シングルサインオン（SSO）

SAML ベースのシングルサインオン（SSO）により、ユーザーは選択した ID プロバイダー（IdP）を介して Miro にアクセスできます。

利用可能なプラン：Business プラン、Enterprise プラン
必要な役割：会社の管理者

SAML SSO の仕組み

1. Miro のユーザーが SSO を使用して Miro にログインしようとすると、Miro は SAML（Security Assertion Markup Language）リクエストを ID プロバイダー（IdP）に送信します
2. ID プロバイダーは、ユーザーの認証情報を検証し、Miro に応答を送り、メンバーの ID を確認します
3. Miro は応答を確認してアクセスを許可し、メンバーは Miro アカウントにログインできるようになります

SSO を有効にした後はどうなりますか？

初めて SSO を有効にする

初めて SSO を設定しても、既存のユーザーは中断されることなく Miro で作業を続けることができます。ただし、次にログアウトしたときやセッションの有効期限が切れたとき、または新しいデバイスからログインしようとしたときは、SSO でログインする必要があります。

ユーザーに対しては、マジックリンク、Google、Facebook、Slack、Apple ID、O365 などの他のログインオプションが無効になります。

アイドルセッション タイムアウト

アイドルセッション タイムアウトを有効にしている場合、ユーザーは自動的に Miro プロフィールからログアウトされ、再度 SSO で認証する必要があります。

複数のチームと組織

ユーザーが複数の Miro チームや組織に所属している場合、同じ IdP を認証に使用するように設定できます。

SSO によるログインが必要なユーザー

SSO によるログインが必要なのは、Enterprise サブスクリプションの一員で、かつ SSO 設定にドメインが記載されているアクティブなユーザーです。

• SSO 設定に追加されていないドメインから Miro にアクセスするユーザーは、SSO でログインする必要はありません。代わりに、標準のログイン方法でログインしてください。
  
• Miro の Enterprise サブスクリプションに含まれていない検証済みドメインのユーザーは、ジャストインタイム（JIT）プロビジョニングが有効になっている場合にのみ、シングルサインオン（SSO）でログインする必要があります。これらのユーザーは事前に設定されたチームに自動的に追加され、ログインに SSO を使用する必要があります。
• 管理対象ユーザー、検証済みドメイン内のユーザーすべてを指します。これには、Enterprise サブスクリプション外のチームにも所属している管理対象ユーザーが含まれます。特定のチームへのアクセスを制限するには、ドメイン制御の設定を更新してください。

  ✏️ Enterprise サブスクリプションでは、組織に検証済みドメインと未検証ドメインの両方を登録できます。検証済みドメインのユーザーは管理対象ユーザーとなり、SSO で認証する必要があります。同じ組織の未検証ドメインのユーザーは、マジックリンクまたはソーシャルアカウントで認証されます。

ユーザーの詳細情報を管理する

ログインに成功すると、ID プロバイダーによって、Miro 内のユーザーデータの紐づけが自動的に行われます。名前などの一部のパラメーターは変更できません。部門やプロフィールの写真などの他のパラメーターは任意です。

• Miro のユーザー名は、ユーザー認証が成功するたびに更新されます。Miro のユーザー名の設定について詳しくは、高度な SSO 設定をご覧ください。ユーザーのメールアドレスを変更する必要がある場合は、SCIMでのみ変更できます。SCIM をご利用でない場合は、サポートチームまでご連絡ください。

SSO 設定におけるドメインの選択

💡 ロックアウトを防ぐには、SSO 設定にリストされているドメイン外のドメインを持つメールアドレス（例：acmebreaktheglass@gmail.com）で、「break the glass」ユーザーを作成します。あるいは、サポートに連絡して組織全体の SSO を無効化することもできます。

SSO の設定

ID プロバイダー（IdP）

ご希望の ID プロバイダーを使用してください。以下は、最もよく使われている ID プロバイダーのプラットフォームです。

• OKTA
• Entra ID（Microsoft）
• OneLogin
• ADFS（Microsoft）
• Auth0
• Google SSO
• Jumpcloud SSO

