会社の ID 基盤とつなぐ
（SSO・SCIM）

ID 基盤ごとの手順

• Okta: SSO（OpenID Connect）と SCIM。
• Microsoft Entra ID: SSO（OpenID Connect）と SCIM。SCIM には Entra ID P1 以上が要ります。
• Google Workspace: SSO（OpenID Connect）。SCIM は使えないので、自動の登録と、名簿のまとめて登録で代えます。

ほかの、OpenID Connect に対応した ID 基盤も、このページの値でつなげます。

先に決めること

1. だれを入れるか。ID 基盤で Aiyori のアプリに割り当てた人とグループだけが入ります（全員にはしません）。SCIM のときは、割り当てた部署や入社年次のグループが、そのまま Aiyori のグループになります。
2. ログインのしかた。会社のアカウントだけにするか、暗証番号でも入れるようにするか。大きな会社には、会社のアカウントだけをおすすめします（退職した人が、暗証番号で入れなくなります）。
3. 名簿の入れ方。SCIM で自動で入れる（Okta・Microsoft Entra ID）、会社のアカウントで初めてログインした人を自動で登録する、表（CSV）で毎月まとめて登録する、のどれかです。Google Workspace は SCIM が無いので、後ろの 2 つです。

ID 基盤に入れる、Aiyori の値

リダイレクト URI と SCIM のベース URL は、講師の画面の「設定」→「会社の ID 基盤とつなぐ」にも出ています（コピーのボタンつき）。設定を変えられるのは、組織の管理者（組織を作った人）だけです。

リダイレクト URI

https://app.aiyori.app/api/web/sso/callback
ID 基盤の、Aiyori のアプリに登録します。1 字でも違うとログインできません。

SCIM のベース URL

https://app.aiyori.app/api/scim/v2
Okta の SCIM connector base URL、Entra ID の［テナントの URL］に入れます。

SCIM の鍵

「会社の ID 基盤とつなぐ」の「鍵を作る」で作ります。作ったときに 1 回だけ表示されます（1 組織 5 本まで）。Okta の Bearer トークン、Entra ID の［シークレット トークン］に入れます。

ログインの入口（会社のポータルのタイル用）

https://app.aiyori.app/api/web/sso/start?code=（組織コード）
Okta の Initiate login URI、Entra ID の［ホーム ページの URL］に入れると、会社のポータルのタイルから、組織コードを入れずに会社のログインへ進めます。

Aiyori に入れる値

「会社の ID 基盤とつなぐ」の「SSO」に入れて、「保存する」を押します。

発行元の URL（Issuer）

ID 基盤ごとに違います。Okta は https://（組織）.okta.com、Microsoft Entra ID は https://login.microsoftonline.com/（テナント ID）/v2.0、Google Workspace は https://accounts.google.com です。

クライアント ID

ID 基盤のアプリの ID。

クライアントシークレット

ID 基盤のアプリのシークレット。暗号化して保存し、保存したあとは画面に出しません。

受け付けるメールアドレスのドメイン

会社のメールのドメイン（例 example.co.jp）を、1 行に 1 つ。必ず入れてください。入れないと、ID 基盤が通した人ならだれでも入れます（Google Workspace は、入れないと保存できません）。

自動の登録

SCIM を使わないとき（Google Workspace など）は、「まだ登録されていない人が来たら、受講者として登録する」を入れます。ドメインが合う人だけが登録されます。

暗証番号のログインを止めて、会社のアカウントだけにする

会社のアカウントで入れることを、1 人で確かめてから入れます。

保存するとき、Aiyori は発行元の案内（発行元の URL のあとに /.well-known/openid-configuration）を読みます。読めなければ保存できません。発行元は、https で始まる公開の URL だけです（社内の名前・IP アドレスは使えません）。

保存したら、「自分で試しにログイン」の「自分の会社のアカウントで試す」で、管理者の会社のアカウントでログインし、Aiyori に戻ってこられるかを確かめられます（受講者としては登録しません）。

受講者のログイン

• 研修のリンクのログイン画面で「会社のアカウントでログイン」を押し、組織コードを入れる → 会社のログインの画面 → Aiyori に戻ります。
• 会社のポータル（Microsoft の［マイ アプリ］・Okta のダッシュボード）にタイルを置くときは、上のログインの入口の URL を使います。組織コードを入れずに進めます。
• 人の見つけ方は、前に会社のアカウントでつないだ人 → 会社のメールアドレスが同じ受講者、の順です（Entra ID は、SCIM の userName が UPN と同じ受講者も）。どちらも無ければ、自動で登録する設定のときだけ、ドメインが合う人を登録します。
• 入れないときは、理由が画面に出ます（ドメインが違う・まだ登録されていない・会社の設定で停止中・利用を終えている）。

SCIM で起きること

部署（department）・社員番号（employeeNumber）の属性は、SCIM では使いません（グループで分けます）。社員番号で同じ人を見分けたいときは、表（CSV）でのまとめて登録を使います。

受講者を利用終了にする（30 日後に記録が消える）かは、ID 基盤ではなく、講師が受講者の画面で決めます。

鍵が漏れたときは、Aiyori の画面でその鍵を「無効にする」にし、新しい鍵を作って ID 基盤に入れなおします。止まるのは同期だけで、受講者のログインは止まりません。

うまくいかないとき