SAML SSO：実装ガイド
SAML SSO の実装により、組織はアイデンティティプロバイダーを使用して Wrike でシングルサインオンを安全に設定でき、ユーザーは企業の認証情報でアカウントにアクセスできます。これにより、認証を一元化し、セキュリティを向上させ、ユーザー管理を簡素化します。
| Availability: Legacy Enterprise.; Unavailability: Legacy Free, Legacy Professional, Legacy Business.; |
アカウントオーナーと管理者で、高度なセキュリティ設定の構成の 権限を持つ場合、アカウントのSSOを有効にできます。
Legacy Enterprise、Pinnacle および Apex のユーザーは、アカウントで SAML ベースの SSO（SSO/SAML 認証連携）が有効になっている場合、企業の認証情報を使用して Wrike にアクセスできます。 シングルサインオン（SSO）とは、ID プロバイダー（IDP）が管理する単一の認証ポイントから、ユーザーが複数のアプリケーションにアクセスできるようにする様々な技術の総称です。 Security Assertion Markup Language（SAML 2.0）は、Wrikeがサービスプロバイダー（SP）としてサポートしている、認証および認可データをやりとりするための主要な業界基準です。 認証の際に実際のパスワードがWrikeとの間でやり取りされることはありません。 その代わり、Wrikeは、限られた時間内のみ有効なデジタル署名付きのユーザーIDのSAMLアサーションを受け取ります。
ヒント
IDPに許可されている場合は、暗号化されたAML SSOアサーションを有効にできます。 SAML SSOの構成時にこのオプションを有効にする場合は、サポートチームにお問い合わせください。
SSOを有効にした後の動作の詳細については、SAML SSO：ユーザーガイドページを参照してください。
- 大規模組織向けのスケーラブルなユーザー管理。 ジャストインタイムのユーザープロビジョニングを使用すると、Enterpriseアカウントや管理方法の設定に通常費やす時間を節約できます。 Wrikeは、お客様のディレクトリから新規ユーザーがSSO経由でWrikeにログインするたびに、お客様のアカウントにユーザープロフィールを作成します。追加で招待を送る必要はありません。 社内ディレクトリから削除された従業員は、会社のWrike利用プランに自動的にアクセスできなくなりますが、そのタスクや活動履歴の記録はそのまま残ります。
- 統一されたユーザー名形式。ユーザー識別は一元的に管理されるため、Wrike上のユーザー名がディレクトリ内の名前と一致します。
- 社内のセキュリティガイドラインへの準拠。 IT管理者は、認証をより細かく制御できます。 ユーザーが自分で名前やメールアドレスを変更することはできません。 社内で採用しているセキュリティポリシーは、Wrikeにも適用されます。
- ユーザーのパスワード疲労を軽減。一度企業ネットワークにログインすると、別のログイン認証を入力することなくWrikeを開くことができます。
- SSOが提供するアクセスのしやすさは、Wrikeのシームレスな導入を促進します。 また、ログインアクティビティを監視し、収集したSSOメトリクスをWrikeの導入状況の追跡に利用することもできます。
WrikeのアカウントでSSO/SAML連携を有効にすると、アカウントのすべてのユーザーは以下の操作を実行できなくなります：
- Wrike内で名前を編集する。名と姓は、IDプロバイダーによって割り当てられます。 SSO の対象外のユーザーの場合、Wrike のアカウント管理者は Wrike の設定でユーザーの名前を編集できます。
-
Wrikeプロフィールからのメールアドレスの変更。これには、アドレスの追加も含まれます。 ただし、Wrikeの管理者が代わりにこの操作を実行する条件として、ユーザーが新規のアドレスを確認できる必要があります。そのためには、ユーザーが元のメールアドレスを使用してWrikeにログインし、元のメールアドレスの受信トレイにアクセスして確認リンクをクリックする必要があります。 他のケースでは、管理者がサポートに連絡して、ユーザーのメールアドレスを変更する必要があります。 サポートへ連絡することによりのみ、アカウントオーナーのメールアドレスを変更できます。
