シングルサインオン（SSO） – Miro Help Center

SAML ベースのシングルサインオン（SSO）により、ユーザーは選択した IdP を介して Miro にアクセスできます。

利用可能なプラン：Business プラン、Enterprise プラン
必要な役割： 会社の管理者

SAML SSO の仕組み

Miro のユーザーが SSO を使用して Miro にログインしようとすると、Miro は SAML（Security Assertion Markup Language）リクエストを IdP に送信します。
IdP はユーザーの認証情報を検証し、メンバーの本人確認のために Miro に応答を返します。
Miro は応答を受け取り、アクセスを許可して、メンバーが Miro アカウントにログインできるようにします。

SSO を有効にした後はどうなりますか？

初めて SSO を有効にする

初めて SSO を設定しても、既存のユーザーは中断されることなく Miro で作業を続けることができます。ただし、次にログアウトしたとき、セッションの有効期限が切れたとき、または新しいデバイスからログインしようとしたときは、SSO でログインする必要があります。

標準のログイン + パスワード、Google、Facebook、Slack、AppleID、O365 などの他のログインオプションはユーザーに対して無効になります。

アイドルセッションタイムアウト

アイドルセッションタイムアウト, ユーザーは自動的に Miro プロフィールからログアウトされ、再度 SSO で認証する必要があります。

複数のチームと組織

ユーザーが複数の Miro チームや組織を持っている場合、認証に同じ IdP を使用するように設定できます。

SSO でのログインが必要なユーザー

SSO でのログインが必要なのは、Enterprise サブスクリプションに属し、かつSSO 設定にドメインが記載されているアクティブなユーザーです.

SSO 設定に追加されていないドメインから Miro にアクセスするユーザーは、SSO でログインする必要はありません。代わりに標準のログイン方法でログインしてください。
Miro の Enterprise サブスクリプションに含まれていない検証済みドメインのユーザーは、ジャストインタイム（JIT）プロビジョニングが有効になっている場合にのみ、シングルサインオン（SSO）でログインする必要があります。これらのユーザーは事前に設定されたチームに自動的に追加され、ログイン時に SSO を使用する必要があります。
管理ユーザーは、検証済みドメイン内のユーザーに該当し、Enterprise サブスクリプション外のチームにも所属している管理ユーザーを含みます。特定のチームへのアクセスを制限するには、ドメイン制御の設定を更新してください。

✏️ Enterprise サブスクリプションでは、組織は検証済みドメインと未検証ドメインを持つことができます。検証済みドメインでは、ユーザーは管理対象ユーザーとなり、SSO で認証する必要があります。同じ組織内の未検証ドメインのユーザーは、認証にメールアドレスとパスワードが必要です。

ユーザーの詳細情報を管理する

ログインに成功すると、ID プロバイダーによって、Miro 内のユーザーデータの紐づけが自動的に行われます。名前やパスワードなどの一部のパラメーターは変更できません。部門やプロフィールの写真などの他のパラメーターは任意です。

Miro のユーザー名は、ユーザー認証が成功するたびに更新されます。Miro のユーザー名の設定について詳しくは、高度な SSO 設定をご覧ください。ユーザーのメールアドレスを変更する必要がある場合は、SCIMでのみ変更できます。SCIM をご利用でない場合は、サポートチームまでご連絡ください。

SSO 設定におけるドメインの選択

💡 ロックアウトを防ぐには、SSO 設定に記載されているドメイン以外のドメインのメールアドレス（例：acmebreaktheglass@gmail.com）で、「break the glass」ユーザーを作成してください。あるいは、サポートに連絡すれば組織全体の SSO を無効化してもらえます。

SSO の設定

ID プロバイダー（IdP）

ご希望の ID プロバイダーを使用してください。最もよく使われている ID プロバイダーのプラットフォームには、以下のようなものがあります。

OKTA
Entra ID （Microsoft）
OneLogin
ADFS （Microsoft）
Auth0
Google SSO
Jumpcloud SSO

