# エンタープライズSAMLログイン

ワークスペースがまだ存在しない場合は、エンタープライズSAMLログインページを使用します。このページでは、会社のドメイン用のSAMLクライアントが作成され、サインインが行われます。

{% hint style="warning" %}
他の人がサインインする前に、そのクライアントをワークスペースにリンクしてください。リンクされるまでは、SSOを使うとワークスペース作成ページが開きます。招待したユーザーも同様です。
{% endhint %}

ワークスペースを置くリージョンでページを開いてください。IDプロバイダーにコピーする値には、そのリージョンのアドレスが使用されます。

| リージョン      | エンタープライズSAMLログインページ                                                                         |
| ----------- | -------------------------------------------------------------------------------------------------- |
| EU          | [https://app.aikido.dev/login/enterprise/saml](https://app.aikido.dev/login/enterprise/saml)       |
| US          | [https://app.us.aikido.dev/login/enterprise/saml](https://app.us.aikido.dev/login/enterprise/saml) |
| オーストラリア   | [https://app.au.aikido.dev/login/enterprise/saml](https://app.au.aikido.dev/login/enterprise/saml) |
| 中東 | [https://app.me.aikido.dev/login/enterprise/saml](https://app.me.aikido.dev/login/enterprise/saml) |
| US Gov      | [https://app.aikidogov.us/login/enterprise/saml](https://app.aikidogov.us/login/enterprise/saml)   |

オンプレミス環境の場合は、そのインストール環境で `/login/enterprise/saml` を開いてください。ページではそのインストール環境自身のアドレスが使用されます。

ワークスペースがすでに存在する場合は、**Settings** の [General](https://app.aikido.dev/settings/account) からSAMLを有効にしてください。この方法では、作成と同時にクライアントがリンクされます。

## SAMLクライアントを作成する

{% stepper %}
{% step %}
### エンタープライズページを開く

お使いのリージョンのエンタープライズSAMLログインページを開き、業務用メールアドレスを入力して **Continue** をクリックします。

Aikidoはそのメールアドレスから会社のドメインを取得します。`name@company.com` の場合、ドメインは `company.com` になります。チームメンバーは後で、このドメインのメールアドレスを使って **Continue with SSO** からサインインします。

`company.com` や `company.co.uk` のような会社のアドレスを使用してください。Gmail、Outlook、Yahoo、iCloudなどの公開メールサービスは拒否されます。やり直すには **Change email** をクリックします。
{% endstep %}

{% step %}
### IDプロバイダーに値をコピーする

以下の値を新しいSAML 2.0アプリケーションにコピーします。

| エンタープライズページのフィールド | IDプロバイダーでの貼り付け先   |
| ---------------------------- | ----------------------------------------- |
| Single Sign-On URL / ACS URL | ACS URL、Reply URL、またはSingle sign-on URL |
| Audience URI / Entity ID     | Audience URI、Entity ID、またはSP Entity ID  |
| Name ID Format               | `EmailAddress`                            |

ACS URLには会社のドメインが含まれます。EUアプリでは次のようになります。

`https://app.aikido.dev/api/saml/saml_auth?samlClientDomain=company.com`

IDプロバイダー側の操作手順は以下のセクションから始まります。そこでアプリケーションが作成できたら手順を止め、このページに戻ってください。

* [Oktaで続行](https://help.aikido.dev/docs/docs-ja/getting-started/automated-user-management/saml-login/okta-login-with-saml#continue-in-okta)
* [JumpCloudで続行](https://help.aikido.dev/docs/docs-ja/getting-started/automated-user-management/saml-login/jumpcloud-login-with-saml#continue-in-jumpcloud)
* [Googleで続行](https://help.aikido.dev/docs/docs-ja/getting-started/automated-user-management/saml-login/google-workspaces-login-with-saml#continue-in-google)
* [Azureで続行](https://help.aikido.dev/docs/docs-ja/getting-started/automated-user-management/saml-login/microsoft-azure-login-with-saml-entra-id#continue-in-azure)
{% endstep %}

{% step %}
### IDプロバイダーの値を貼り付ける

エンタープライズページで、IDプロバイダーに表示される値を入力します。

* **Entity ID / Issuer**
* **Single Sign-On URL**。IDプロバイダー自身のドメインを使用してください（例: `your-org.okta.com` や `login.microsoftonline.com`）。カスタムドメインは拒否される場合があります。Aikidoから「IdP domain not allowed. Please contact support.」と返された場合は、[サポートにお問い合わせ](https://help.aikido.dev/docs/docs-ja/miscellaneous-info/contact-support)ください。
* **X.509 Certificate**

**Company Email Domain** は業務用メールアドレスから自動入力され、読み取り専用です。

証明書と会社のドメインは保管しておいてください。リンク時に両方が必要になりますが、Aikidoは証明書を再表示しません。別の人がワークスペースを作成する場合は、その2つの値を渡してください。

