアントID（ウェブアプリケーション）を作ります。
- Microsoft: Microsoft Entra ID（Azure）の「アプリの登録」でアプリを登録し、「証明書とシークレット」で、クライアントシークレットを作ります。
- 発行された値を、CtoSの画面の「クライアントID」「クライアントシークレット」に入れます。Microsoftは、「テナント」も指定します。
- 「このログインを使う」がオンになっていることを確かめて、「保存」します。
- 画面の上のカードが、「ログイン画面に表示中」に変わったことを確かめます。
設定する項目
| 項目 | 意味 |
|---|---|
| このログインを使う | オフにすると、ログイン画面のボタンを出しません。IDとシークレットは消えません。初期値はオンです |
| クライアントID | 各社が発行するID |
| クライアントシークレット | 各社が発行する秘密の値。暗号化して保存し、画面には表示しません |
| 保存済みのシークレットを削除する | 保存済みのシークレットがあるときだけ表示されます。チェックして保存すると、削除されます |
| テナント（Microsoftのみ） | 空なら「organizations」（会社・学校のアカウントだけ）。「common」にすると個人のアカウントも使えます。特定の組織だけに絞るときは、その組織のテナントIDを入れます |
画面の上のカードで、現在の状態を確認できます。「クライアントID 設定済み／未設定」「シークレット 設定済み／未設定」、運営がオフにしている場合はその旨が表示されます。ボタンがログイン画面に出るのは、IDとシークレットの両方がそろい、「このログインを使う」がオンのときだけです。
シークレットは、空のまま保存すれば、いまの値のままです 変えるときだけ、新しい値を入力します。保存済みのシークレットは、あとから画面で読み返せません。控えは、各社の管理画面で確認してください。
環境変数で設定されている項目は、画面では変えられません サーバーの環境変数にIDやシークレット、テナントが設定されている場合は、環境変数が優先され、その項目は入力できなくなります。画面にも、その旨が表示されます。
独自ドメインでのログイン
SSOのコールバックを受け取るホストは、1か所だけです。各社に登録するリダイレクトURIは、そのホストのURL1つで足ります。
プロジェクトが独自ドメインを使っている場合も、その独自ドメインのログイン画面に、「Googleでログイン」「Microsoftでログイン」のボタンが出ます。ボタンを押すと、いったんSSOのホストを経由して認証し、1回限りの引き換えコードで、元の独自ドメインに戻ってログインが完了します。各社の管理画面に、独自ドメインを登録する必要はありません。
- 戻れるのは、CtoSに登録済みのプロジェクトの独自ドメイン・サブドメインだけです。未登録のホストには戻りません。
- プロフィール画面での連携・解除は、SSOのホスト側で行います。
管理員が知っておくこと（メンバーへの案内）
| 場面 | 動き |
|---|---|
| 初めてSSOでログインする | 先に、パスワードでログインして、プロフィール画面の「連携する」で、GoogleまたはMicrosoftのアカウントを連携しておきます。連携済みのアカウントだけが、SSOでログインできます |
| 連携していないアカウントで押した | 「このアカウントと連携している会員が見つかりません」と表示されます。新しい会員は、SSOだけでは作られません |
| Googleで、すでに登録済みのメールアドレスと同じ | Googleがメールアドレスを確認済みとしていて、CtoSの会員のメールアドレスも確認済みなら、初回のログインで、自動的に連携されます。Microsoftは、自動では連携されません |
| 二段階認証を設定している | SSOではログインできません。パスワードと認証コードで、ログインします |
| 連携をやめたい | プロフィール画面で「連携を解除」します |
ボタンが出ない、または動かないとき ボタンが出ないときは、運営者のSSO設定が未完了（IDまたはシークレットが未設定）か、運営者がオフにしています。ボタンを押して失敗するときは、各社に登録したリダイレクトURIが、画面に表示されているURLと一致しているかを確認します。プロジェクトの管理員は、サポートチケットで運営者に連絡してください（「サポートチケットで運営に問い合わせる」を参照）。
あわせて読みたい
- アカウント登録・ログイン・パスワードの再発行
- サポートチケットで運営に問い合わせる