IdP の設定方法

💡 Enterprise 組織が複数の IdP を追加したい場合は、非公開ベータに登録してください。

1. ID プロバイダーの設定パネルに移動し、プロバイダーの指示に従って、シングルサインオンを設定します。

2. 以下のメタデータを追加します。オプションのフィールドは飛ばし、デフォルト値はそのままにしておくことをお勧めします。

設定仕様（メタデータ）

プロトコル	SAML 2.0
バインディング	SP から IdP への HTTP リダイレクト IdP から SP への HTTP ポスト
サービス URL（SP-initiated URL）別名：起動 URL、返信 URL、リライングパーティー SSO サービス URL、ターゲット URL、SSO ログイン URL、ID プロバイダーエンドポイントなど。	https://miro.com/sso/saml
アサーションコンシューマーサービス URL 許可されたコールバック URL、カスタム ACS URL、返信 URL としても知られています	https://miro.com/sso/saml
エンティティー ID 識別子、証明書利用者信頼識別子としても知られています	https://miro.com/
デフォルトのリレー状態	設定では空のままにしてください。
署名要件	未署名の SAML 応答（署名付きアサーション）署名付きの SAML 応答（署名付きアサーション）
SubjectConfirmation Method	"urn:oasis:names:tc:SAML:2.0:cm:bearer"
ID プロバイダーの SAML 応答には ID プロバイダーが発行した公開鍵の x509 証明書が含まれている必要があります。 SAML の詳細な例をご覧ください。Miro SP メタデータファイル（XML）をダウンロードします。

⚠️ 暗号化やシングルログアウトには対応していません。

ユーザーの認証情報

以下に示す以外の項目は必須ではありません。オプションの項目は省略し、デフォルト値はそのままにしておくことをおすすめします。

Miro の設定で SSO を有効にする方法

1. 会社の設定 > セキュリティー > シングルサインオン
2. SSO/SAML のトグルをオンにします

1. 会社の設定 > セキュリティーとコンプライアンス > 認証 > シングルサインオン
2. SSO/SAML のトグルをオンにします

⚠️ 設定で SSO を有効化しても、すぐにユーザーの SSO が有効になるわけではありません。SSO のログインは、あなたのドメインが確認された後に利用できます。次に、次のセクションで SSO を設定する際は、確認済みのドメインを必ず追加してください。

Miro の設定で SSO を設定する方法

シングルサインオン設定で SSO/SAML 機能をオンにした後、以下のフィールドに入力します。

SAML ログイン URL（多くの場合、エンドユーザーが認証情報を入力する ID プロバイダーのページが開きます）
公開鍵の x.509 証明書（ID プロバイダーが発行したもの）
SAML サーバー経由で認証できる、または認証が必要なすべてのドメインおよびサブドメイン（ACME.com または ACME.dev.com）
検証済みドメインを追加します。これらのドメインのユーザーは SSO でログインします を設定するには、ドメインを選択をクリックし、リストに追加するドメインを選択します。

Miro SSO 設定

SSO/SAML 証明書の有効期限と更新

公開鍵の x.509 証明書の有効期限が切れている場合でも、SSO は引き続き機能しますが、Miro を安全に使い続けるためには、更新することを強くお勧めします。公開鍵の x.509 証明書は、ID プロバイダーと Miro の間で共有される情報のセキュリティー、プライバシー、信頼性、完全性を保証します。

こうした証明書は、ID プロバイダーで指定（および確認）できる期間のみ有効です。詳細は ID プロバイダーにご確認ください。

✏️ Miro は SSO 証明書の有効期限の 60 日、30 日、7 日前に管理者へメールでリマインダーを送ります。証明書の有効期限切れ後には、管理者へ一度だけメールが送信されます。

このプロセスには 2 つの手順があります。

ID プロバイダーで証明書を更新します。これを行う方法については、プロバイダーの指示をご確認ください。
更新された証明書を Miro SSO 設定に追加します。

更新された証明書を Miro に追加

⚠️ ログイン時の混乱を避けるため、x.509 証明書の交換は、組織内であまり忙しくない期間（週末や営業時間後など）に行うことをお勧めします。

会社の設定 > 認証 > シングルサインオン に移動します
鍵の x.509 証明書 フィールド内のコンテンツを削除します
このフィールドに新しいキーを貼り付けます
下にスクロールし、保存をクリックします
Miro での x.509 証明書の更新

