シングルサインオン(SSO)

SSO のセットアップと使用法

---

危険

このガイドは、システム管理者を対象としています。必要な技術知識が不足している場合は、IT 部門にお問い合わせください。

Prevu3D Cloud Platformは、業界標準のプロトコルを介して安全なシングルサインオン(SSO)をサポートしています。

• SAML 2.0 – 認証とユーザーログイン用。

• SCIM 2.0 – ユーザーとグループの自動プロビジョニング用。

サポートされている ID プロバイダー

SAML 2.0 および/または SCIM 2.0 プロトコルを完全にサポートする ID プロバイダーは、Okta、Google Workspace、OneLogin、Ping Identity などを含む Prevu3D と互換性がある必要があります。Prevu3D の実装は公式の SAML 2.0 および SCIM 2.0 仕様に従っており、最新の ID システム間で幅広い互換性を保証します。

以下との統合を徹底的にテストしました。

• Microsoft Entra ID (旧称 Azure Active Directory)

• JumpCloud (英語)

ノート

• 各Prevu3D組織は、一度に 1つのIDプロバイダー への接続のみをサポートします。

• SSO 機能は、 Enterprise サブスクリプションに含まれています。 sales@prevu3d.com に連絡して、組織でアクティブ化してください。

SAML 2.0 – 認証のセットアップ

前提 条件

Prevu3DでSAMLベースのSSOを設定するには、次のものが必要です。

• Prevu3D組織への管理者アクセス。

• アプリケーションを構成する権限を持つ IdP へのアクセス。

ステップス

1. Prevu3Dアカウントにログインします(メールアドレスとパスワードで)

2. [設定]タブに移動します

3. 左側のメニューから SSO タブを選択します

SSO タブにアクセスできませんか?

1. 見つからない場合は、組織管理者ではありません。

2. グレー表示されている場合は、組織が SSO 機能をサブスクライブしていません。

4. SSO タブから次の値をコピーし、IdP 設定に貼り付けます。

   • サービス プロバイダー エンドポイント – IdP が SAML アサーションを送信する先の URL です。IdP によっては ACS URL、Reply URL、Assertion Consumer Service URL と呼ばれます。

   • サービス プロバイダー エンティティ ID – SAML のやり取りにおける Prevu3D の一意の識別子です。IdP によっては Audience、Identifier、SP Entity ID と呼ばれます。

注意

エンティティ ID は、SSO タブに表示されているとおり、完全なサフィックスを含めて正確に IdP に入力してください (例: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx-production-############-Prevu3DCloudPlatform)。手入力ではなく、コピーして貼り付けてください。

IdP が短縮された値やフレンドリ名のオーディエンス値 (例: Prevu3D) を送信すると、他の設定が正しくてもオーディエンスの不一致により認証が拒否されます。これは最も多い設定の誤りです。トラブルシューティングを参照してください。

5. IdP から以下を取得し、SSO タブに入力します。

   • SAML 証明書 (PEM 形式)

   • SAML エンドポイント URL

6. SCIM が有効 になっていない場合は、SAML 属性マッピングを定義します。下記の SAML属性マッピング を参照してください。

   

注意

これらの属性は、SCIM プロビジョニングが有効で構成されている場合は オプション です。SCIMは、ユーザーの詳細を自動的に管理します。

7. ページの下部にある [保存] をクリックします。

8. 展開する前に構成を検証します。下記の 構成の検証 を参照してください。

SAML属性マッピング

各フィールドでは、ID プロバイダーから送信される SAML アサーションのどの属性 (クレーム) を読み取るかを Prevu3D に指定します。入力する値は、IdP で構成されている属性名と 大文字・小文字も含めて 正確に一致する必要があります。

フィールド	入力する値	値の例
First Name SAML Attribute Key	ユーザーの名 (given name) を含む IdP 属性の名前	givenName, firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
Last Name SAML Attribute Key	ユーザーの姓 (surname) を含む IdP 属性の名前	familyName, surname, lastName
Role SAML Attribute Key (オプション)	割り当てる Prevu3D のロールを含む IdP 属性の名前。IdP から Prevu3D のロールを管理する場合にのみ必要です。ロールマッピングを参照してください	Prevu3DRole
Default Organization Role	ロール属性が指定されていない場合、属性が空の場合、またはロールマッピングが構成されていない場合に割り当てられるロール。ロールマッピングを参照してください	Guest (推奨)

IdP が送信する属性名が分からない場合は、SAML-tracer などのブラウザー拡張機能で SAML トレースを取得し、AttributeStatement に記載されている名前を確認するか、IdP のアプリケーション構成をご確認ください。

SSOのユーザーへの展開

構成を保存して検証したら、ユーザーが実際にログインできるかどうかは次の 2 点によって決まります。

ドメイン設定と新規ユーザー

メールドメインを Prevu3D 組織に関連付ける必要があります。ドメイン設定により、次のことが可能になります。

• ログインページからのリダイレクト – [SSO でログイン] をクリックして自社ドメインのメールアドレスを入力したユーザーは、IdP にリダイレクトされます。

