この記事を使って、IntercomワークスペースのSAMLシングルサインオン（SSO）を設定します。SAMLの有効化、IDプロバイダー（IdP）の設定、domainの検証、SSOのテストと強制、Just-in-Time（JIT）プロビジョニングの有効化、OneLoginとOktaのステップバイステップガイドをカバーしています。

設定後、SAML SSOはiOSおよびAndroidのIntercom Conversationsアプリでも動作します。

開始前に

重要：

SAML SSOはExpert Intercomプランでのみ利用可能です。詳細はプランと料金をご確認ください。
Intercomの設定 > ワークスペース > セキュリティにアクセスするには権限が必要であり、IDプロバイダーの管理者アクセスも必要です。
このプロセスを別のチームが非同期で完了する必要がある場合、チームの管理者がそのチームのメンバーにLiteシートを追加できます。

ステップ1：IntercomでSAML SSOを有効にする

まず、IntercomワークスペースでSAML SSOを有効にして、IDプロバイダー用のURLを取得します。

設定 > ワークスペース > セキュリティ > 認証方法に移動します。
SAML SSOをオンに切り替えます。
トグルをオンにすると、SAML SSOの設定セクションが表示されます。
最初に表示されるのは、ワークスペース固有のSAML URLです。このページは開いたままにしておいてください。次のステップでこのURLが必要になります。

ステップ2：IDプロバイダーを設定する

IDプロバイダーの設定（OktaやOneLoginなど）で、Intercomをアプリケーションとして追加する必要があります。ステップ1のSAML URLが必要です。

IdPの設定で以下のパラメーターを使用してください。

シングルサインオンURL： <SAML URL>/consume
受信者URL： <SAML URL>/consume
オーディエンス制限/エンティティID： <SAML URL>
NameID： メールアドレス
署名付きアサーション： はい
マッピングされた属性：
- firstName（ユーザーの名）
- lastName（ユーザーの姓）
暗号化： AES256_CBC暗号化を使用し、IdPの暗号化設定にIntercomの証明書（以下に表示）を提供してください。

注意： IDプロバイダーが対応していれば、IdPの設定でセッションの有効期間を定義できます。これはチームメンバーのセッションが切れるまでの時間で、再度Intercomにログインが必要になります。設定しない場合、デフォルトは3.5日です。

ステップ3：IdPの詳細でIntercomを設定する

IdPを設定した後、その詳細をIntercomに戻して追加する必要があります。

IntercomのSAML SSO設定ページ（設定 > ワークスペース > セキュリティ）に戻ります。
IDプロバイダーから以下の情報を追加してください。
- IDプロバイダーのシングルサインオンURL： ログインプロセスを開始するためのURLです。
- 公開証明書： IntercomがIdPからのSAMLリクエストを検証できるようにします。IDプロバイダーからの完全なX.509証明書（標準的なデジタル証明書形式）を貼り付けてください。

ステップ4：許可されたdomainを追加して検証する

SAML SSOで認証を許可するdomainを指定する必要があります。

「許可されたdomain」にdomainを入力し、domainを追加をクリックします。
domainのDNS設定に提供された値でTXTレコードを追加して、domainの所有権を検証する必要があります。
TXTレコードを追加したら、DNSレコードを検証をクリックします。
検証が完了すると成功メッセージが表示され、domainが追加されます。複数のdomainを追加する場合はこの手順を繰り返してください。

注意： DNSレコードを作成したばかりの場合、まだ伝播中の可能性があります。警告メッセージ（「DNSレコードを検証できません。後でもう一度お試しください。」）が表示されたら、数分待ってから再試行してください。DNSの変更は完全に伝播するまで最大48時間かかることがあります。

このオプションのチェックを外してSAML SSOを必須のログイン方法として強制するには、SAML SSOでログインしている必要があります。設定保存後に実行できます。

ステップ5：SAML SSOのテストと強制適用

すべてのteammatesに対してSAMLを強制適用する前に、設定をテストする必要があります。

セットアップをテストする：他の方法を無効にする前に、すべてのteammatesがSAML SSOで正常にログインできることを確認するために、Google Sign-OnとEmail and passwordのオプションはオンのままにしてください。
設定を保存してください。ページの下部にあります。
ログアウトして、Sign in with SAML SSOオプションを使って再度ログインし、設定をテストしてください。
SAML SSOの強制適用（任意）：正常にログインして設定が機能することを確認したら、設定に戻り、他のログイン方法のチェックを外すことができます。

