シングルサインオン（SSO）

SAML 2.0 または OpenID Connect の ID プロバイダー（Okta、Microsoft Entra ID、Google Workspace、OneLogin、Ping など）を接続すれば、チームは会社の資格情報でログインできます。Enterprise プランで利用可能です。初回ログイン時にユーザーアカウントを自動作成することもできます（ジャストインタイム・プロビジョニング）。

SSO の設定

1. 「会社設定」→「シングルサインオン」を開きます
2. プロトコル（SAML 2.0 または OpenID Connect）を選択します
3. 「ID プロバイダーに入力する値」に表示される値を ID プロバイダーに渡します。SAML では Entity ID と ACS URL（またはメタデータ URL だけ）、OIDC では Redirect URI です
4. SAML の場合：IdP のメタデータ URL（またはメタデータ XML）を貼り付けます。OIDC の場合：ディスカバリー URL、クライアント ID、クライアントシークレットを入力します
5. 「メールドメイン」セクションで、ユーザーがサインインに使う各ドメインを追加します（例：acme-corp.com）
6. 表示された DNS TXT レコードをそのドメインに公開し、「確認」をクリックします
7. 「SSO ログインを有効にする」をオンにし、「設定を保存」をクリックします

なぜドメインの確認が必要か

ドメインは、DNS の TXT レコードで所有を証明して初めて、あなたの ID プロバイダーへ振り分けられます。これにより第三者があなたのドメインを主張することを防げますし、利用者に対して SSO の自動判別を働かせるための前提でもあります。

ログインポリシーの選択肢

ジャストインタイム・プロビジョニングは、最初の SSO ログインが成功した時点で（選んだ既定ロールで）ユーザーを自動作成します。「SSO を必須にする」は、確認済み SSO ドメインの利用者からパスワードログインを塞ぎます。SSO が動き出したら有効にすることを勧めます。会社の ID が唯一の正となるためです（NIST 800-63）。

利用者のログイン方法

ログイン画面で会社のメールアドレスを入力し、「SSO でログイン」をクリックします。ID プロバイダーへリダイレクトされ、認証されると FreeMaint に戻ってきます — FreeMaint のパスワードは不要です。

FreeMaint が IdP のシークレットを保管することは決してありません。専用の自社ホスト型 ID ブローカーが保持します。SAML アサーションの検証も、署名ラッピングへの防御も、すべてそちらで行われます。