• ジャストインタイムのアカウント作成 – 自社ドメインのユーザーで Prevu3D を一度も使用したことがない方が IdP を通じて認証に成功すると、Prevu3D アカウントが自動的に作成されます。氏名は SAML 属性マッピングから設定され、Default Organization Role が適用されます。招待や手動でのアカウント作成は不要です。

ノート

ドメイン設定は、Enterprise SSO のオンボーディングの一環として Prevu3D が実施します。メールドメインの登録は support@prevu3d.com までご連絡ください。

ドメインが構成されるまで、自社ドメインのユーザーは IdP にリダイレクトされず、認証時に invalid_user_email_domain エラーが表示されることがあります。

注意

SSO を通じて作成されたユーザーには Default Organization Role が付与され、既定では プロジェクトへのアクセス権はありません。プロジェクトへのアクセス権は、グループ (グループマッピングを使用) を通じて付与するか、ユーザーを直接プロジェクトに追加して付与してください。

SSO が構成されたドメインのユーザーは、メール招待リンクからパスワード方式のアカウントを作成するのではなく、SSO でログインしてください。

既存ユーザーとアカウントのリンク

SSO を有効にする前に作成されたアカウントは、SSO で使用できるようにするために、ID プロバイダーへ一度リンクする必要があります。ユーザーは初回の SSO ログイン時にこの手順を案内され、プロジェクトとデータはそのまま保持されます。ユーザーに表示される手順は サインアップ&ログイン に記載されています。

注意

リンクには各ユーザーの既存の Prevu3D のパスワードが必要なため、パスワードが分からない方は事前にリセットする必要があります。

この手順を完全に省略するには、support@prevu3d.com にご連絡ください。対象のメールドメインのすべてのアカウントを一括でリンクします。その場合、ユーザーにリンク手順が表示されることはありません。

構成の検証

SSO を広く展開する前に、少人数のユーザーでテストし、次の点を確認してください。

• Prevu3D のログインページ ([SSO でログイン]) と IdP のダッシュボードの両方からログインできること。

• 新規アカウントで姓名が正しく設定されること。

• ロール属性が存在する場合に、想定どおりの組織ロールが割り当てられること。

• ロールがマッピングされていないユーザーに、意図した既定のロールが割り当てられること。

• 想定より広い権限が付与されるユーザーがいないこと。

• グループマッピングを使用している場合、グループのメンバーシップが意図したとおりに適用されること。

ノート

SAML-tracer などのブラウザー拡張機能で取得した SAML トレースは、IdP が実際に送信している属性とオーディエンス値を確認する最も早い方法です。

ロールマッピング(オプション)

Prevu3Dの組織レベルのロールは、カスタムSAML属性( Prevu3DRoleなど)を介して割り当てることができます。

• Admin – 組織全体の完全な権限

• Guest – デフォルトのアクセス権なし (プロジェクトレベルのアクセス権を付与する必要があります)

ロール属性が指定されていない場合は、 デフォルトのロール が適用されます。安全のため、 Guest に設定することをお勧めします。

注意

SCIM が有効になっている場合は、代わりに SCIM を使用してロールの割り当てを処理する必要があります。

グループマッピング(オプション)

また、IdP システムから Prevu3D groups にグループをマッピングして、組織のユーザーのアクセス管理を容易にすることもできます。次の手順では、グループのマッピングについて説明します。

• SAML 属性を介してグループメンバーシップを送信するように IdP を設定します。

• この属性を [Prevu3D SSO ] タブに入力します。

• Prevu3D の [グループ] セクションで、[ グループの編集] をクリックし、IdP に期待される SAML グループ値を指定します。

• このマッピングは、ユーザーがPrevu3D Cloudにログインするときに適用されます。ユーザーがすでにログインしている場合は、ログアウトして再度ログインし、アクセスの変更を適用する必要があります。

ノート

• グループマッピングはログイン時に適用されます。ユーザーは、更新されたアクセスを適用するために、ログアウトして再度ログインする必要があります。

• グループに何らかのアクセス権がプロビジョニングされていることを確認し、詳細については「 groups 」セクションを参照してください。

注意

• SCIM が有効になっている場合は、グループの作成とメンバーの割り当てを代わりに SCIM で処理する必要があります。

SCIM 2.0 – プロビジョニングのセットアップ

Prevu3Dは、 System for Cross-domain Identity Management(SCIM 2.0) プロトコルを介したユーザーおよびグループのプロビジョニングをサポートします。

前提 条件

• 組織は Enterprise プランに参加している必要があります。

• IdP は SCIM (Azure AD/Entra、Okta、JumpCloud など) をサポートしている必要があります。

SCIMで実現できること

• ユーザープロビジョニング – 新しいユーザーは Prevu3D で自動的に作成されます

• ユーザーのプロビジョニング解除 – IdP で非アクティブ化されると、ユーザーは無効化または削除されます

• グループの割り当て – グループとロールを IdP から一元的に管理できます

セットアップ手順

1. Prevu3Dアカウントに組織管理者としてログインします。

2. [設定]タブに移動します

3. 左側のメニューから SSO タブを選択します

4. [ SCIM プロビジョニング ] セクションまでスクロールして [有効に します]。

   