注意：

他のログインオプションのチェックを外してSAML SSOのみをログイン方法として強制適用するには、ご自身がSAML SSOでログインしている必要があります。
ワークスペースでSAML SSOが有効になると、teammatesはAccount securityページで自分のメールアドレスを編集できなくなります。メール欄は読み取り専用になります。
他のログイン方法を削除する前に、すべてのteammatesがSAMLログインをテストし確認していることを確認してください。まだSAMLで認証していないteammatesは、他の方法が無効になるとすぐにアクセスできなくなります。
既存のteammatesは自動的にSAMLに移行されません。現在のログイン方法を使い続け、無効にするまでそのままです。SAMLのみのログインを強制する前にチームに通知してください。

チームのためのSAML SSOの仕組み

teammatesのログイン方法

SAML SSOが有効になると、teammatesはログインページにSign in with SAML SSOボタンが表示されます。ログイン体験はメールアドレスによって異なります。

登録されていないメールアドレス：入力されたメールがSAMLが有効なワークスペースのteammatesと一致しない場合、エラーメッセージが表示されます。
1つのSAMLワークスペースに登録されたメールアドレス：teammatesはIDプロバイダーにリダイレクトされてログインします。
複数のSAMLワークスペースに登録されたメールアドレス：teammatesにはワークスペースセレクターが表示されます。ワークスペースを選択後、そのワークスペースの正しいIDプロバイダーにリダイレクトされます。

teammatesが各ワークスペースで持つIDプロバイダーに応じて、正しいIDプロバイダーのログイン画面にリダイレクトされます。ログイン後、正しいワークスペースに戻りログイン完了となります。

ワークスペース間の切り替え

SAML SSOはワークスペース間の切り替え時にもサポートされています。ワークスペーススイッチャー（下記参照）を使って異なる認証方法のワークスペース間を移動できます。すでに同じSAMLプロバイダーでログインしていれば再認証は不要です。

異なる認証方法を使う複数のワークスペース間を切り替える際に使うワークスペーススイッチャーのインターフェースのスクリーンショット。

teammatesが同じSAML SSOプロバイダーを使う2つのワークスペースにログインしている場合、再認証なしで切り替えが可能です。
teammatesがメール/パスワードを使う3つ目のワークスペースにアクセス権があり、ログインしていない場合は、ワークスペーススイッチャーにリダイレクトされてパスワードでログインします。

モバイルアプリ（Intercom Conversationsアプリ）でのログイン

SAML SSOはiOSおよびAndroidのIntercom Conversationsアプリでサポートされています。

ログイン画面に移動し、Sign in with SAML SSOボタンをタップしてください。
勤務先のメールアドレスを入力し、Continueをタップしてください。
複数のワークスペースにアクセス権がある場合、選択リストが表示されます。（1つだけの場合はこの画面はスキップされます）
ワークスペースを選択すると、SAMLプロバイダーのログイン用ウェブビューが開きます。
サインインすると、アプリにログインします。

アカウントにSAML SSOが設定されていない状態でSAML SSOでログインしようとすると、エラーメッセージが表示されます。

ワークスペース招待

ワークスペースでSAML SSOが有効な場合、ワークスペース招待と互換性があります。招待メールはIDプロバイダーから返されるメールアドレスと一致する必要があります。一致しない場合、招待の受け取りは失敗します。

SAML SSOが有効な場合のteammatesのメールアドレス変更方法

まだ有効でない場合は、Settings > Workspace > SecurityでEmail and passwordをログイン方法として有効にしてください。
すべてのteammatesがIntercomのパスワードを設定またはリセットし、古いメールとパスワードでログインできることを確認します。
ワークスペースでSAML SSOを無効にします。これにより、teammatesはメール欄を編集可能になります。
各teammatesは古いメールとパスワードでログインし、自分のログインメールを新しいdomainに更新します。
IDプロバイダー内のすべてのteammatesのメールを新しいdomainに更新します。
ワークスペースでSAML SSOを再度有効にします。
SAML SSOは新しいメールアドレスで動作します。必要に応じてSSOのみのログインを再度強制適用してください。

特定のIDプロバイダーでのSAML SSOの設定とトラブルシューティング方法

IDプロバイダーのサポートが必要ですか？ IntercomサポートはIntercom内でのSAML SSO設定を支援します。IdP固有の設定手順や管理コンソール（例：Microsoft Entra、Okta、JumpCloud）での設定、IdP由来のエラーについては、直接IDプロバイダーのサポートチームに連絡することをお勧めします。彼らは環境にアクセスでき、問題を解決できます。弊社のSAMLドキュメントは参考資料として共有可能です。

