この記事を使って、IntercomワークスペースのSAMLシングルサインオン（SSO）を設定します。SAMLの有効化、IDプロバイダー（IdP）の設定、domainの検証、SSOのテストと強制、Just-in-Time（JIT）プロビジョニングの有効化、OneLoginとOktaのステップバイステップガイドをカバーしています。

設定後、SAML SSOはiOSおよびAndroidのIntercom Conversationsアプリでも動作します。

開始前に

重要：

SAML SSOはExpert Intercomプランでのみ利用可能です。詳細はプランと料金をご確認ください。
Intercomの設定 > ワークスペース > セキュリティにアクセスするための権限と、IDプロバイダーの管理者アクセス権が必要です。

ステップ1：IntercomでSAML SSOを有効にする

まず、IntercomワークスペースでSAML SSOを有効にして、IDプロバイダー用のURLを取得します。

設定 > ワークスペース > セキュリティ > 認証方法に移動します。
SAML SSOをオンに切り替えます。
オンにすると、SAML SSOの設定セクションが表示されます。
最初に表示されるのは、ワークスペース固有のSAML URLです。このページは開いたままにしておいてください。次のステップでこのURLが必要です。

ステップ2：IDプロバイダーを設定する

IDプロバイダーの設定（OktaやOneLoginなど）で、Intercomをアプリケーションとして追加する必要があります。ステップ1のSAML URLが必要です。

IdPの設定で以下のパラメーターを使用してください：

シングルサインオンURL： <SAML URL>/consume
受信者URL： <SAML URL>/consume
オーディエンス制限/エンティティID： <SAML URL>
NameID： メールアドレス
署名付きアサーション： はい
マッピングされた属性：
- firstName（ユーザーの名）
- lastName（ユーザーの姓）
暗号化： AES256_CBC暗号化を使用し、IdPの暗号化設定にIntercomの証明書（下記参照）を提供してください。

注意： IDプロバイダーが対応していれば、IdPの設定でセッションの有効期間を定義できます。これはチームメンバーのセッションが切れるまでの時間で、再度Intercomにログインが必要になります。未設定の場合、デフォルトは3.5日です。

ステップ3：IdPの詳細でIntercomを設定する

IdPを設定した後、その詳細をIntercomに戻して追加する必要があります。

IntercomのSAML SSO設定ページ（設定 > ワークスペース > セキュリティ）に戻ります。
IDプロバイダーから以下の情報を追加してください：
- IDプロバイダーシングルサインオンURL： ログインプロセスを開始するためのURLです。
- 公開証明書： IntercomがIdPからのSAMLリクエストを検証できるようにします。IDプロバイダーからの完全なX.509証明書（標準的なデジタル証明書形式）を貼り付けてください。

ステップ4：許可されたdomainを追加して検証する

SAML SSOで認証を許可するdomainを指定する必要があります。

「許可されたdomain」欄にdomainを入力し、domainを追加をクリックします。
domainのDNS設定に提供された値でTXTレコードを追加して、所有権を検証する必要があります。
TXTレコードを追加したら、DNSレコードを検証をクリックします。
検証が完了すると成功メッセージが表示され、domainが追加されます。複数のdomainを追加する場合はこの手順を繰り返してください。

注意： DNSレコードを作成したばかりの場合、まだ伝播中の可能性があります。警告メッセージ（「DNSレコードを検証できません。後でもう一度お試しください。」）が表示されたら、数分待ってから再試行してください。DNSの変更は完全に伝播するまで最大48時間かかることがあります。

このオプションのチェックを外してSAML SSOを必須のログイン方法として強制するには、SAML SSOでログインしている必要があります。設定保存後に行えます。

ステップ5：SAML SSOのテストと強制

すべてのteammatesに対してSAMLを強制する前に、設定をテストする必要があります。

セットアップをテストしてください：他の方法を無効にする前に、すべてのteammatesがSAML SSOで正常にログインできることを確認するために、Google Sign-OnとEmail and passwordのオプションはオンのままにしてください。
設定を保存してください。ページの下部にあります。
ログアウトして、Sign in with SAML SSOオプションを使って再度ログインし、設定をテストしてください。
SAML SSOを強制する（オプション）：正常にログインして設定が機能することを確認したら、設定に戻り、他のログイン方法のチェックを外すことができます。

