シングルサインオン（SSO）

SAML ベースのシングルサインオン（SSO）により、ユーザーは選択した ID プロバイダー（IdP）を介して Miro にアクセスできます。 

利用可能なプラン：Business プラン、Enterprise プラン
必要な役割：会社の管理者

SAML SSO の仕組み

1. Miro のユーザーが SSO を使用して Miro にログインしようとすると、Miro は SAML（Security Assertion Markup Language）リクエストを ID プロバイダー（IdP）に送信します
2. ID プロバイダーは、ユーザーの認証情報を検証し、Miro に応答を返してメンバーの ID を確認します
3. Miro が応答を認識し、アクセスを許可して、メンバーが Miro アカウントにログインできるようになります

SSO を有効にした後はどうなりますか？

初めて SSO を有効にする

初めて SSO を設定しても、既存のユーザーは中断されることなく Miro で作業を続けることができます。ただし、ログアウトしたときや、セッションの有効期限が切れたとき、または新しいデバイスからログインしようとするときは、SSO でログインする必要があります。 

標準のログイン + パスワード、Google、Facebook、Slack、AppleID、O365 などの他のログインオプションは無効になります。

アイドルセッション タイムアウト

以下を有効にしている場合： アイドルセッション タイムアウト、ユーザーは自動的に Miro のプロフィールからログアウトされ、SSO で再度認証する必要があります。

複数のチームと組織

ユーザーが複数の Miro チームまたは組織を利用している場合、認証に同じ ID プロバイダー（IdP）を使用するように設定できます。

SSO によるログインが必要なユーザー

SSO でのログインが必要なのは、Enterprise サブスクリプションの一員で、かつSSO 設定にドメインが記載されているアクティブなユーザーです.

• SSO 設定に追加されていないドメインから Miro にアクセスするユーザーは、SSO でログインする必要はありません。代わりに、標準のログイン方法でログインしてください。
   
• Miro Enterprise サブスクリプションに含まれていない検証済みドメインのユーザーは、ジャストインタイム（JIT）プロビジョニングが有効になっている場合にのみ、シングルサインオン（SSO）でログインする必要があります。これらのユーザーは事前に設定されたチームに自動的に追加され、ログインには SSO の使用が必要になります。

• 管理対象ユーザー、すなわち検証済みドメイン内のユーザーで、Enterprise サブスクリプション外のチームに所属している管理対象ユーザーも含まれます。特定のチームへのアクセスを制限するには、ドメイン制御の設定を更新してください。

  ✏️ Enterprise サブスクリプションでは、組織は確認済みドメインと未確認ドメインを持つことができます。確認済みドメインのユーザーは管理ユーザーとなり、SSO で認証する必要があります。同じ組織内の未確認ドメインのユーザーは、認証にメールアドレスとパスワードが必要です。

ユーザーの詳細情報を管理する

ログインに成功すると、ID プロバイダーによって、Miro 内のユーザーデータの紐づけが自動的に行われます。名前やパスワードなどの一部のパラメーターは変更できません。部門やプロフィールの写真などのその他のパラメーターは任意です。

• Miro のユーザー名は、ユーザー認証が成功するたびに更新されます。Miro のユーザー名の設定について詳しくは、高度な SSO 設定をご覧ください。ユーザーのメールアドレスを変更する必要がある場合は、SCIMでのみ変更できます。SCIM をご利用でない場合は、サポートチームまでご連絡ください。

SSO 設定におけるドメインの選択

💡 ロックアウトを防ぐには、SSO 設定にリストされているドメイン外のドメインを持つメールアドレス（例：acmebreaktheglass@gmail.com）で、「break the glass」ユーザーを作成します。あるいは、サポートに連絡して組織全体の SSO を無効化することもできます。

SSO の設定

ID プロバイダー（IdP）

ご希望の ID プロバイダーを使用してください。最もよく使われている ID プロバイダーのプラットフォームには、以下のようなものがあります。

• OKTA
• Entra ID（Microsoft）
• OneLogin
• ADFS（Microsoft）
• Auth0
• Google SSO
• Jumpcloud SSO

IdP の設定方法

💡 Enterprise 組織で複数の IdP を追加したい場合は、非公開ベータ.

