1. ユーザーが自社ブランドのサブドメイン (例: mycompany.box.com) で \[**続ける**] をクリックします。
2. BoxからIdPにリクエストが転送されます。 ユーザーはIdPログインページにリダイレクトされます。
3. ユーザーが会社の資格情報を使用してログインします。
4. ユーザーストアの情報をもとにユーザーを検証します。
5. SAMLアサーションがBoxに返信されます。 IDプロバイダからのSAMLアサーションの応答には、少なくともユーザーのメールアドレスが含まれている必要があります。 メールアドレスは、Boxアカウントのユーザーに対応したものでなければなりません。 ユーザーの姓と名の属性も通常はパラメータとして送信されますが、これらはSSOを有効にするために必須ではありません。
6. ユーザーのセッションが認証され、Boxアカウントにログインします。
***検出*** - IdP (IDプロバイダ) の選択が完了したら、[SSO設定のサポートフォーム](https://support.box.com/hc/ja/requests/new?ticket_form_id=360002612594)に入力します。 フォームで必要な情報については、このページの手順を参照してください。
***設定*** - SSO設定のサポートリクエストが提出されると、サポートチームが当社SP (サービスプロバイダ) からお客様のIdPへの接続を設定します。 同様にお客様側でも、当社からお伝えした[メタデータまたは情報](#account-creation-emails)を使用してお客様のIdPから当社のSPへの接続を設定する必要があります。
***テスト*** - Enterprise設定の \[**SSOの有効化**] をオンにすると、会社のBoxログインページが表示されます。 この会社ブランドのページを変更したり、削除したりすることはできません。
**SSOの有効化**のフェーズでは、管理対象ユーザーは会社のメールアドレスとパスワードを使用してBox.comにログインできます。あるいは、Boxサブドメインを通じて会社のログイン資格情報を使用できます。 この設定は、テスト中は使用可能ですが、本番フェーズでは \[**SSO必須モード**] に変更する必要があります。
***展開*** - テスト後は、Boxインスタンスを \[**SSO必須モード**] の状態に移行し、すべての管理対象ユーザーがIdPログインページから会社のログイン資格情報を使用した場合のみログインできるようにする必要があります。 Box製のアプリケーション (Box Syncなど) はすべてSSOを使用できます。 これはSSOの使用を強制するため、推奨される方法です。 SSOで認証できない管理対象ユーザー (請負業者、ベンダーなど) がいる場合は、 アカウントのSSOを必須にしないでください。
ADFS 2.0/3.0 | SSOの設定にはメタデータxmlファイルが必要です。 ADFSメタデータファイルの入手方法:
| ヘルプ記事 |
Entra ID | SSOの設定にはメタデータxmlファイルが必要です。 Entra IDメタデータファイルの入手方法:
| ヘルプリンク |
Bitium | SSOの設定にはメタデータxmlファイルが必要です。 Bitiumメタデータファイルの入手方法:
| |
Entrust Identity | SSOの設定にはメタデータxmlファイルが必要です。 Entrust Identityメタデータファイルの入手方法:
| ヘルプリンク |
Google Cloud | SSOの設定にはメタデータxmlファイルが必要です。 Google Cloudメタデータファイルの入手方法:
| ヘルプリンク |
Nopassword (WiActs) | SSOの設定にはメタデータxmlファイルが必要です。 NoPasswordメタデータファイルの入手方法:
| |
MobileIron | SSOの設定にはメタデータxmlファイルが必要です。 MobileIron Accessメタデータファイルの入手方法:
| |
Okta | SSOの設定には、外部キー、リダイレクトURL、および公開証明書が必要です。 情報の入手方法:
| 設定ガイド |
OneLogin | SSOの設定にはメタデータxmlファイルが必要です。 OneLoginメタデータファイルの入手方法:
| 設定ガイド |
PingIdentity | SSOの設定にはメタデータxmlファイルが必要です。 このxmlファイルには、以下のメタデータが含まれている必要があります。
PingIdentityメタデータファイルの入手方法:
詳細については、PingIdentityドキュメントのPingFederateからのSAMLメタデータのエクスポートに関するトピックを参照してください。 | |
その他/カスタムIdP | ご利用のIdPに直接お問い合わせいただき、メタデータファイルまたはエンティティID、リダイレクトURLおよび署名証明書を入手してください。 この情報をもとにSSO設定のサポートフォームに入力します。 |
新規アカウント保有者には、パスワードの設定を求める「Boxへようこそ」と記載されたメールがデフォルトで送信されます。 これらのアカウント保有者はBoxのパスワードでなくADパスワードを使用してログインしているため、これは紛らわしい通知です。
### SSOログアウトURL
デフォルトで、Boxからログアウトしたユーザーは自社のBoxログインページに戻ります。 ただし、Boxはシングルログアウト (SLO) をサポートしていないので、ユーザーは会社のIdPで認証されます。このため、ユーザーが \[続ける] ボタンをクリックすると自動でBoxアカウントにリダイレクトされ、メールアドレスとパスワードを入力する必要はありません。
