Slack の SAML シングルサインオンを設定する
SAML ベースのシングルサインオン（SSO）を有効にすると、選択した ID プロバイダ（IDP）経由でメンバーが Slack にアクセスできます。
注 : SAML SSO の設定でお困りの場合は、SAML 認証エラーのトラブルシューティングの記事を参照してください。
Tip : ワークスペースのオーナーと OrG オーナーは、SSO 認証をスキップし、メールアドレスとパスワードでサインインすることができます。これにより、ID プロバイダに問題が発生していてもアクセスが確保できます。
ステップ 1 : ID プロバイダを設定する
まずは、Slack と IDP の接続の設定が必要です。Slack が連携しているプロバイダの多くで Slack で SAML を有効にするためガイドコンテンツが用意されています。
注 : カスタム SAML SSO、Google Workspace SSO、ADFS SSOの設定方法についてのガイドも用意しています。
ステップ 2 : SAML SSO を設定する
フリー、プロ、ビジネスプラスプラン
エンタープライズ向けプラン
ID プロバイダの設定が完了したら、ワークスペースのオーナーは SSO を有効にできます。
- デスクトップの画面左上にあるワークスペース名をクリックします。
- 「ツールと設定」にマウスポインターを重ねてから、「ワークスペースの設定」をクリックします。
- 左サイドバーの「管理」で、 「SSO と認証」をクリックします。
- 「ID プロバイダまたはカスタム SAML」の横にある「SAML を設定する」をクリックします。
- 画面右上のトグルを「テスト」モードに切り替えます。
- 「SAML SSO URL」の横に、SAML 2.0 Endpoint URL を入力します（この情報はコネクタの設定時に取得済みです）。IDP に Okta を利用する場合は、必要に応じて IDP URL を入力に含めることもできます。
- ID プロバイダ発行者の横に IDP のエンティティ ID を入力します。
- IDP から取得した「x.509 証明書」全体をコピーして「公開証明書」フィールドにペーストします。
- 「詳細設定」オプションの横にある「開く」をクリックします。IDP からの SAML レスポンス に署名する方法を選択します。End to End Encryption (E2EE) キーが必要な場合は、「AuthnRequest に署名する」の横のチェックボックスを選択して証明書を表示します。
- SSO を有効にしたら、プロフィール情報（メールや表示名など）の編集をメンバーに許可するかどうかを、「設定」で決めます。SSO を「必須」、「一部必須」、「オプション」のいずれかに設定することもできます。
- 「カスタマイズ」で、サインインアイコンラベルを入力します。
- 「設定を保存する」をクリックして、設定終了です。
ID プロバイダの設定が完了したら、OrG オーナーが SSO を有効にできます。
- デスクトップの画面左上にあるオーガナイゼーション名をクリックします。
- メニューから「ツールと設定」を選択し、「オーガナイゼーションの設定」をクリックします。
- 左側のサイドバーの 「セキュリティ」をクリックし、「SSO 設定」をクリックします。
- SSO 名を入力します。
- SAML 2.0 Endpoint URL を入力します（この情報はコネクタの設定時に取得済みです）。Slack の認証リクエストはここから送信されます。
- 「ID プロバイダ発行者の URL」を入力します。
- デフォルトでは、「サービスプロバイダ発行者の URL」は https://slack.com に設定されています。このフィールドは、IDP で設定した URL と同じにする必要があります。
- IDP から取得した x.509 証明書全体をコピーします。
- SAML のレスポンスとアサーションに署名するかどうかを選択します。お使いの IDP で End to End Encryption (E2EE) キー が必要な場合には、「AuthnRequest に署名する」の横にあるチェックボックスを選択して、証明書を表示します。「AuthnContextClassRef」の値も環境に応じて設定できます。
- 「設定のテスト」をクリックします。変更が適切に反映されたか、さらに変更が必要かどうかをお知らせします。
- 「SSO をオンにする」または「SSO を追加する」をクリックします。
SSO 設定を追加する
最大 11 の SSO 設定を追加して、選択した IDP からメンバーが Slack にログインできるようにすることができます。
- デスクトップの画面左上にあるオーガナイゼーション名をクリックします。
- 「ツールと設定」にマウスポインターを重ねてから、「オーガナイゼーションの設定」をクリックします。
- 左側のサイドバーの 「セキュリティ」をクリックし、「SSO 設定」をクリックします。
- 右上の「SSO の設定を変更する」をクリックします。
Tip : ワークスペースまたは OrG にゲストがいる場合は、ゲストが引き続きメールアドレスとパスワードでサインインできるよう、SSO を部分的に必須にするオプションを選択することをおすすめします。
注 : SSO の設定が完了したら、SSO の設定を管理できます。また、オーガナイゼーションのワークスペースに IDP グループを連携させる方法も確認してみましょう。
SSO の有効後に予想されること
SSO の設定が完了すると、SSO でのサインインが必要なメンバーに通知メールが届きます。メンバーはメールの手順に従って、Slack アカウントを IDP にバインドします。メンバーは、リンクの有効期間である 72 時間以内にアカウントをバインドさせる必要があります。
SSO が有効にされた時点ですでにサインインしていたメンバーは全員サインインしたままの状態となります。 これ以降は、チームのメンバー全員が IDP のアカウントを使って Slack にサインインするようになります。SSO を必須にしている場合には、メンバーが Slack にアクセスする前に、サインインページが表示されます。
注 : メンバーの管理をよりシンプルにするため、Slack では SCIM のプロビジョニング標準仕様に対応しています。
- ワークスペースのオーナーと OrG のオーナー
- ビジネスプラスプランとEnterprise プランで利用できます。
- フリープランとプロプランで利用可能（Salesforce OrG を Slack と連携している場合）