Google Workspace と
つなぐ（SSO）

できること・できないこと

SSO（OpenID Connect）

できます。会社の Google アカウントでログインします。

SCIM

できません。Google Workspace が SCIM で人を送るのは、Google のカタログにあるアプリだけです。

SCIM の代わりにすること

• Aiyori の「まだ登録されていない人が来たら、受講者として登録する」を入れます。会社のドメインの人が初めてログインしたときに、受講者になります。
• 部署などのグループ分けと、前もっての登録は、Google の管理コンソールから書き出した名簿を、Aiyori の「まとめて登録」（CSV）で入れます（下の 4）。
• 退職した人は、Google のアカウントを止めればログインできなくなります。Aiyori の受講者は残るので、毎月の名簿の取り込みのときなどに、講師が受講者の画面で停止か利用終了にします。
• どうしても自動にしたい会社は、Okta や Microsoft Entra ID を Google の前に置けば、SCIM を使えます。

要るもの

• Google Cloud のコンソール（https://console.cloud.google.com）で、会社の組織の中にプロジェクトを作れる人。
• Google Workspace の管理コンソールの特権管理者は要りません（Aiyori が求めるのは openid email profile だけで、機密の範囲を使いません）。
• 費用はかかりません（OAuth クライアントは無料です）。

1. プロジェクトと同意の画面

1. Google Cloud のコンソール → 上のプロジェクトの選択 →［新しいプロジェクト］→ 名前は aiyori-sso、［組織］に会社の組織を選んで［作成］。
2. ［Google Auth Platform］（メニューの［API とサービス］→［OAuth 同意画面］から入ります）→［開始］。アプリ名は Aiyori、ユーザー サポートのメールと連絡先には IT 担当のアドレス、［対象］は［内部］にして、同意して［作成］。
3. ［データアクセス］には何も足しません（openid・email・profile は、はじめから使えます）。

［対象］を［内部］にすると、会社の Google Workspace の人だけがログインできます。会社の外の Google アカウントは、Google の画面で止まります。

2. OAuth クライアント

1. Google Auth Platform →［クライアント］→［＋ クライアントを作成］。
2. アプリケーションの種類は［ウェブ アプリケーション］、名前は Aiyori。
3. ［承認済みのリダイレクト URI］→［＋ URI を追加］→ https://app.aiyori.app/api/web/sso/callback。［承認済みの JavaScript 生成元］は空のままでかまいません。
4. ［作成］→ クライアント ID とクライアント シークレットを控えます。シークレットは、あとから見られないことがあります。控え忘れたら、クライアントの画面で新しいシークレットを足して入れ替えます。

3. Aiyori に入れる

Aiyori の講師の画面 →「設定」→「会社の ID 基盤とつなぐ」→「SSO」に入れて、「保存する」を押します。

発行元の URL（Issuer）

https://accounts.google.com

クライアント ID

2 で控えたもの（….apps.googleusercontent.com）

クライアントシークレット

2 で控えたもの

受け付けるメールアドレスのドメイン

必ず入れます（空では保存できません）。会社の Google Workspace の主ドメイン（例 example.co.jp）と、社員のメールアドレスに使っている別のドメイン（セカンダリ ドメイン）があればそれも、1 行に 1 つ。

自動の登録

「まだ登録されていない人が来たら、受講者として登録する」を入れます（SCIM が無いため）。

保存したら、会社のアカウントで 1 人ログインして確かめます（ログイン画面 →「会社のアカウントでログイン」→ 組織コード → Google のアカウントの選択 → Aiyori に戻る）。管理者は、「自分で試しにログイン」の「自分の会社のアカウントで試す」でも試せます。

発行元の https://accounts.google.com は、どの Google アカウントでも同じです。だれが入れるかは、同意の画面の［内部］と、Aiyori の受け付けるドメインの 2 か所で絞ります。どちらも必ず設定してください。

4. 名簿とグループ

1. Google の管理コンソール →［ディレクトリ］→［ユーザー］→［ユーザーをダウンロード］（CSV）。
2. 表計算ソフトで開き、氏名（姓と名を 1 つの列にまとめる）・メールアドレス・部署（組織部門の Org Unit Path などを、分かりやすい名前に）の 3 列にして、見出しをこの名前に書き換えます。Google の見出し（Email Address [Required] など）のままでは読めません。
3. Aiyori の受講者の画面 →「まとめて登録」に貼るか CSV を選ぶ →「確かめる」→ 登録。部署の列がグループになります（1 回 1,000 人まで）。
4. 入社・異動のたびに（または毎月）、同じことをします。同じ人は直されるだけで、二重にはなりません（社員番号 → メールアドレスの順で見分けます）。

5. つないだ日に確かめること

• 会社のアカウントで入れる。初めての人は、受講者として登録される。
• 会社の外の Google アカウント（個人の gmail.com）は、Google の画面で止まる（同意の画面が［内部］のため）。止まらなくても、Aiyori で入れない（hd が無いため）。
• Google のアカウントを停止した人は、会社のアカウントで入れない。

Google Workspace の決まりごと

Aiyori は、Google のログインのあとに、次のことを確かめます。

• ID トークンの発行元（iss）が https://accounts.google.com か accounts.google.com であること（Google はどちらも使います）。
• hd（その人の Google Workspace の主ドメイン）が、受け付けるドメインのどれかであること。個人の Google アカウント（gmail.com など。hd がありません）と、ほかの会社の Workspace の人は入れません（同意の画面を［外部］にしてしまっても、ここで止まります）。
• メールアドレス（email）のドメインも、受け付けるドメインのどれかであること。email_verified が false の人は入れません。
• 初めての人は、自動の登録を入れていれば、受講者として登録されます（ID はメールアドレスの @ の前、名前は Google の表示名）。2 回目からは、Google の sub で同じ人と分かります。