注意：

他のログインオプションのチェックを外してSAML SSOを唯一のログイン方法として強制するには、ご自身がSAML SSOでログインしている必要があります。
ワークスペースでSAML SSOが有効になると、teammatesはAccount securityページから自分のメールアドレスを編集できなくなります。メール欄は読み取り専用になります。
他のログイン方法を削除する前に、すべてのteammatesがSAMLログインをテストし確認していることを確実にしてください。まだSAMLで認証していないteammateは、他の方法が無効になるとすぐにアクセスできなくなります。
既存のteammatesは自動的にSAMLに移行されません。現在のログイン方法を使い続け、無効にするまでそのままです。SAMLのみのログインを強制する前にチームに通知してください。

チームのためのSAML SSOの仕組み

teammatesのログイン方法

SAML SSOが有効になると、teammatesはログインページでSign in with SAML SSOボタンを見ます。ログイン体験はメールアドレスによって異なります：

登録されていないメールアドレス：入力されたメールがSAMLが有効なworkspaceのteammateと一致しない場合、エラーメッセージが表示されます。
1つのSAML workspaceに登録されたメールアドレス：teammateはIDプロバイダーにリダイレクトされてログインします。
複数のSAML workspaceに登録されたメールアドレス：teammateはworkspaceセレクターが表示されます。workspaceを選択後、該当workspaceのIDプロバイダーにリダイレクトされます。

teammateが各workspaceで持つIDプロバイダーに応じて、正しいIDプロバイダーのログイン画面にリダイレクトされます。ログイン後、正しいworkspaceに戻りログイン完了します。

workspace間の切り替え

SAML SSOはworkspace間の切り替え時にサポートされています。workspaceスイッチャー（下記参照）を使い、異なる認証方法のworkspace間を移動できます。すでに同じSAMLプロバイダーでログインしていれば再認証は不要です：

同じSAML SSOプロバイダーを使う2つのworkspaceにログインしているteammateは、再認証なしで切り替えが可能です。
teammateがメール/パスワードを使う3つ目のworkspaceにアクセス権を持ち、ログインしていない場合、workspaceスイッチャーにリダイレクトされパスワードでログインします。

モバイルアプリでのログイン（Intercom Conversationsアプリ）

SAML SSOはiOSおよびAndroidのIntercom Conversations appでサポートされています。

ログイン画面に移動し、Sign in with SAML SSOボタンをタップしてください。
仕事用メールを入力し、続行をタップしてください。
複数のworkspaceにアクセス権がある場合、選択リストが表示されます。（1つだけの場合はこの画面はスキップされます）。
workspaceを選択すると、SAMLプロバイダーのログイン用ウェブビューが開きます。
サインインすると、アプリにログインします。

アカウントにSAML SSOが設定されていない状態でSAML SSOでログインしようとすると、エラーメッセージが表示されます。

workspace招待

ワークスペースでSAML SSOが有効な場合、workspace招待と互換性があります。招待メールはIDプロバイダーから返されるメールアドレスと一致する必要があります。一致しない場合、招待の受け取りは失敗します。

SAML SSOが有効な場合のteammateのメールアドレス変更方法

Settings > Workspace > SecurityでEmail and passwordをログイン方法として有効にしてください（まだ有効でない場合）。
すべてのteammatesがIntercomのパスワードを設定またはリセットし、古いメールとパスワードでログインできることを確認します。
ワークスペースでSAML SSOを無効にします。これによりteammatesはメール欄を編集可能になります。
各teammateは古いメールとパスワードでログインし、自分のログインメールを新しいdomainに更新します。
IDプロバイダー内のすべてのteammatesのメールを新しいdomainに更新します。
ワークスペースでSAML SSOを再度有効にします。
SAML SSOは新しいメールアドレスで動作します。必要に応じてSSOのみのログインを再度強制してください。

特定のIDプロバイダーでのSAML SSOの設定とトラブルシューティング方法

IDプロバイダーのサポートが必要ですか？ IntercomサポートはIntercom内でのSAML SSO設定を支援します。Microsoft Entra、Okta、JumpCloudなどのプロバイダーの管理コンソールでの設定手順やIDプロバイダー由来のエラーについては、直接IDプロバイダーのサポートチームに連絡することをお勧めします。彼らは環境にアクセスでき、問題を解決できます。弊社のSAMLドキュメントは参考資料として共有可能です。

Google WorkspaceをSSOプロバイダーとして使用していてアクセスエラーが発生した場合、Google管理コンソールで「remediation messages」をオンにしてエラーの原因を確認できます。有効にすると、エラーメッセージに詳細情報（例：「デバイスがGoogleエンドポイント管理で管理されていません」）が表示されます。

If you are using Google Workspace as your SSO provider and see an access error, you can turn on "remediation messages" in your Google Admin console to understand the reason for the error. Once enabled, you'll see more detailed information in the error message (e.g., "the device... is not managed by Google endpoint management").

