メインコンテンツにスキップ

Entra IDを使用したエンタープライズSSOの設定

Microsoft Entra ID（旧称 Azure AD）と TeamPassword Enterprise を連携し、シングルサインオン（SSO）認証を設定するためのガイドです。

対応者：Yusei Toki

このガイドでは、Microsoft Entra ID（旧称 Azure AD）と TeamPassword Enterprise を連携し、シングルサインオン（SSO）認証を設定するための全手順を詳しく説明します。

手順の概要：

  1. エンタープライズプランの契約

  2. Entra ID の設定

  3. 認証プラットフォームの設定

  4. Enterprise SSO の有効化

  5. Enterprise SSO でのサインイン

概要

この設定を行うことで、ユーザーは Microsoft Entra ID の資格情報を使って TeamPassword の認証を行えるようになります。設定完了後は、TeamPassword 固有のメールアドレスとパスワードを個別に入力することなく、「Enterprise SSO」ボタンからサインインが可能になります。
​


​注：SAML ≠ SSO
​
TeamPassword の Enterprise SSO 連携は、現代の業界標準認証フレームワークである OpenID Connect (OIDC) プロトコルを使用しています。SAML は異なるプロトコルであり、今回の設定には必要ありません。Enterprise SSO を構成するには、Microsoft Entra ID で OIDC アプリケーションを作成し、その資格情報（クレデンシャル）を使用して設定を完了させるだけです。
​

パート 1：エンタープライズプランの契約

Enterprise SSO は、エンタープライズプランをご契約中のお客様のみご利用いただけます。
​
現在、スタンダードプランをご利用中の場合は、チームの「Billing（請求情報）」ページからエンタープライズにアップグレードできます。

旧仕様の一括契約プラン（legacy bulk plan）をご利用中で、エンタープライズへのアップグレードオプションが表示されない場合は、お手数ですが [email protected] までお問い合わせください。

パート 2：Entra ID の設定

前提条件

Microsoft Entra ID をアイデンティティプロバイダー（IdP）として TeamPassword の Enterprise SSO を構成するには、以下が必要です。

  1. アクティブな Microsoft Entra ID テナント
    ユーザーの管理やアプリケーションの登録を行うために、Azure ポータル経由で既存の Entra ID アカウント（テナント）をチームが所有している必要があります。

  2. Entra ID テナントへの管理者アクセス権
    設定を行う担当者は、アプリケーションの登録と構成を行うための十分な権限（グローバル管理者、アプリケーション管理者、クラウドアプリケーション管理者など）を持っている必要があります。

  3. OIDC（OpenID Connect）アプリケーションの作成能力
    TeamPassword の SSO 連携は OIDC プロトコルを使用します。設定中に以下の作業が必要になります。

    • アプリの登録の作成

    • リダイレクト（コールバック）URL の構成

    • クライアント ID の生成

    • クライアントシークレットの生成

    • テナント ID の用意

  4. Entra ID にプロビジョニングされたユーザー
    TeamPassword へのアクセスが必要なユーザーが、あらかじめ Entra ID テナント内に存在している必要があります。

ステップ 1：ユーザーのプロビジョニング（配置）

  1. Microsoft Azure ポータルにサインインします。
    ​

  2. Microsoft Entra IDに移動します。

  3. テナントとユーザーが適切に構成されていることを確認します。


    ユーザーは TeamPassword のアカウントと「1対1」でマッピングされている必要があります。Microsoft Entra ID のメールアドレスは、TeamPassword アカウントに紐付いているメールアドレスと完全に一致していなければなりません。


    テナント内に直接作成された内部ユーザーの場合、ログインに使用するメールアドレス/UPN（ユーザープリンシパル名）が、ユーザーの TeamPassword アカウントのメールアドレスと完全に一致している必要があります。例えば、Entra ID のログイン名が [email protected] で、TeamPassword の登録メールアドレスが [email protected] の場合、アドレスが一致しないため認証に失敗します。

    同様に、Entra ID テナントに招待された外部ユーザーの場合も、Entra ID アカウントに関連付けられている外部メールアドレスが、TeamPassword アカウントのメールアドレスと一致している必要があります。


    ⚠️ 重要：各ユーザーの「Entra ID ログインメールアドレス（mail）」フィールドに値が入力されていることを確認してください。この値はデフォルトで空欄になっていることがあります。不足している場合、そのユーザーは SSO 経由での認証ができません。
    ​