IdP の設定方法

💡 Enterprise 組織で複数の ID プロバイダ（IdP）を追加したい場合は、非公開ベータに登録してください。

1. ID プロバイダーの設定パネルに移動し、プロバイダーの指示に従って、シングルサインオンを設定します。
2. 以下のメタデータを追加します。オプションのフィールドは飛ばし、デフォルト値はそのままにしておくことをお勧めします。

設定仕様（メタデータ）

⚠️ 暗号化やシングルログアウトには対応していません。

Miro SP メタデータファイル

以下の Miro SP メタデータをコピーして、XML ファイルとして保存してください。

   urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress    Miro Miro https://miro.com/   サポートチーム support@help.miro.com  

ユーザーの認証情報

以下にない追加のフィールドは必須ではありません。オプションのフィールドは省略し、デフォルト値はそのままにしておくことをお勧めします。

Miro の設定で SSO を有効にする方法

⚠️ 設定で SSO を有効化しても、すぐにユーザーの SSO が有効になるわけではありません。SSO のログインは、ドメインが確認された後に利用できます。次に、次のセクションで SSO を設定する際は、確認済みのドメインを必ず追加してください。

Miro の設定で SSO を設定する方法

シングルサインオン設定で SSO/SAML 機能をオンにした後、以下のフィールドに入力します。

1. SAML ログイン URL（多くの場合、エンドユーザーが認証情報を入力する ID プロバイダーのページが開きます）
2. 公開鍵の x.509 証明書（ID プロバイダーが発行したもの）
3. SAML サーバー経由で認証できる、または認証が必要なすべてのドメインおよびサブドメイン（ACME.com または ACME.dev.com）
4. 検証済みドメインを追加します。これらのドメインのユーザーは SSO を使用してログインします。ドメインを選択をクリックして、リストに追加するドメインを選択します。

Miro の SSO 設定

SSO / SAML 証明書の有効期限と更新

公開鍵の x.509 証明書の有効期限が切れている場合でも、SSO は引き続き機能しますが、Miro を安全に使い続けるためには、更新することを強くお勧めします。公開鍵の x.509 証明書は、ID プロバイダーと Miro の間で共有される情報のセキュリティー、プライバシー、信頼性、完全性を保証します。

こうした証明書は、ID プロバイダーで指定（および確認）できる期間のみ有効です。有効期限を確認するには、ID プロバイダーにご確認ください。

✏️ Miro は管理者に、SSO 証明書の有効期限の 60 日、30 日、7 日前にメールでリマインダーを送信します。管理者は有効期限切れ後に一度だけメールを受け取ります。

このプロセスには 2 つの手順があります。

1. ID プロバイダーで証明書を更新します。これを行う方法については、プロバイダーの指示をご確認ください。
2. 更新された証明書を Miro SSO 設定に追加します。

更新された証明書を Miro に追加

⚠️ ログイン時の混乱を避けるため、x.509 証明書の交換は、組織内であまり忙しくない期間（週末や営業時間後など）に行うことをお勧めします。

1. 次の順に移動します: 会社の設定 > 認証 > シングルサインオン
2. Key x.509 Certificate フィールド内の内容を削除します
3. このフィールドに新しいキーを貼り付けます
4. スクロールして下に移動し、保存 をクリックします
   Miro での x.509 証明書の更新

SSO 設定のテスト

SSO の設定を有効にする前にテストして、ログインで発生する可能性のある問題を確認できます。

1. 上記の手順を完了し、SSO 設定を構成します。
2. SSO 設定をテスト ボタンをクリックします。
3. 結果を確認してください：

• 問題が見つからない場合、SSO 設定のテストに成功しましたという確認メッセージが表示されます。
• 問題が見つかった場合、SSO 設定のテストに失敗しましたという確認メッセージが表示され、その後に修正方法を示す詳細なエラーメッセージが表示されます。

SSO 設定のテスト

オプションの高度な SSO 設定

オプション設定は SSO 設定に精通している上級ユーザー向けのセクションです。

新規ユーザー向けのジャストインタイム プロビジョニング

ユーザーが招待を待ったり、長いオンボーディングを受けたりせずに、すぐに Miro を使い始められるようにします。また、管理するサブスクリプションの外で Free チームが作成されるのを防げます（ドメイン制御が必要です）。SSO は、新規ユーザーのジャストインタイム（JIT）プロビジョニングを有効にするために必要です。JIT でプロビジョニングされたすべてのユーザーには、サブスクリプションのデフォルトライセンスが割り当てられます:

ジャストインタイム プロビジョニングを有効にする方法

ジャストインタイム プロビジョニングを有効にすると、Miro に登録したすべての新規ユーザーに自動的に適用されます。ただし、既存の Miro ユーザーがプランに参加するには招待が必要です。

1. [SSO 設定] に移動します
2. リストにあるドメインの新規登録ユーザーを全員 Enterprise アカウントに自動的に追加するにチェックを入れます
3. 新規登録ユーザーのデフォルトチームを選択 をドロップダウンから選びます
4. 保存をクリックします

シングルサインオン（SSO）設定に特定のドメインをリストすると、そのドメインに登録したユーザーは、自動的に Enterprise サブスクリプションに追加されます。ジャストインタイム（JIT）設定で選択したチームに割り当てられます。

Enterprise のインテグレーション ページでジャストインタイム プロビジョニング機能を有効にする

設定で記載したドメインの新規登録ユーザーは、Miro 登録時に、ご利用の Enterprise 傘下でこの特定のチームに自動的に追加されます。

⚠️ Enterprise プランでは、チームの公開設定を有効にすると、このチームは公開されたチームのリストにも表示されます。

デフォルトのユーザー名として DisplayName を設定

デフォルトで Miro は FirstName + LastName の属性を使用します。あるいは、代わりに DisplayName の使用をリクエストできます。この場合、ユーザーの SAML 応答に DisplayName が存在する場合、Miro はこれを使用します。

DisplayName が存在せず、FirstName + LastName がある場合、Miro は FirstName + LastName. を使用します。SSO の優先ユーザー名を DisplayName にするには、Miro サポートにお問い合わせください。

SAML 通信にこの 3 つの属性がいずれも存在しない場合、Miro はユーザーのメールアドレスをユーザー名として表示します。

予期したものと異なるものが表示された場合は、SSO で認証する必要があるかもしれません。あるいは、SAML 応答に更新に必要な値が含まれていない可能性があります。

IdP からユーザープロフィール写真を同期

⚠️ 一般的に、SCIM を有効にしていない場合、または IdP が ProfilePicture 属性をサポートしていない場合（例えば、Entra が ProfilePicture をサポートしていません）、このオプションを有効にすることをお勧めします。その他の場合は、SCIM 経由で ProfilePicture を渡し、即時に更新することをお勧めします。

この設定がオンになっている場合：

• IdP 側で設定したプロフィール写真は、ユーザーの Miro のプロフィール写真として設定されます。
• ユーザーは、自分でプロフィール写真を更新または削除することはできません。

ユーザー名と同じように、Miro でデータを変更するオプションは即時になくなりますが、データの同期は即時には行われません。ユーザーの次の SSO 認証の際に、IdP 側は更新情報を Miro に送信します（ただし、その時点で「IdP からユーザープロフィール写真を同期する」の設定がまだ有効である場合に限ります）。

IdP でプロフィール写真が設定され、SAML 通信でその属性を移したい場合、Miro は以下のスキーマを求めます。

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

SSO とデータレジデンシー

Miro のデータレジデンシー サポートを利用しており、専用の URL（例: workspacedomain.miro.com）がある場合は、ID プロバイダーの設定を調整する必要があります。

✏️ オーストラリア、日本、米国にデータレジデンシーがある組織では、ソーシャルログインは利用できません。データレジデンシーの詳細は、Miro のデータレジデンシーをご覧ください。

これを行うには、組織 ID を URL に追加する必要があります。

組織 ID は、Miro のダッシュボードから、右上の プロフィール > 設定 をクリックすると、アドレスバーの URL に表示されています。

SSO 外のユーザーに対する多要素認証（2FA）の設定

2 要素認証（2FA）は、追加のセキュリティーレイヤーを提供します。2FA では、ユーザーはログイン時に本人確認のため、追加のステップを完了する必要があります。この追加措置により、許可されたユーザーのみがサブスクリプションにアクセスできるようになります。
詳しくは2 要素認証管理者ガイドをご覧ください。

よくある質問と問題の対処方法

Miro にログインしようとしたときに、ユーザーの一人または全員にエラーが発生した場合は、よくあるエラーリストと解決方法をご確認ください。