SSO (エンタープライズ)

注意

SSOの設定はEnterpriseプランでのみ利用可能です。 表示されない場合は、 SSOの設定 以下を確認してください： 設定 → Organization → Security組織がEnterpriseプランであることを確認するか、Capgo の担当者にお問い合わせください。

SSOとは？

Single Sign-On (SSO) を使用すると、チームメンバーは会社のアイデンティティプロバイダー (IdP) を利用して Capgo にログインできます。Capgo は Supabase Auth を介して SAML 2.0 を使用します。ユーザーのメールドメインが有効な SSO プロバイダーと一致する場合、ユーザーは IdP で認証を行い、SSO コールバック時に組織へプロビジョニングされます。

SSO はユーザーの権限を変更するものではありません。権限は 組織のロール (organization roles) によって制御されます。SSO は認証方法のみを変更します。

前提条件

開始する前に：

• Capgo organization で Enterprise サブスクリプションが有効です。
• 以下のサポートを行う ID プロバイダー： SAML 2.0 および IdP メタデータ URL (HTTPS)。
• 以下の発行権限： DNS TXT レコード メールドメイン用（例： company.com ユーザーが以下としてログインする場合： user@company.com).
• 組織設定の更新権限を持つ Capgo organization メンバー。
• 一つの IdP管理者 ITまたはセキュリティ部門へお問い合わせください。

SSO設定の確認方法

1. 開く https://console.capgo.app/
2. クリック 設定 左サイドバーの
3. 次の 組織 タブ
4. 次の セキュリティ タブ
5. スクロールして SSO設定。このフォームは、組織がEnterpriseプランの場合のみ利用可能です。

ステップ 1 - IdPの設定

使用しているアイデンティティプロバイダーで、新しいSAML 2.0アプリケーションを作成してください。以下の情報が必要になります： サービスプロバイダー Capgo SSO設定パネルに表示されている以下の値：

フィールド	利用場所
ACS URL	IdPのSAMLアプリにおけるAssertion Consumer Service URL
エンティティID	Service Providerのエンティティ識別子
SPメタデータURL	任意: IdPがURLによるSPメタデータのインポートに対応している場合
NameID形式	SAML Name Identifierに期待される形式

IdPはユーザーの メールアドレスを アサーション内でリリースする必要があります。Capgoは、メールドメインを使用してアクティブなSSOプロバイダーを特定し、既存のアカウントと照合します。

ステップ 2 - Capgo に SSO プロバイダーを追加する

1. SSO 設定パネルで、新しいプロバイダーを追加するためにクリックします
2. 以下を入力してください： メールドメイン (例 company.com)。ユーザーのサインイン用メールアドレスのドメイン部分と一致させる必要があります
3. IdP の メタデータ URL (HTTPS)
4. 送信

プロバイダーが以下のステータスで作成されました： 検証待ち.

ステップ 3 - DNSドメインの検証

SSOを有効にする前に、Capgo はお客様がドメインを管理しているかを確認します。

他の依存関係用の TXT レコードをDNSプロバイダーに設定してください：

フィールド	値
種類	TXT
名前 / ホスト	_capgo-sso.<your-domain> (例 _capgo-sso.company.com)
値	ダッシュボードパネルに表示される検証用トークン

レコードの公開後（DNS TTLの伝播には通常数分から1時間かかります）、ダッシュボードで DNSを確認 をクリックしてください。成功すると、プロバイダーは次の状態になります： 検証済み.

ステップ 4 - プロバイダーを有効化する

DNS検証後、 アクティブ化をクリックしてください。プロバイダーのステータスが 有効. のみ 有効 プロバイダーが SSO ログインフローで使用されます。

以下の選択が可能です 無効化 ダッシュボードからいつでも行えます。これにより、プロバイダーは 無効 に移動し、設定を削除せずにそのドメインの SSO を一時停止します。

ステップ 5 - テストとロールの割り当て

ユーザーが SSO を介して初めてサインインし、その組織に既存のメンバーシップがない場合、Capgo は以下の権限を付与します： 読み取り ロール。

パイロットユーザーのサインイン後：

1. 以下に移動します： 設定 → Organization → Members
2. SSOでプロビジョニングされた各ユーザーを探し、
3. 適切な権限レベルにロールを調整します（アップロード, Write, Adminなど）。

詳細については、 権限の詳細一覧 各ロールの権限について。

注意

SupabaseがCapgoに既に存在するメールアドレスに対して別のSSO認証ユーザーを作成した場合、CapgoはそのSSOアイデンティティを既存のアカウントに統合し、ユーザーに再ログインを求めます。

オプション - SSOの強制

プロバイダーにおいて、 有効 を切り替えることができます。 SSOの強制を有効にすると、Capgoはそのメールドメインの既存の認証ユーザーをSSO専用としてマークし、ログインフローでそのドメインのIdP認証が必要になります。プロバイダーを 無効 (無効化) または強制設定をオフにすると、そのドメインの SSO 専用フラグが削除されます。

注意

強制設定を有効にする前に、IdP 管理者と連携し、影響を受けるすべてのユーザーに通知してください。IdP 認証を完了できないユーザーは、そのドメインに対してパスワードでのサインインができなくなります。

プロバイダーのステータス参照

ステータス	意味
検証待ち	DNS TXT レコードがまだ検証されていません
検証済み	ドメインの所有権を確認済み。有効化の準備が完了しました
有効	このドメインでSSOが有効です
無効	設定者 無効化する をダッシュボードで行ってください。このドメインではSSOは使用されていません。以下を使用してください： 再有効化 に戻すには 有効

ロールアウト・チェックリスト

• Enterpriseプランの確認完了
• CapgoのACS URLとEntity IDを使用して、IdPでSAMLアプリを作成しました
• 安定したemail claimをリリースするようにIdPを設定しました
• DNS TXTレコードを公開しました。そして、 DNSの検証 成功しました
• プロバイダーを有効化しました
• パイロットユーザーのサインインに成功しました
• デフォルトからロールを昇格しました 読み取り 必要に応じて
• 強制適用を決定（有効な場合は通知）

関連ドキュメント

• 組織：ロールと権限
• 組織のセキュリティ：2FA、パスワード、API キー

SSO (Enterprise) の次のステップ

使用している場合 SSO (エンタープライズ) 認証とアカウントフローを計画するには、これを次と連携させてください @capgo/capacitor-social-login @capgo/capacitor-social-login の実装の詳細については、 @capgo/capacitor-passkey @capgo/capacitor-passkey の実装詳細については、 @capgo/capacitor-native-biometric @capgo/capacitor-native-biometric の実装詳細については、 2要素認証 二要素認証の実装詳細、および Capacitor アプリにOAuth2を実装する5つのステップ Capacitor アプリで OAuth2 を実装する 5 ステップの活用例については、