1. ID プロバイダーの設定パネルに移動し、プロバイダーの指示に従って、シングルサインオンを設定します。

2. 以下のメタデータを追加します。オプションのフィールドは飛ばし、デフォルト値はそのままにしておくことをお勧めします。

設定仕様（メタデータ）

⚠️ 暗号化やシングルログアウトには対応していません。

ユーザーの認証情報

以下のフィールドは必須ではありません。オプションのフィールドは飛ばし、デフォルト値はそのままにしておくことをお勧めします。

Miro の設定で SSO を有効にする方法

Business プラン Enterprise プラン

1. 会社 の設定 > セキュリティー > シングルサインオン
2. SSO/SAML のトグルをオンにします


 

1. 会社 の設定 > セキュリティーとコンプライアンス > 認証 > シングルサインオン
2. SSO/SAML のトグルをオンにします

⚠️ 設定で SSO を有効化しても、すぐにユーザーの SSO が有効になるわけではありません。SSO のログインは、ドメインが確認された後に利用可能になります。次に、次のセクションで SSO を設定する際は、必ず確認済みのドメインを追加してください。

Miro の設定で SSO を設定する方法

シングルサインオン設定で SSO/SAML 機能をオンにした後、以下のフィールドに入力します。

1. SAML ログイン URL（多くの場合、エンドユーザーが認証情報を入力する ID プロバイダーのページが開きます）
2. 公開鍵の x.509 証明書（ID プロバイダーが発行したもの）
3. すべてのドメイン およびサブドメイン が認証できる、または認証が必要な （ACME.com または ACME.dev.com） SAML サーバー経由で認証されます
4. 検証済みドメインを追加します。これらのドメインのユーザーは SSO でログインします。ドメインを選択をクリックして、リストに追加するドメインを選択してください。

Miro SSO 設定

SSO/SAML 証明書の有効期限と更新

公開鍵の x.509 証明書の有効期限が切れている場合でも、SSO は引き続き機能しますが、Miro を安全に使い続けるためには、更新することを強くお勧めします。公開鍵の x.509 証明書は、ID プロバイダーと Miro の間で共有される情報のセキュリティー、プライバシー、信頼性、完全性を保証します。

こうした証明書は、ID プロバイダーで指定（および確認）できる期間のみ有効です。有効期限を確認するには、ID プロバイダーにご確認ください。

✏️ Miro は管理者に、SSO 証明書の有効期限が切れる 60 日前、30 日前、7 日前にメールでリマインダーを送信します。証明書の有効期限が切れた後には、管理者に一度だけメールが送信されます。

このプロセスには 2 つの手順があります。

1. ID プロバイダーで証明書を更新します。これを行う方法については、プロバイダーの指示をご確認ください。
2. 更新された証明書を Miro SSO 設定に追加します。

更新された証明書を Miro に追加

⚠️ ログイン時の混乱を避けるため、x.509 証明書の交換は、組織内であまり忙しくない期間（週末や営業時間後など）に行うことをお勧めします。

1. 会社の設定 > 認証 > シングルサインオン に移動します
2. 鍵の x.509 証明書フィールド内のコンテンツを削除します
3. このフィールドに新しいキーを貼り付けます
4. 下にスクロールして、保存 をクリックします
   Miro での x.509 証明書の更新

SSO 設定のテスト

SSO の設定を有効にする前にテストして、ユーザーのログインに関する問題が発生する可能性を減らしてください。

1. 上記の手順を完了して、SSO 設定を構成してください。
2. SSO 設定をテスト ボタンをクリックします。
3. 結果を確認してください:

• 問題が見つからない場合、確認メッセージ SSO 設定のテストに成功しました が表示されます。
• 問題が見つかった場合、確認メッセージ SSO 設定のテストに失敗しました が表示され、その後、修正が必要な点を案内する詳細なエラーメッセージが表示されます。

SSO 設定のテスト

オプションの高度な SSO 設定

オプション設定は SSO 設定に精通している上級ユーザー向けのセクションです。

新規ユーザー向けのジャストインタイム（JIT）プロビジョニング

招待を待ったり、長いオンボーディング プロセスを経たりすることなく、ユーザーがすぐに Miro を利用開始できるようにします。また、管理対象のサブスクリプション外で Free チームが作成されるのを防げます（ドメイン制御が必要です）。新規ユーザーのジャストインタイム（JIT）プロビジョニングを有効にするには、SSO が必要です。JIT でプロビジョニングされたすべてのユーザーには、サブスクリプションのデフォルトライセンスが割り当てられます:

