ここでは、任意の ID プロバイダーを使って Qiita:Team のシングルサインオンを設定する場合の概要を紹介します。
詳細な手順は ID プロバイダーによって異なりますので、お使いの ID プロバイダーのヘルプも参照してください。
Qiita:Team は SAML 2.0 に準拠したサービスプロバイダーであり、SAML 2.0 準拠の ID プロバイダーと連携したシングルサインオンが可能ですが、すべての ID プロバイダーとの完全動作を保証するものではありません。
以下の手順は、お使いの ID プロバイダー、Qiita:Team 共に、管理者権限のあるユーザーで行う必要があります。
ID プロバイダーからメタデータをダウンロードする
お使いの ID プロバイダーの設定画面にログインし、SAML メタデータをダウンロードします。
多くの場合、「SAML メタデータ」、「SAML metadata」、「IdP metadata」などの名称でダウンロードが可能になっています。ダウンロードすると、拡張子.xmlのファイルが保存されます。
ID プロバイダーによっては、後述の「ID プロバイダー側でアプリの設定をする」にあたる操作の途中でないと SAML メタデータのダウンロードができない場合があります。
Qiita:Team に ID プロバイダーのメタデータを登録する
Qiita:Team の🔒シングルサインオン設定を開きます。
ID プロバイダーのファイルを選択をクリックし、先ほど ID プロバイダーからダウンロードしたメタデータファイルを選択後、アップロードするをクリックしてメタデータをアップロードします。
正常にアップロードが完了すると、「ID プロバイダー登録済み」と表示されます。
ID プロバイダー側でアプリの設定をする
まず、Qiita:Team の🔒シングルサインオン設定を開くと、画面下部にQiita:Team サービスプロバイダー情報が表示されます。
ここに記載されている情報を参照しながら、ID プロバイダーにアプリの追加や設定を行います。
ID プロバイダーの設定画面を開き、アプリの追加をします。多くの場合、「アプリケーションの追加」や「サービスプロバイダーの追加」のような形になっています。
アプリの追加をすると、多くの場合詳細設定画面に遷移するので、対応する項目を前述の Qiita:Team サービスプロバイダー情報を参照しながら入力してください。
シングルサインオンの有効化
Qiita:Team の🔒シングルサインオン設定を開くと、シングルサインオンのモード切り替えが可能になっています。
シングルサインオンにおいて、各チームメンバーの Qiita:Team アカウントと ID プロバイダーアカウント間の対応付けは、メールアドレスの一致で行われます。 各メンバーは、🔒ログイン設定から ID プロバイダーアカウントと同一のメールアドレスを設定する必要があります。これをチーム全体でスムーズに行う上で、以下の二つのモードを利用することができます。
移行モード
シングルサインオンでのログインが可能かつ、従来の Qiita:Team のユーザー名とパスワードや、GitHub・Twitter・Google アカウントを使ったログインも可能なモードです。このモードはシングルサインオン導入時向けのものであり、チームメンバー全員がシングルサインオンによるログインができたことを確認し次第、後述する「シングルサインオンのみ有効」モードに切り替えることをおすすめします。
シングルサインオンのみ有効
シングルサインオンのみでのログインが可能な状態です。チーム管理者のみ例外的に、Qiita:Team のユーザー名とパスワードや、GitHub・Twitter・Google アカウントを使ったログインも可能です。シングルサインオンのためのメールアドレスを適切に設定できていないチームメンバーは、このチームへのログインが不可能となります。あらかじめ「移行モード」を利用し、全メンバーがシングルサインオンが可能になったことを確認してからこのモードに切り替えることをおすすめします。このモードへ切り替える際、一度チームメンバー全員が強制的にログアウトされ、シングルサインオンによる再ログインが必要となりますのでご注意ください。
ログイン画面
シングルサインオンを有効にすると、ログイン画面が以下のように変更されます。
シングルサインオンでログインをクリックすると、ID プロバイダーに遷移し、ID プロバイダーのログイン画面が表示されます。すでに ID プロバイダーにログイン済みだった場合は表示されない場合もあります。
ID プロバイダーへのログインが成功すると、再び Qiita:Team に遷移し、Qiita:Team へのログインが完了します。
以上でシングルサインオンの設定は完了となります。
即時プロビジョニングを有効にする場合、組織内のポリシーに合わせて設定をしてください。
