SSO と接続元 IP の制限

Business と MSP の組織で使えます。設定を変更できるのは OWNER です。

SSO の設定

設定の「セキュリティ」にある「SSO」でメールドメインを追加します。表示された _spectra-sso.ドメイン の TXT レコードと spectra-sso=確認値 を DNS に登録し、「確認する」を実行します。
IdP のメタデータ XML を貼り付けて保存します。
画面の ACS URL とエンティティ ID を IdP に登録します。NameID はその組織で確認済みのドメインのメールアドレス（emailAddress）にします。
「SSO でサインインを試す」で成功を確認してから有効にします。試すときのアドレスは OWNER 本人の主アドレスまたは確認済み追加アドレスが必要です。要求は 5 分間有効で、期限切れなら開始し直します。
その組織の SSO で入った OWNER が「必須にする」を設定できます。必須の組織はその組織の SSO で入ったセッションからだけ閲覧できます。

IdP に登録する値は同じ画面の「IdP に登録する値」からコピーしてください。ACS は /api/sso/saml/acs/組織ID、エンティティ ID は /sso/saml/組織ID をサービスの origin に続けた値です。

初めて SSO で入る人は VIEWER として参加します。メンバーと有効な招待の合計がプラン上限に達していると新規参加はできません。ドメインが未確認の場合も入れません。

SSO が有効な確認済みドメインのアドレスにはメールのサインインリンクを送らず、パスキーも使えません。SSO の「必須」設定とは別に適用されます。

新しい署名証明書を含むメタデータを貼り付けて保存し、もう一度「試す」を成功させて有効化してください。メタデータの保存は SSO を無効にするため、切り替えを計画して行ってください。

設定の「セキュリティ」にある「アクセス制限」で、許可する IP または CIDR を追加して有効にします。IPv4 / IPv6 に対応し、最大 50 範囲です。画面での組織データへのアクセスと監査ログ API の両方に適用されます。

現在の接続元が許可範囲から外れる有効化・削除は保存できません。自宅や VPN から使えない場合は、その出口 IP が許可されているか OWNER に確認してください。

アクセスできなくなった場合は運営へ連絡してください。運営が本人確認のうえで IP 制限や SSO 必須設定を解除します。SSO ドメインのメールリンクが復活するとは限らないため、解除対象を確認してください。

プランが対象外になると SSO と IP 制限は設定を残したまま効かなくなります。

お問い合わせ: support（at）elf.ne.jp（リンクが表示されない場合は（at）を @ に置き換えてください）