SSO scope 内のユーザーは次のことができません:
- Wrike で2 段階認証を有効化 します。 このセキュリティ機能でアカウントを保護する場合は、ID プロバイダーで設定する必要があります。
- Wrikeパスワードを使用したWrikeへのログイン。原則として、ブラウザーでWrikeにアクセスしようとすると、IDプロバイダーが管理するログインページにリダイレクトされます。 一部の統合ツールは、SSO をネイティブでサポートしていません（バックアップツールや従来の API-v2 アプリなど）。 SSO ユーザーは、これらのツールを承認するためにワンタイムパスワードを生成する必要があります。
SSOの設定方法は、Wrikeをどのように使用しているか（または使用する予定か）によって異なります。
-
オプションモード：このモードでは、アカウント内のすべてのユーザーがパスワードかIDPベースのログインを使用してログインできるようになります。 このオプションはデフォルトで設定されており、新しいSSO連携をテストするのに便利です。 アカウント全体にSSOを適用する前に、まずはこのオプションから始めて、すべてが正しく動作することを確認することをお勧めします。
注
このオプションモードでは、login.wrike.com/loginページは、そのアカウントにSAML SSOが設定されていないものとして、ユーザーに通常のログインを求めます。
SAML SSO の手順を実行するには、login.wrike.com/sso ページをブラウザで使用してください。 注意: Wrike デスクトップアプリとモバイルアプリは、通常の Wrike ログインページ (login.wrike.com/login/) のみを使用します。オプションモードでは、これらからのログインは通常のログインフロー (Wrike パスワードを使用) のみになります。
- Wrikeを会社の従業員のみが使用する場合：SSOはアカウントのすべてのユーザーに対して有効にできます。
-
Wrikeを従業員と非従業員の両方で使用する場合：メールのドメインに基づいてユーザーにSSOを有効にすることができます。
注
この場合、SAML SSOを有効にする前に、[アカウント管理] セクションの [セキュリティ] タブからメールドメインを追加して承認する必要があります。 承認されるためには、メールドメインが会社に属している必要があります。
承認されたメールドメインを持つアドレスのユーザーはSSO経由でWrikeにログインでき、承認されたメールドメインを持たないアドレスのユーザーはWrikeのユーザー名とパスワードでログインします。 2段階認証を有効にすると、承認されたドメインを持たないユーザーに対して、より安全なログインオプションを提供できます。
SSOを有効にした後に承認済みドメインを追加する場合、管理者は前述のプロセスに従う必要があります。
ほとんどの場合、ドメインのドメイン名システム（DNS）レコードを更新する必要があるため、承認プロセスにはシステム運用チームの協力が必要となります。 SAMLを有効にする前に承認済みドメインを追加して、SAMLを有効化したときにすぐに適用されるようにすることをお勧めします。
SSOを有効にする前に、次のことを確認することが重要です：
- 各ユーザーのWrikeアカウントに関連付けられているメールアドレスが、会社ディレクトリのメールアドレスと一致する。
-
このアカウントでSSOがまだ有効になっていない。 確認する手順：
- プロフィール写真をクリックします。
- ドロップダウンから設定を選択します。
- 左側のパネルでセキュリティをクリックします。
- セキュリティページで、SAML SSOセクションまでスクロールします。
- SAML SSOヘッダーの近くに無効タグが表示されていることを確認します。
さらに、互換性の確認も必要です：
- ご利用の ID プロバイダーや SSO プロバイダーがSAML 2.0 を使用した連携認証をサポートしていることを確認します。 互換性のある SSO ソリューションには、Okta、OneLogin、PingFederate、Microsoft AD FS、Google Apps identity service などがありますが、これらに限定されません。 Oktaが提供するID管理サービスを使用している場合は、こちらの手順に従ってWrikeをアプリケーションの一覧に追加できます。
