Microsoft Entra IDでシングルサインオン(SSO)を設定する方法

概要

このガイドは、IT管理者がMicrosoft Entra ID(旧Azure AD)とELSA Schoolの間にシングルサインオン(SSO)を設定するのに役立ちます。SSOが有効になると、学生と教師は既存の学校Microsoft認証情報を使用してELSA Schoolにログインでき、別のパスワードは不要になります。

始める前に

提供するもの

SSOに使用するメールドメイン(例: xyz@schooldomain.com)

必要なもの

組織のMicrosoft Entra ID(Azure AD)ポータルへの管理者アクセス権
SSO認証情報(ELSAが提供)。以下が含まれます:
- SP Entity ID(サービスプロバイダーエンティティID)
- ACS URL(アサーションコンシューマーサービスURL)

ステップ1: Microsoft Entra IDでELSAアプリケーションを作成する

Microsoft Azureポータルにログインする
エンタープライズアプリケーションにナビゲートする:
- 「Microsoft Entra ID」(または「Azure Active Directory」)をクリック
- 左側のメニューから「エンタープライズアプリケーション」を選択
- 「+ 新しいアプリケーション」をクリック
独自のアプリケーションを作成する:
- 「独自のアプリケーションを作成する」をクリック
- アプリケーションの名前を入力(例: 「ELSA School SSO」)
- 「ギャラリーに見つからない他のアプリケーションを統合する(非ギャラリー)」を選択
- 「作成」をクリック

ステップ2: SAMLベースのシングルサインオンを設定する

SSO設定にアクセスする:
- 新しく作成したELSAアプリケーションで、左側のメニューから「シングルサインオン」をクリック
- シングルサインオン方法として「SAML」を選択
基本的なSAML設定を設定する:
- 「基本的なSAML構成」セクションで「編集」をクリック
- ELSAから提供された以下の値を入力:
  - 識別子(エンティティID): ELSAからのSP Entity IDを入力
  - 返信URL(アサーションコンシューマーサービスURL): ELSAからのACS URLを入力
- 「保存」をクリック

ステップ3: ユーザー属性とクレームを設定する

属性とクレームを編集する:
- 「属性とクレーム」セクションで「編集」をクリック
以下のマッピングが設定されていることを確認する:

重要: これらのマッピングにより、ELSAが正しいユーザー情報を受け取ります。何らかの理由でこれらのマッピングを変更する必要がある場合は、変更がユーザー認証に影響を与える可能性があるため、まずELSAサポートに連絡してください。

ステップ4: SAMLメタデータをELSAに提供する

SAMLを設定した後、SAML設定からSAML証明書(アプリフェデレーションメタデータURL)をコピーして、ELSA ITチームに送信してください。

ステップ5: ユーザーとグループを割り当てる(ELSAが設定を確認した後)

ELSAがSSOが設定されたことを確認した後:

ユーザーとグループにナビゲートする:
- ELSAアプリケーションで、左側のメニューから「ユーザーとグループ」をクリック
- 「+ ユーザー/グループを追加」をクリック
アクセスを割り当てる:
- 「なし選択」の下で「ユーザー」(または「グループ」)をクリック
- ELSAにアクセスできるユーザーまたはグループを選択
- 下部で「選択」をクリック
- 「割り当てる」をクリック
これが意味するもの:
- 割り当てられたユーザー/グループのみがSSOを使用してELSAにログインできます
- 割り当てられていないユーザーは、Microsoft アプリでELSAを表示できません
- いつでもユーザーを追加または削除できます

SSO接続をテストする

テストユーザーとして自分を割り当てる
ELSA Schoolからログアウトする(現在ログインしている場合)
ELSA Schoolのログインページに移動する
「SSOでサインイン」をクリックする
学校のメールアドレスを入力する
Microsoftログインにリダイレクトされることを確認する
ELSAへのログインに成功できることを確認する

一般的な問題のトラブルシューティング

ログインできないエラー

考えられる原因:

ELSAの側ではまだSSOの設定が完了していない
メタデータURLがELSAに送信されていない
SP Entity IDまたはACS URLが正しく入力されていない

解決策: SSOのセットアップが完了していることをELSAに確認し、ステップ2で入力した値を再確認してください。

ユーザーは割り当てられているがログインできない

考えられる原因:

Azure ADのユーザーメールがELSAのメールと一致していない
ユーザー属性が正しく設定されていない
ユーザーのアカウントがELSAで有効になっていない

解決策:

ユーザーのメールが両方のシステムで一致していることを確認
ステップ3の属性マッピングが正しいことを確認
ELSAサポートに連絡してユーザーのアカウントステータスを確認

「属性とクレーム」セクションに異なるマッピングが表示される

考えられる原因:

Azure ADにカスタムクレーム設定がある

解決策:

これらを変更する前にELSAサポートに連絡
必要に応じて既存の属性設定で対応できます

FAQ

Q: SSOと通常のメール/パスワードログインを同時に使用できますか?
A: はい。SSOは追加のログインオプションです。ユーザーは必要に応じてメール/パスワードを使用することもできます。

Q: SSO設定はどのくらいの時間がかかりますか?
A: Azure設定には20～30分かかります。ELSAの設定はメタデータ受信後1～2営業日かかります。

Q: ユーザーのELSAアカウントを最初に作成する必要がありますか?
A: はい。ユーザーはSSOでログインする前にELSA Schoolに存在する必要があります。必要に応じてCSMに一括ユーザーアップロードについて連絡してください。

Q: 学生と教師の両方でSSOを使用できますか?
A: はい。ディレクトリ内にMicrosoftアカウントがあれば、どのユーザータイプでもSSOを使用できます。

Q: ユーザーのメールが変更された場合はどうなりますか?
A: ELSAサポートに連絡して、ELSA School内のメールを新しいAzure ADメールと一致するように更新してください。