5. あなたは見つけるでしょう:

   • SCIM ベース URL (Entra ID ユーザー、以下の警告を参照してください)

   • ベアラートークン

ノート

セキュリティまたは資格情報のローテーションのために必要に応じて、ベアラートークンをローテーションすることもできます。

注意

Entra ID (Azure AD) を使用して SCIM を構成する場合は、Prevu3D によって提供される SCIM ベース URL の末尾に ?aadOptscim062020 を追加する必要があります。

6. ID プロバイダー (Microsoft Entra ID など) で、次の操作を行います。

   • Prevu3D Enterprise アプリケーションを開きます。

   • SCIM プロビジョニングを有効にします。

   • [SSO] タブから取得した SCIM ベース URL と ベアラー トークン を入力します。

7. 次の属性マッピングを設定します。

   • userName、 givenName、 familyName、 email

   • オプション: groups、 roles、 active

8. 構成を保存する

   IdPは、プロビジョニングスケジュールに基づいて、ユーザーとグループをPrevu3Dに自動的に同期します。

トラブルシューティング

症状	考えられる原因	対処方法
IdP から Prevu3D にリダイレクトされた後、ログインが完了しない	SAML アサーションのオーディエンス値が、サービス プロバイダー エンティティ ID と完全には一致していません。IdP が短縮された値やフレンドリ名を送信している可能性があります。	IdP の Audience / Identifier / Entity ID フィールドに、SSO タブに表示されている値を完全なサフィックスを含めてそのまま設定します。
ユーザーがログインページでメールアドレスとパスワードを入力しても IdP に移動しない	メインのログインフォームはパスワード方式のアカウント専用です。	ログインボタンの下にある [SSO でログイン] をクリックしてから、会社のメールアドレスを入力するようユーザーに案内してください。
[SSO でログイン] 画面で会社のメールアドレスを入力してもリダイレクトされない	メールドメインが Prevu3D 組織に関連付けられていません。	メールドメインの構成については support@prevu3d.com までご連絡ください。
IdP での認証後に {"statusCode":401,"message":"invalid_user_email_domain"} が表示される	同じ原因です。ユーザーのメールドメインが組織に関連付けられていません。	メールドメインの構成については support@prevu3d.com までご連絡ください。
「セッションがタイムアウトしました」と表示され、メールアドレスの再入力を求められる	SSO を有効にする前に作成されたアカウントの、1 回限りのアカウントリンク処理における通常の動作です。	そのまま続行するようユーザーに案内してください。エラーではありません。既存ユーザーとアカウントのリンクを参照してください。
既存ユーザーがアカウントのリンクを完了できない	リンクにはユーザーの既存の Prevu3D のパスワードが必要ですが、分からなくなっている可能性があります。	[パスワードを忘れた場合] からリセットしてもらうか、support@prevu3d.com に自社ドメインの一括リンクを依頼してください。
新規アカウントで氏名が空欄または誤っている	SSO タブに入力した SAML Attribute Key が、IdP が送信する属性名と一致していません。これらの値は大文字・小文字が区別されます。	SAML トレースを取得し、AttributeStatement の属性名を確認して、マッピングを正確に一致するよう更新します。
ユーザーに想定外のロールが割り当てられた	ロール属性が送信されなかったため Default Organization Role が適用されたか、ロール属性の値が Prevu3D のロールと一致していません。	Role SAML Attribute Key と IdP が送信する値を確認し、Default Organization Role の設定を見直してください。
グループのアクセス権の変更が反映されない	グループマッピングはログイン時にのみ適用されます。	ユーザーにログアウトしてから再度ログインしてもらってください。
サービス プロバイダー エンドポイントの URL をブラウザーで直接開くと {"statusCode":500,"message":"Internal server error"} が返る	想定どおりの動作です。このエンドポイントは SAML POST リクエストのみを受け付けるため、ブラウザーで直接開くことはできません。	構成の問題を示すものではありません。代わりに、ログインページまたは IdP からログインしてテストしてください。

ノート

それでも解決しない場合は、完了しなかったログイン試行の SAML トレースを取得し、機密性のある値を伏せたうえで support@prevu3d.com までお送りください。アサーションに含まれるオーディエンス値と属性名を併せてお知らせいただければ、当社チームがほとんどの問題を一度で診断できます。

定義

• IdP(Identity Provider): すべてのユーザーを登録し、他のさまざまなサービスへの接続を可能にするシステムを指します。これは、組織、ユーザー、グループにとって信頼できる情報源です。例:Azure AD、Jumpcloud…

• SP、サービスプロバイダー :SSO情報を消費するサービスアプリケーション(この場合はPrevu3D Cloud)を指します。

• SSO、シングルサインオン: ユーザーが単一のポータルからログイン情報を取得できるようにし、ユーザー管理構成を複数のアプリケーションに分散できるようにするメカニズムを指します。

• SAML、Security Assertion Markup Language :業界で広く使用されているプロトコルで、複数のクラウドベースのプラットフォームでSSOを使用できます。

• SCIM、クロスドメイン ID 管理システム: ユーザーとグループをプロビジョニングするためのプロトコル。