- アカウントにカスタム SAML ベースの SSO を設定するには、Wrike が使用する標準パラメータとオプションに関するメタデータファイルを参照してください。 次のユーザー属性を含める必要があります：firstName；lastName；NameID （メールアドレスである必要があります）。
- プロフィール写真をクリックします。
- ドロップダウンから設定を選択します。
- 左側のパネルでセキュリティをクリックします。
- セキュリティページで、SAML SSOセクションまでスクロールします。
- SAML SSOの設定ボタンをクリックします。
- 表示されるウィンドウで、Wrikeメタデータを使用してIDプロバイダーを設定し、続行をクリックします。
-
次に、プロバイダーからメタデータを指定するよう求められます。 次の2つのオプションから選択できます：
- XMLを提供するリンクを入力する
- XMLをテキストとして入力する
- 次へをクリックします。
- 正しいパラメータが選択されていることを確認し、続行してSAMLを有効化ボタンをクリックして決定を確定します。
- SSOの実装を確認するコードが記載されたメールが送信されます。
- 表示されるポップアップウィンドウにメールに記載されたコードを入力します。
- 確定をクリックします。
- （オプション）新しいアカウント設定をテストします。
- SAMLの設定を保存ボタンをクリックします。
SSOを有効にしたら直ぐに、ユーザー受け入れテストを実施し、さまざまなユースケースをテストすることをお勧めします。 SSOの使用方法についての詳しい情報は、SAMLを使用したシングルサインオンページで確認できます。
注
作業項目 (タスク、フォルダー、プロジェクト、スペース、カスタム項目タイプなど) は、SSOを通じてアカウントに新しく参加したユーザーと自動的に共有されません。 SAML SSOを使用してログインしても、既存の共有設定は変更されません—アイテムは以前と同じ人々と共有されたままです。
会社のActive Directoryからユーザーグループは 自動的にWrikeに転送されませんが、 直接Wrikeでユーザーグループを作成できます。
弊社のヘルプセンターページでタスク、フォルダー、及びプロジェクトの共有について詳細に学びましょう。
注
承認済みメールドメインを追加するには、システム運用チームの支援が必要な場合があります。
- Wrike作業スペースの右上隅にあるプロフィール画像をクリックします。
- ドロップダウンから設定を選択します。
- 左側のパネルでセキュリティをクリックします。
- 承認済みドメインセクションまでスクロールします。
- ドメインの追加をクリックし、適切なメールドメインを入力します。
- 追加をクリックします。
-
ポップアップウィンドウが表示され、ドメインの承認手順が示されます。
注
Wrikeの設定にドメインを追加すると、オプションのSAML SSOモードが利用できなくなるか、グレーアウトします。 これは、承認済みのドメインがある場合にはそのドメインを持つユーザーにSAML SSOが強制され、この設定ではシステムがオプションモードを許可しないためです。 オプションモードは、アカウントに承認済みのドメインが追加されていない場合にのみ利用可能です。
- 表示される指示に従います。 ドメインの承認には最大24時間かかる場合があり、システム運用チームの支援が必要になる場合もあります。
- 変更を保存するをクリックします 。
- 確認コードが記載されたメールが、メインメールアドレス宛に送信されます。
- メールに記載されたコードをコピーして、表示されたポップアップに貼り付けます。
- 確定をクリックします。
複数のWrikeアカウントを持ち、同一のIDP経由でSAMLベースのSSOを有効にしている大企業チームは、すべてのアカウントを1つのネットワークに統合できます。 これにより、ユーザーはIDP経由で企業の認証情報を使用して、接続されているすべてのWrikeアカウントへの招待を受け取ったり、参加したりできます。
注意：このスキームの実装にはいくつかの前提条件があり、Wrikeカスタマーサポートのみによって有効化できます。 詳細については、Wrikeカスタマーサポートまでお問い合わせください。
この記事は役に立ちましたか？
Thank you for your feedback.
Thank you for your feedback.