Google Workspaceのトラブルシューティング

Google Workspace を SSO プロバイダーとして使用していてアクセスエラーが発生した場合は、Google 管理コンソールで「remediation messages」をオンにして、エラーの原因を確認できます。有効にすると、エラーメッセージにより詳細な情報（例：「デバイスが Google endpoint management によって管理されていません」）が表示されます。

Google 管理コンソールのスクリーンショット。詳細な SSO エラー情報を表示するために有効にできる remediation messages 設定を示しています。

有効にすると、エラーメッセージにより詳細な情報が表示されます。

例えば、次のエラーは使用中のデバイスがGoogle endpoint managementによって管理されていないことを示している可能性があります。

Google Workspace SSO の詳細なエラーメッセージを示すスクリーンショット。デバイスが Google endpoint management によって管理されていないことを示しています。

Just-in-Time (JIT) プロビジョニングの有効化方法

Just-in-Time プロビジョニングは、チームメンバーが SAML SSO で初めてサインインする際に、まだ Intercom アカウントを持っていなければ自動的に Intercom workspace に追加します。

これを有効にするには、設定 > Workspace > セキュリティに移動し、SAML SSO がオンになっていることを確認してから、プロビジョニングをクリックします。

SAML SSO 設定ページのスクリーンショット。Just-in-Time プロビジョニングを有効にできるプロビジョニングセクションを示しています。

次に、JIT プロビジョニングで追加される新しいチームメンバーの権限を定義します。

Just-in-Time プロビジョニング設定のスクリーンショット。JIT によって自動的に追加された新しいチームメンバーのデフォルト権限構成を示しています。

注意： 新しいチームメンバーは、利用可能なseatsがある場合にのみ追加されます。

最後に設定を保存し、ログアウトして ID プロバイダーでサインインしてセットアップをテストします。認証に成功すると Intercom workspace にリダイレクトされます。

SAML SSO 設定ページのスクリーンショット。JIT プロビジョニング設定完了後の保存ボタンと認証テストのプロンプトを示しています。

workspace に SAML SSO が有効になると、チームメンバーはアカウントセキュリティページから自分のメールアドレスを編集できなくなります。メールフィールドは読み取り専用になります。

アカウントセキュリティページのスクリーンショット。workspace に SAML SSO が有効な場合、メールアドレスフィールドが読み取り専用でグレーアウトされている様子を示しています。

OneLogin での SAML 設定

OneLogin ストアの「Intercom SAML 2.0」アプリを使用できます。

OneLogin 管理ページで、Applications に移動し、Add App をクリックします。
Intercom SAML 2.0 アプリを検索して追加します。
Configuration タブを開き、workspace の SAML 名を入力します。
SSO タブで「SAML 2.0 Endpoint」URL をコピーし、Intercom workspace の SAML 設定に貼り付けます。
証明書の下にある View Details をクリックし、証明書をコピーして Intercom の Public certificate フィールドに貼り付けます。
Intercom で設定を保存し、接続をテストします。

注意： workspace が EU または AU にホストされている場合は、OneLogin チームに連絡して統合がサポートされていることを確認してください。

Okta での SAML 設定

Okta App Store の「Intercom」アプリを使用できます。

Okta で：
- Okta 管理ダッシュボードを開き、Intercom アプリを追加します。
- Sign-On Options に進みます。
- Signing Certificate をダウンロードし、Okta から提供された Sign on URL をコピーします。
Intercom で：
- 設定 > Workspace > セキュリティに移動し、SAML SSO をオンにします。
- SAML URL（SAML 設定の上部）を控えます。
- Okta から次の詳細を入力します。
  - Identity Provider Sign-On URL:（Okta の Sign on URL）
  - Public Certificate:（Okta からダウンロードした完全な証明書を貼り付けます）
- 「Allowed Domains」に会社の domain を入力します（例：acme.com）。
- まだ保存をクリックしないでください。

Okta に戻って：

Okta Intercom アプリの Sign-On Options に戻ります。

Encryption Certificate の下に、次の証明書を intercom.pem としてアップロードします。

「Advanced Sign-On Settings」に Intercom の SAML Base URL を貼り付けます。
保存をクリックします。

テストと有効化：
- あなたの Intercom workspace の SAML 設定に戻り、保存をクリックしてください。
- SAML でログアウトして再度ログインし、SAML 設定をテストしてください。
- 確認が取れたら、設定に戻り、メール/パスワードまたは Google サインオンのオプションのチェックを外して SAML を強制してください。

IDプロバイダーと連携し、SAML SSOでログインする