会社のアカウントでログインする（SSO）

［SSO］ で、会社のIdP（SmartHR、Google Workspace、Entra ID、Okta など）からログインできるようにする方法です。従業員のログイン手順は シフトルにSSOでログインする を参照してください。

この機能はエンタープライズプランで使えます。

シフトルはログイン先のサービスです。画面のSAML情報をIdPへ渡し、IdPのメタデータをシフトルに戻します。SmartHRやGoogleのアカウントでシフトルに入る流れは、SmartHRでBoxやNotionに入るときと同じです。

シフトルがIdPに渡す情報

画面の ［外部IdPに登録する情報］ を、IdPのアプリ登録へコピーします。IdPによって項目名が違います。

シフトルの項目	IdP側のよくある項目名
ACS URL	ACS URL、Reply URL、シングルサインオンURL
エンティティID	エンティティID、Audience URI、SP Entity ID
Name ID形式	NameIDフォーマット（メールアドレス）
メタデータ	メタデータXML。［ダウンロード］でファイルを保存します

IdPの証明書やSSO URLは、IdPメタデータURLまたはXMLに含まれます。シフトルへ個別に入力する欄はありません。Relay StateとログアウトURL（SLO）は使いません。IdPに欄があっても空のままにします。ログインURLが必要なときは、シフトルのログイン画面、またはSSOログイン画面（/login/sso）のURLを使います。

1. ［共通設定］ > ［SSO］を開く

管理者メニューの ［共通設定］ を開き、［SSO］ を選びます。

2. シフトルのSAML情報をIdPに登録する

［外部IdPに登録する情報］ をIdPへ登録します。Name IDはメールアドレスにします。既存メンバーのアカウントが別の認証ユーザーとして作られた場合、メールの一致だけでは自動接続されません。

3. IdPのメタデータをシフトルに登録する

［編集］ を開き、［SSOを有効にする］ をオンにします。会社で使うメールドメインと、［IdPメタデータURL］ または ［IdPメタデータXML］ を入力し、［保存］ を押します。URLとXMLはどちらか一方で足ります。

4. 接続をテストする

［接続をテスト］ を押して、会社のIdPでログインできることを確認します。成功すると ［接続を確認済みです。］ と表示されます。

5. 必要ならSSOのみにする

パスワードやパスキーでは入れないようにする場合は、接続の確認後、既存メンバー全員がSSOで利用できることを確認してから ［SSOのみ］ をオンにします。別の認証ユーザーとして作られた既存メンバーは自動移行されず、SSOのみではログインできません。移行方法はサポートに相談してください。

注意

• 既存メンバーがいないメール、未使用の招待もないメールではログインできません。先に招待してください。
• 同じメールドメインを、有効なSSOとして複数の会社に登録することはできません。
• 既存のパスワードユーザーとSSOユーザーが別の認証ユーザーになった場合、メールが同じでも自動移行されません。SSOのみを有効にする前に移行方法をサポートに確認してください。
• ドメインやメタデータを変えると、接続の確認は取り消され、［SSOのみ］はオフになります。もう一度接続をテストしてください。