一部のプロバイダーでは、正確な形式が求められます。

* **Microsoft Entra ID**。Entity IDは `https://sts.windows.net/<tenant-id>/` です。Single Sign-On URLは `https://login.microsoftonline.com/<tenant-id>/saml2` です。両方の値のテナントIDは同じです。Entra IDでは、これらは **Microsoft Entra Identifier** と **Login URL** です。
* **Okta**。Entity IDは、Oktaに表示されるとおり `http` を使った `http://www.okta.com/` で始まります。
{% endstep %}

{% step %}
### ワークスペースを作成する

**Continue** をクリックします。AikidoがSAMLクライアントを作成し、IDプロバイダー経由でサインインして、ワークスペースのセットアップを開きます。

ソースコード管理ツールを接続したら、誰かを招待する前に [クライアントをワークスペースにリンクする](#link-the-client-to-the-workspace) に進んでください。

AikidoにこのSAMLクライアントがすでに存在すると表示された場合、そのドメインまたは発行者はすでに登録されています。組織をそれに接続するには [サポートにお問い合わせ](https://help.aikido.dev/docs/docs-ja/miscellaneous-info/contact-support)ください。別のワークスペースを作成しても、クライアントはリンクされないままになります。
{% endstep %}
{% endstepper %}

## クライアントをワークスペースにリンクする

この作業は、エンタープライズページのSSOログインでサインインしたワークスペース管理者が行います。IDプロバイダーのアプリケーションを別の人が作成した場合は、その人が保存した会社のドメインと証明書を使用してください。

{% stepper %}
{% step %}
### SAML Setupを開く

サインインしたばかりのAikidoアプリで、**Settings** → **General** に移動します。EUアプリでは、そのページは [General](https://app.aikido.dev/settings/account) です。他のリージョンでは、そのリージョンのホストで `/settings/account` を開いてください。

**SAML Setup** カードを探します。
{% endstep %}

{% step %}
### SAMLクライアントを関連付ける

**SAML Setup** カードに表示されるボタンに応じて操作します。

* **Link existing SAML app** が表示されている場合。その下に「This option copies SAML settings from another Aikido workspace.」と表示されています。ボタンをクリックし、**Company Domain** と同じ **X.509 Certificate** を入力して、**Link SAML app** をクリックします。
* カードに **Authentication**、「SAML authentication is disabled」というステータス、**Enable SAML Authentication** のみが表示されている場合。そのボタンは押さないでください。[サポートにお問い合わせ](https://help.aikido.dev/docs/docs-ja/miscellaneous-info/contact-support)いただき、会社のドメインを伝えて、このSAMLクライアントをワークスペースにリンクするよう依頼してください。

**Enable SAML Authentication** を押すと2つ目のクライアントの作成が始まります。その後、Aikidoは「This SAML client already exists. Please contact support if you want to connect the current organization to an existing SAML client.」と表示して停止します。
{% endstep %}

{% step %}
### 自動オンボーディングを有効にする

クライアントがリンクされると、カードに自動オンボーディングが無効であることが表示されます。**Manage SAML Authentication** をクリックし、**Auto-Onboarding** を **Enabled** に設定して、**Save Settings** をクリックします。

これにより、SAMLアプリに割り当てられたユーザーは招待なしでこのワークスペースを開けるようになります。各ユーザーを自分で招待したい場合は、自動オンボーディングを無効のままにしてください。
{% endstep %}
{% endstepper %}

その後、**SAML Setup** に **Copy Login link** が表示されます。チームメンバーは、Aikidoのログイン画面で **Continue with SSO** をクリックし、会社のドメインのメールアドレスを入力してサインインすることもできます。

## トラブルシューティング

### 同僚がワークスペース作成ページに移動してしまう

SAMLクライアントがまだこのワークスペースにリンクされていません。そのSSOログインでサインインしているワークスペース管理者が [クライアントをワークスペースにリンクする](#link-the-client-to-the-workspace) を完了してください。

### AikidoにこのSAMLクライアントがすでに存在すると表示される

エンタープライズページでこの表示が出た場合、そのドメインまたは発行者はすでに登録されています。[サポートにお問い合わせ](https://help.aikido.dev/docs/docs-ja/miscellaneous-info/contact-support)ください。別のワークスペースを作成しても、クライアントはリンクされないままになります。

同じメッセージは **Enable SAML Authentication** の後にも表示されます。このボタンは新しいクライアントの作成を始めるものです。**Link existing SAML app** を使用するか、そのボタンがカードにない場合はサポートにお問い合わせください。

### リンクが拒否される

ワークスペース管理者は、リンク対象のSAMLアプリでサインインしている必要があります。サインアウトし、**Continue with SSO** をクリックして会社のドメインのメールアドレスを入力し、ワークスペースを開いてから、もう一度 **Link existing SAML app** を試してください。