SSO と SCIM

Enterprise の組織は、SAML シングルサインオン と SCIM プロビジョニング の ために自社の ID プロバイダー（IdP）を接続できます。メンバーは自社の IdP で サインインし、ディレクトリの変更に応じてユーザーが自動でプロビジョニング / デプロビジョニングされます。どちらも 組織コンソール → 設定 → SSO / SCIM から設定し、admin / owner 限定 で、Enterprise プラン が 必要です（そうでない場合、Hub はプランが必要であることを示す通知を返します）。

SAML シングルサインオン

IdP をトラストアンカーとして接続し、組織のメンバーがそれを通して認証するように します。

IdP 側の設定（設定 → SSO）:

保存すると、コンソールは証明書の SHA-256 フィンガープリントを表示し、設定を削除 せずに SSO を 有効化 / 無効化 できるようになります。

SP 側の情報を IdP に渡す（コンソールの Service provider details カード）:

• SP メタデータ URL — 公開されており、ほとんどの IdP が直接インポートできる SP メタデータ XML を返します。
• SP Entity ID（Audience） と ACS URL（Assertion Consumer Service / リプライ URL）。

Entity ID、SSO URL、署名証明書はすべて必須です。SSO URL は有効な HTTPS URL で なければならず、証明書はパースできる必要があります。

SCIM プロビジョニング

SCIM は、標準の SCIM プロトコルを通じて、SCIM ベアラートークン を鍵として IdP が組織メンバーを自動でプロビジョニング / デプロビジョニングできるようにします。

1. トークンを発行 します（設定 → SCIM）。任意でラベルを付けられます（例: 「Okta production」）。トークンは 1 回だけ 表示されます。コピーして、IdP の SCIM コネクターにベアラートークンとして貼り付けてください。二度と表示され ません。
2. その後、IdP がメンバーの作成・更新・無効化を自動で行います。
3. トークンを 失効 させると、その IdP からのプロビジョニングを即座に止められます。

グループ → ロールのマッピング

IdP グループの表示名を組織ロールに対応付けると、ディレクトリのグループが組織 ロールを決めるようになります。マッピングされたグループのメンバーはそのロールを 受け取ります（最上位のロールが優先。owner はこの方法では割り当てられません）。 マッピングを削除すると、影響を受けるメンバーが再計算されます。

グループ → ロールのマッピングは、より新しい Hub の機能に依存します。それより 前のサーバーでは、コンソールはそのセクションについてのみ「このサーバーでは まだ利用できません」という通知を表示します。SCIM トークンによるプロビジョニング は引き続き動作します。

ロール

admin と member のロールは、SSO の JIT（デフォルトロール）と SCIM のグループ マッピングを通じて付与できます。viewer も割り当て可能です。owner が自動で 割り当てられることはありません — SSO でも SCIM でも、所有権はコンソールで明示的に 管理します。

関連

• 組織の概要 — メンバー、ロール、コンソール
• 組織のエージェントとトークン — 登録トークンと組織 API キー
• 請求と支出 — 共有ウォレットと支出上限