Google Admin コンソールのスクリーンショット。詳細な SSO エラー情報を表示するために有効にできる修復メッセージ設定を示しています。

有効にすると、エラーメッセージでより詳細な情報が表示されるようになります。

例えば、次のエラーは使用中のデバイスがGoogle endpoint managementによって管理されていないことを示している可能性があります。

Google Workspace SSO の詳細なエラーメッセージを示すスクリーンショット。デバイスが Google endpoint management によって管理されていないことを示しています。

Just-in-Time (JIT) プロビジョニングの有効化方法

Just-in-Time プロビジョニングは、チームメンバーが初めて SAML SSO でサインインした際に、まだ Intercom アカウントを持っていなければ自動的に Intercom workspace に追加します。

これを有効にするには、設定 > Workspace > セキュリティに移動し、SAML SSO がオンになっていることを確認してから、プロビジョニングをクリックします。

SAML SSO 設定ページのスクリーンショット。Just-in-Time プロビジョニングを有効にできるプロビジョニングセクションを表示しています。

次に、JIT プロビジョニングで追加される新しいチームメンバーの権限を定義します。

Just-in-Time プロビジョニング設定のスクリーンショット。JIT によって自動的に追加された新しいチームメンバーのデフォルト権限構成を示しています。

注意：新しいチームメンバーは、利用可能なseatsがある場合にのみ追加されます。

最後に設定を保存し、ログアウトしてアイデンティティプロバイダーでサインインしてセットアップをテストします。認証に成功すると Intercom workspace にリダイレクトされます。

SAML SSO 設定ページのスクリーンショット。JIT プロビジョニング設定完了後の保存ボタンと認証テストのプロンプトを表示しています。

workspace に SAML SSO が有効になっている場合、チームメンバーは自分のAccount securityページからメールアドレスを編集できません。メール欄は読み取り専用になります。

Account security ページのスクリーンショット。workspace に SAML SSO が有効な場合、メールアドレス欄が読み取り専用でグレーアウトしている様子を示しています。

OneLogin での SAML 設定

OneLogin ストアの「Intercom SAML 2.0」アプリを使用できます。

OneLogin 管理ページで、Applications に移動し、Add App をクリックします。
Intercom SAML 2.0 アプリを検索して追加します。
Configuration タブを開き、workspace の SAML 名を入力します。
SSO タブで「SAML 2.0 Endpoint」URL をコピーし、Intercom workspaceの SAML 設定に貼り付けます。
証明書の下にある View Details をクリックし、証明書をコピーして Intercom の Public certificate フィールドに貼り付けます。
Intercom で設定を保存し、接続をテストします。

注意：workspace が EU または AU にホストされている場合は、OneLogin チームに連絡して統合がサポートされているか確認してください。

Okta での SAML 設定

Okta App Store の「Intercom」アプリを使用できます。

Okta で：
- Okta 管理ダッシュボードを開き、Intercom アプリを追加します。
- Sign-On Options に進みます。
- Signing Certificate をダウンロードし、Okta から提供された Sign on URL をコピーします。
Intercom で：
- 設定 > Workspace > セキュリティに移動し、SAML SSO をオンにします。
- SAML URL（SAML 設定の上部）を控えます。
- Okta から次の詳細を入力します。
  - Identity Provider Sign-On URL:（Okta の Sign on URL）
  - Public Certificate:（Okta からダウンロードした完全な証明書を貼り付けます）
- 「Allowed Domains」に会社の domain を入力します（例：acme.com）。
- まだ保存をクリックしないでください。

Okta に戻って：

Okta Intercom アプリの Sign-On Options に戻ります。

Encryption Certificate の下に、次の証明書を intercom.pem としてアップロードします。

「Advanced Sign-On Settings」の下に、Intercom からの SAML Base URL を貼り付けます。
保存をクリックします。

テストと有効化：
- あなたの Intercom workspace の SAML 設定に戻り、保存をクリックしてください。
- SAML 設定をテストするには、一度ログアウトしてから SAML で再度ログインしてください。
- 確認が取れたら、設定に戻り、メール/パスワードまたは Google サインオンのオプションのチェックを外して SAML を強制してください。

IDプロバイダーと連携し、SAML SSOでログインする