BoxからログアウトしてもIdPセッションからログアウトしないことをユーザーに知らせるため、BoxをログアウトするときのリダイレクトURLを変更できます。 例として、IdPのホームページやIdPのログアウトページをURLに使用できます。
#### カスタムログアウトURLの設定
ご希望のログアウトURLをBox担当者にご連絡ください。
プロビジョニング済みのアカウントがないことが原因でユーザーログインに失敗することがないように、自動プロビジョニングを有効にした**後に**自動登録を有効にすることを強くお勧めします。 自動登録を有効にする方法については、[ドメインの自動登録](/ja/box-admin-tools/how-to-guides-for-admins/domain-management-verification-and-auto-enrollment#domain-auto-enrollment)を参照してください。
## SSOを使用したBoxのグループ登録
SSO有効またはSSO必須のアカウントに対して管理者または共同管理者は、Boxに配置したユーザーストアにグループを設定することができます。 これは、SAMLアサーションを使用したユーザーストアからBoxへの1方向の通信となります。 SSOを使用してBoxにログインしたユーザーは、ユーザーストア内のグループとBox管理者または共同管理者が選択した設定に応じて、グループに追加またはグループから削除することができます。
SAMLアサーションには、グループ情報を伝えるための属性が必要です。 既存のSSO接続については、変更が必要になる場合があります。
グループ情報は、複数値の属性を使用して送信されます。
```python theme={null}
一部のIdPでは、SSOを有効にすると自動的にこのセクションが表示されます。
* SSOにOktaまたはGoogle Cloudを使用している場合、このいずれかのIdPに対してSSOを有効にし、メタデータファイルをアップロードすると、\[ユーザーグループ設定] セクションが表示されます。
* SSOにOneLogin、ADFS (Active Directory)、またはSAMLグループに対応するその他のIdPを使用している場合は、サポート担当者に問い合わせて、\[ユーザーグループ設定] セクションを有効にしてください。
以下に各設定について簡単に説明します。
* **SSOユーザーのログイン時に新規グループを追加** – ユーザーを含むグループが送信されて、Boxのグループに完全一致する名前がない場合、このグループは新しいBoxグループとして追加されます。 このグループには管理コンソールで権限を手動で割り当てる必要があります。 この設定を使用すると、複数のグループの正確な名前を管理者アカウントの元に集約できます。
* **SSOユーザーのログイン時にグループにユーザーを追加** – ログインSAMLアサーションでグループが送信され、そのグループが既存のBoxグループの名前と一致した場合、ユーザーはそのBoxグループに追加されます。 この設定と次の設定 (「ユーザーを削除」) が有効になっている場合は、毎回のログイン時に、ユーザーストアのグループメンバーシップによってBoxユーザーのグループメンバーシップが更新されます。
* **SSOユーザーのログイン時にグループからユーザーを削除** – 現在ユーザーが既存のBoxグループに含まれ、ログインSAMLアサーションでグループが送信されない場合、ユーザーはそのBoxグループから削除されます。 この設定と前の設定 (「ユーザーを追加」) が有効になっている場合は、毎回のログイン時に、ユーザーストアのグループメンバーシップによってBoxユーザーのグループメンバーシップが更新されます。
3つすべてのSSOグループオプションが有効になっている場合、Boxにおけるグループ作成とメンバーシップはユーザーストアに基づいて管理されます。
#### 制限事項
* ネストグループはサポートされません。 グループ階層は折りたたんだ状態である必要があります。 必要に応じてグループ階層の折りたたみが可能であるか、ご利用のIdPにお問い合わせください。
* この方式は (SAMLによる) 1方向の通信です。 Boxのグループに対する変更は、ユーザーストアには反映されません。 ユーザーストアに変更が適用されないと、ユーザーのグループメンバーシップは次回のログイン時に元の設定に戻ります。
* グループメンバーシップはユーザーのログイン時に同期されます。 ユーザーがログアウトしないと、新しいSAMLアサーションが送られず、ユーザーのグループメンバーシップが最新でなくなる場合があります。
* SSOでは、ユーザーのグループメンバーシップの作成と更新が可能です。
* グループ権限は、BoxウェブアプリまたはAPIを使用して手動で割り当てる必要があります。
また、Active Directoryのグループは100個に制限されています。 グループがAPI (Entra IDなど) を使用して追加された場合、この制限は適用されません。
## SSOを使用したユーザーアカウントのメールエイリアスの追加
SSOを有効にしたEnterpriseアカウントでは、管理者または共同管理者がSSOを使用してメールエイリアスを設定できます。
SAMLアサーションは、メールアドレス情報を伝えるため2つの個別の属性を必要とします。 ユーザーがログインするアカウントを判別するための識別子として単一値の属性が使用されます。 この属性は、すべてのメール通知を受信するプライマリメールアドレスの判別にも使用されます。 メールエイリアスは、2番目の複数値属性で送信されます。
```python theme={null}