SSO 設定のテスト

SSO の設定を有効にする前にテストして、ログインで発生する可能性のある問題を確認できます。

上記の手順を完了し、SSO 設定を構成します.
「SSO 設定をテスト」ボタンをクリックします。
結果を確認してください:

問題が見つからない場合、確認メッセージ SSO 設定のテストに成功しました が表示されます。
問題が見つかった場合、確認メッセージ SSO 設定のテストに失敗しました が表示され、その後に修正すべき点を示す詳細なエラーメッセージが表示されます。

SSO 設定のテスト

オプションの高度な SSO 設定

オプション設定は SSO の設定に精通した上級ユーザー向けです。

新規ユーザー向けのジャストインタイムプロビジョニング

ユーザーが招待を待ったり、長いオンボーディング手続きを経たりせずに、すぐに Miro を利用開始できるようにします。また、管理しているサブスクリプション外に Free チームが作成されないようにできます（ドメイン制御が必要です）。新規ユーザーのジャストインタイム（JIT）プロビジョニングを有効にするには、SSO が必要です。JIT でプロビジョニングされたすべてのユーザーには、サブスクリプションのデフォルトライセンスが割り当てられます：

サブスクリプションタイプ	ライセンス種別	ライセンスが不足した場合の動作
Business プラン	フルライセンス	ユーザーは自動的に追加されず、JIT 機能は動作しなくなります。
Enterprise プラン（フレキシブルライセンスプログラムなし）	フルライセンス	ユーザーは制限付き無料ライセンスでプロビジョニングされます
フレキシブルライセンスプログラムを有効化した Enterprise プラン	Free または制限付き無料ライセンス	デフォルトのライセンスの設定によって異なります

ジャストインタイムプロビジョニングを有効にする方法

ジャストインタイムプロビジョニングを有効にすると、Miro に登録しているすべての新規ユーザーに自動的に適用されます。ただし、既存の Miro ユーザーがプランに参加するには招待が必要です。

[SSO 設定] に移動します
リストにあるドメインの新規登録ユーザーを全員 Enterprise アカウントに自動的に追加する にチェックを入れます。
ドロップダウンから、新規登録ユーザーのデフォルトチームを選択します
保存をクリックします

シングルサインオン（SSO）設定に特定のドメインをリストすると、そのドメインに登録したユーザーは、自動的に Enterprise サブスクリプションに追加されます。ジャストインタイム（JIT）設定で選択したチームに割り当てられます。

Copy of user_provisioning_jit_provisioning.png Enterprise のインテグレーションページでジャストインタイムプロビジョニング機能を有効にする

設定で記載したドメインの 新規登録ユーザー はすべて、Miro 登録時に、ご利用の Enterprise 傘下で この特定のチーム に自動的に追加されます。

⚠️ Enterprise プランでは、チームの公開設定を有効にすると、このチームは公開されたチームのリストにも表示されます。

デフォルトのユーザー名として DisplayName を設定

デフォルトで Miro は FirstName + LastName の属性を使用します。あるいは、DisplayName の使用をリクエストすることもできます。この場合、ユーザーの SAML 応答に DisplayName があると、Miro はこれを使用します。

DisplayName が存在しないが、FirstName + LastName がある場合、Miro は FirstName + LastName を使用します。DisplayName を希望の SSO ユーザー名にするには、Miro サポートにご連絡ください。

SAML 通信にこの 3 つの属性がいずれも存在しない場合、Miro はユーザーのメールアドレスをユーザー名として表示します。

設定	デフォルトのユーザー名
Miro ユーザー名	FirstName + LastName
代替設定	DisplayName（ユーザーの SAML リクエストに存在する場合）
フォールバック	FirstName + LastName（DisplayName が存在しない場合）
SSO 優先ユーザー名	DisplayName (Miro サポートにお問い合わせください)
属性が存在しない場合	メールアドレスがユーザー名として表示されます

予期したものと異なるものが表示された場合は、SSO で認証する必要があるかもしれません。あるいは、SAML 応答に更新に必要な値が含まれていない可能性があります。

IdP からユーザーのプロフィール写真を同期

⚠️ 一般的には、SCIM を有効化していない場合、または IdP が ProfilePicture 属性をサポートしていない場合（例：ProfilePicture が Entra でサポートされていない場合）には、このオプションを有効にすることをお勧めします。その他の場合は、ProfilePicture を SCIM 経由で転送し、すぐに更新することをお勧めします。