ジャストインタイム プロビジョニングを有効にする方法

ジャストインタイム プロビジョニングを有効にすると、Miro に登録しているすべての新規ユーザーに自動的に適用されます。ただし、既存の Miro ユーザーがプランに参加するには招待が必要です。

1. [SSO 設定] に移動します
2. リストにあるドメインの新規登録ユーザーを全員 Enterprise アカウントに自動的に追加するにチェックを入れます
3. ドロップダウンから、新規登録ユーザーのデフォルトチームを選択します
4. [保存] をクリックします

シングルサインオン（SSO）設定に特定のドメインをリストすると、そのドメインに登録したユーザーは、自動的に Enterprise サブスクリプションに追加されます。ジャストインタイム（JIT）設定で選択したチームに割り当てられます。

 

Enterprise のインテグレーション ページでジャストインタイム（JIT）プロビジョニング機能を有効にする

設定で記載したドメインの新規登録ユーザーはすべて、Miro に登録すると、ご利用の Enterprise 傘下でこの特定のチームに自動的に追加されます。

⚠️ Enterprise プランでは、チームの公開設定を有効にすると、このチームは公開されたチームのリストにも表示されます。

デフォルトのユーザー名として DisplayName を設定

デフォルトで Miro は FirstName + LastName の属性を使用します。あるいは、DisplayName の使用をリクエストすることもできます。この場合、ユーザーの SAML 応答に DisplayName があると、Miro はこれを使用します。

DisplayName が存在しないが、FirstName + LastName が存在する場合、Miro は FirstName + LastName を使用します。DisplayName を希望の SSO ユーザー名にするには、Miro サポートにご連絡ください。

SAML 通信にこの 3 つの属性がいずれも存在しない場合、Miro はユーザーのメールアドレスをユーザー名として表示します。

予期したものと異なるものが表示された場合は、SSO で認証する必要があるかもしれません。あるいは、SAML 応答に更新に必要な値が含まれていない可能性があります。

IdP からユーザープロフィール写真を同期

⚠️ 一般的に、このオプションは SCIM を有効化していない場合、または IdP が ProfilePicture 属性をサポートしていない場合（例えば、ProfilePicture を Entra がサポートしていない場合など）に有効にすることをお勧めします。その他の場合は、ProfilePicture を SCIM 経由で転送し、即時に更新することをお勧めします。

この設定がオンになっている場合：

• IdP 側で設定したプロフィール写真は、ユーザーの Miro のプロフィール写真として設定されます
• ユーザーは、自分でプロフィール写真を更新または削除することはできません

ユーザー名属性と同様に、ユーザーは Miro 側で自分のデータをすぐに変更できませんが、データ 同期 は即時ではなく、IdP 側は更新を Miro に送信するのはユーザーの 次回 の SSO 認証時にのみ行います（その時点で「IdP からユーザーのプロフィール写真を同期」設定が有効な場合）。

IdP でプロフィール写真が設定され、SAML 通信でその属性を移したい場合、Miro は以下のスキーマを求めます。

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

SSO とデータレジデンシー

Miro の データレジデンシー サポートを利用し、専用の URL（例: workspacedomain.miro.com）を使用している場合は、IdP の設定を調整する必要があります。

✏️ オーストラリア、日本、米国でデータレジデンシーを利用している組織では、ソーシャルログインは利用できません。詳細については、Miro のデータレジデンシーをご覧ください。

これを行うには、組織 ID を URL に追加する必要があります。

組織 ID は、Miro のダッシュボードで右上の プロフィール > 設定 をクリックすると、アドレスバーの URL に表示されます。

SSO 外のユーザーに対する多要素認証（2FA）の設定

2 要素認証（2FA）は、追加のセキュリティー層を提供します。2FA により、ユーザーはログイン時に本人確認のための追加ステップを完了する必要があります。この追加の対策により、認可された人だけがサブスクリプションにアクセスできるようになります。
詳細は2 要素認証管理者ガイドをご覧ください。

よくある質問と問題の対処方法

Miro にログインしようとしたときに、ユーザーの一人または全員にエラーが発生した場合は、よくあるエラーリストと解決方法をご確認ください。