ステップ 2：アプリケーションの登録

  1. Microsoft Entra ID で「アプリの登録 (App registrations)」に移動します。

  2. 「新規登録 (New registration)」をクリックします。

  3. アプリケーションを以下の通りに構成します。

  4. 「Register（登録）」をクリックします。

ステップ 3：アプリケーション資格情報の回収

登録が完了したら、TeamPassword サポートに共有するための3つの情報を取得します。

  1. アプリケーションの「概要 (Overview)」ページで、以下の値をメモしてください。

    • アプリケーション (クライアント) ID

    • ディレクトリ (テナント) ID

  2. これらの値は安全に保存してください。後ほど TeamPassword サポートに共有する必要があります。

ステップ 4：クライアントシークレットの作成

  1. 左メニューの 「管理 (Manage)」＞「証明書とシークレット (Certificates & secrets)」に移動します。

  2. 「新しいクライアント シークレット (New client secret)」をクリックします。

  3. シークレットを以下のように構成します。

    • 説明：TeamPassword SSO Secret

    • 有効期限：12 months（12ヶ月）

    • 「Add（追加）」をクリックします。

    • 追加後、すぐに 「値 (Value)」（※「シークレット ID」ではありません）をコピーします。

    • ⚠️ 重要：このシークレットの値は、作成直後のこのタイミングでしか表示されません。必ず今すぐコピーして安全に保管してください。

ステップ 5：資格情報の保存

次のステップをスムーズに進めるために、上記で回収した資格情報をレコードとして保存します。

  1. ご自身の TeamPassword アカウント内で、以下の名前のレコードを作成します。
    ​
    ​Enterprise SSO Setup Credentials – <あなたのチーム名>
    ​
    ⚠️ 重要：レコードのタイトルには必ずあなたのチーム/組織名を含めてください。

  2. 以下のテキストをコピーしてメモ（Notes）セクションに貼り付け、< > の部分を実際の値に書き換えてください：
    ​
    ​These are our Enterprise SSO setup credentials to be shared with the TeamPassword support team. Please do not delete this record until Enterprise SSO migration is complete.
    ​
    ​Application (client) ID: <あなたのクライアントID>
    ​Directory (tenant) ID: <あなたのテナントID>
    ​Client secret value: <あなたのクライアントシークレットの値>

  3. 「Save（保存）」をクリックします。

パート 3：認証プラットフォームの設定

前のステップで回収した Entra ID の資格情報をもとに、今度は TeamPassword 側のチームが認証プラットフォームでの残りの設定を完了させます。

ステップ 1：TeamPassword サポートへの資格情報の共有

  1. TeamPassword サポート（[email protected]）に連絡し、Entra ID の設定が完了し、共有する資格情報の準備ができた旨をお伝えください。

  2. サポート側からメールの確認（返信）が届いたら、先ほど作成した資格情報レコードの「1回限定の共有リンク（one-time share）」を作成し、そのリンクを [email protected] へ送信してください。
    ​

    注：共有レコードをリンクで共有するには、セキュリティ設定で「ワンタイムシークレットリンクを許可（Allow one-time secret links）」機能が有効になっている必要があります。なお、プライベートレコード（Private records）はいつでも共有可能です。

ステップ 2：TeamPassword サポートからの確認待ち

資格情報を受領後、TeamPassword 側で認証プラットフォームへの Enterprise SSO 構成を完了させます。作業が完了次第、サポートよりご連絡いたします。

パート 4：Enterprise SSO の有効化

構成が完了したら、TeamPassword 内から Enterprise SSO を有効にして最終設定を行います。

ステップ 1：オーナーの移行

まず最初に、チームのオーナー（Owner）が自身の「Account Settings（アカウント設定）」から、自分のアカウントに対して Enterprise SSO を有効化する必要があります。
​


ステップ 2：メンバーの移行

オーナーが有効化を完了すると、残りのチームメンバーも同様の手順で各自のアカウントに対して Enterprise SSO を有効化できるようになります。ユーザーは複数のチームに所属できますが、Enterprise SSO が有効なチームに関連付けられるのは一度に1チームだけであるため、Enterprise SSO の有効化は各ユーザーが個別に行う必要があります。


パート 5：Enterprise SSO でのサインイン

すべての手順が完了すると、新しく発行されたワークスペースの URL（専用URL）から Enterprise SSO を使ってサインインできるようになります。今後のアクセスのために、この URL をブックマークしておくことをお勧めします。
​


または、標準のサインインページから「Enterprise SSO」ボタンをクリックしてサインインすることも可能です。その場合は、サインイン画面にリダイレクトされる前に、ワークスペースのサブドメインを入力するよう求められます。

関連記事
こちらの回答で解決しましたか？