この設定がオンになっている場合：

IdP 側で設定したプロフィール写真は、ユーザーの Miro のプロフィール写真として設定されます。
ユーザーは、自分でプロフィール写真を更新または削除することはできません。

ユーザー名属性と同様に、ユーザーは Miro 側で自分のデータをすぐに変更できませんが、データ同期は即時ではなく、IdP 側は更新をユーザーが次回 SSO 認証を行った際に Miro に送信します（その時点で「IDP からユーザーのプロフィール写真を同期」設定が有効である場合に限ります）。

IdP でプロフィール写真が設定され、SAML 通信でその属性を移したい場合、Miro は以下のスキーマを求めます。

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

SSO とデータレジデンシー

Miro のデータレジデンシーサポートを利用して専用の URL（例: workspacedomain.miro.com）を利用している場合は、IdP の設定を調整する必要があります。

✏️ オーストラリア、日本、米国にデータレジデンシーを持つ組織では、ソーシャルログインは利用できません。データレジデンシーの詳細は Miro のデータレジデンシーを参照してください。

これを行うには、組織 ID を URL に追加する必要があります。

組織 ID は、Miro のダッシュボードで、右上の プロフィール > 設定 > をクリックすると、アドレスバーの URL に表示されます。

	基準値	データレジデンシーによる値
アサーションコンシューマーサービス URL （別名：許可されたコールバック URL、カスタム ACS URL、返信 URL）:	https://miro.com/sso/saml	https://workspace-domain.miro.com/ sso/saml/ORGANIZATION_ID
エンティティ ID （識別子、Relying Party Trust Identifier）: https://miro.com/	https://miro.com/	https://workspace-domain.miro.com/ ORGANIZATION_ID

SSO 外のユーザーに対する多要素認証（2FA）の設定

2 要素認証（2FA）は、セキュリティーを強化する仕組みです。2FA では、ユーザーはログイン時に本人確認のための追加ステップを実行する必要があります。この追加措置により、権限のあるユーザーのみがサブスクリプションにアクセスできるようになります。
詳しくは、2 要素認証管理者ガイドをご覧ください。

よくある質問とトラブルシューティング

「DomainName is busy」というメッセージが表示され、SSO 設定でドメインアドレスが承認されません。

セキュリティー上の理由から、組織のドメインは 会社（Enterprise サブスクリプション）1 つの傘下でのみサポートされます。別の Business プランまたは Enterprise プランで既にドメインが設定されている可能性があり、そのため希望するドメインで SSO を有効にできない場合があります。あらかじめ同僚の方に確認してみてください。

利用可能なドメインのドロップダウンに利用中のドメインが表示されません。

まず、マネージドドメイン設定でドメインを登録し、検証する必要があります。

エンドユーザーのメールアドレスを変更しなければなりません / ユーザーのメールアドレスを変更したため、ユーザーがボードにアクセスできなくなりました。

会社がドメイン名を変更し、エンドユーザーのメールアドレスの SSO 認証情報の変更が必要な場合は、サポートチームにご連絡ください。

SSO の手順に、個別のゲートウェイ（例えば、Duo DAG などの MFA）を使用したいと考えています。

もちろんご利用いただけます。 SAML 2.0 で動作する限り、Miro はご希望のソリューションに対応します。

SSO を有効にしましたが、Miro のユーザープロフィールデータ（IdP でサポートされている場合は、名前、プロフィール写真）が、IdP のデータと同期されません。

Miro のユーザー名やプロフィール写真は、ユーザー認証がすべて成功した後かつ SAMLResponse に空でない新しい値が含まれている場合に更新されます。Miro のユーザー名の設定について詳しくは高度な SSO 設定をご覧ください。

SSO プロバイダーの変更手順は？

SSO プロバイダーを変更する場合は、新しい IdP を初回セットアップと同様に最初から構成する必要があります。

Miro にログインしようとしたときに、ユーザーの一人または全員にエラーが発生した場合は、よくあるエラーリストと解決方法をご確認ください。

このセクションの記事