> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/ja/kn/account-and-endpoint-management/sso-field-guide.md). # SSO フィールドガイド ### はじめにシングルサインオン（SSO）をZoomに統合すると、管理者はアカウント管理を簡素化できるユーザー管理とセキュリティオプションを利用できます。構成後は、GoogleやFacebookの連携、またはZoomのユーザー名とパスワードによる直接の認証方法ではなく、会社のIDプロバイダーに対して会社の認証情報を使用して認証します。このドキュメントでは、Zoom内のSSOの構成と設定についての包括的な概要に加え、トラブルシューティングとセキュリティ情報を提供します。 ### SSO連携 #### SSOを開始するにはバニティURLが必要です SSOを構成する前に、アカウントには承認済みのバニティURLが必要です。バニティURLが承認されると、Zoom管理者は [SSO設定](https://zoom.us/account/sso) Webポータルの詳細オプションのサブメニューからページを開きます。...に関するサポート記事をご覧ください。 [バニティURL](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) 詳細については。 #### Zoom SSO は、任意の SAML 2.0 アイデンティティプロバイダーで動作します Zoom は、SAML 2.0 認証をサポートする任意のアイデンティティプロバイダーと連携できます。文書化された連携手順は多数ありますが、Zoom との連携に関するドキュメントを提供していないアイデンティティプロバイダーもあります。設定手順を見つけられないアカウントは、詳細についてアイデンティティプロバイダーに問い合わせることをお勧めします。 #### Zoom の管理者は、SAML 応答マッピングまたは SCIM 連携を通じて、ユーザープロファイル情報とライセンスを管理できます管理者は、アイデンティティプロバイダーからオンラインで提供される機能に応じて、SAML 応答マッピングまたは System for Cross-Domain Identity Management (SCIM) アプリケーション・プログラミング・インターフェース (API) リクエストを通じて、ユーザープロファイル情報とライセンスを管理できます。ユーザー管理の両方の方法は、プロフィール情報のマッピングとライセンス管理でほぼ同等の機能を提供しますが、一部の SCIM マッピングでは手動構成が必要です。 SCIM 機能の包括的な一覧については、弊社の [SCIM API ドキュメント](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&SessionId=1778697171616). #### Zoom の管理者は SCIM を通じてユーザーアカウントのステータスを管理できますが、SAML ではできません SCIM により、アイデンティティプロバイダーはいつでも Zoom と直接通信できるため、ユーザーアカウントは *有効化されます*, *無効化されました*, *作成済み*、または *削除済み* SCIM連携を自動的に通じて行います。たとえば、ユーザーの Active Directory のアカウントが無効になっている場合、またはアプリケーションの割り当てが解除されている場合、SCIM は Zoom 内でユーザーのアカウントに対する自動の非アクティブ化リクエストを送信できます。この機能は、アイデンティティプロバイダーの SCIM アプリケーションの機能に依存しており、提供元によって機能が異なる場合があります。 #### 一部のIDプロバイダーはZoom向けにSCIMを提供しています多くのIDプロバイダーは、サービスの一部としてZoom向けに構築されたSCIM連携を備えていません。ZoomでSCIMをサポートしていないIDプロバイダーを使用しているアカウントでは、自動ユーザー管理のためにSAMLレスポンスマッピングを使用する必要があります。 #### SCIM では、ユーザーを自動でプロビジョニングするために関連付けられたドメインが必要です SSO のユーザーを管理およびプロビジョニングするために SCIM を使用するアカウント **必須** メールドメインをZoomに関連付けてください。ドメインの関連付けに失敗すると、ユーザープロビジョニングに失敗します。詳細については、次のサポート記事を参照してください [関連ドメイン](https://support.zoom.us/hc/en-us/articles/203395207) プロセスの詳細については。 #### 以下のSSO統合は文書化されています {% hint style="success" %} **Zoomのヒント** Provider または Zoom ドキュメント列の ✔ をクリックすると、手順が新しいウィンドウで開きます。 {% endhint %}

	プロバイダードキュメント	Zoomドキュメント	SCIM をサポート
auth0	✔
ADFS		✔	AD同期ツール
Clever	✔
CyberArk	✔
Duo	✔
Entra ID（旧 Azure）	✔	✔	✔
Google	✔	✔
JumpCloud	✔		✔
miniOrange	✔
Okta	✔	✔	✔
OneLogin	✔	✔	✔
Ping Identity	✔		✔
Shibboleth		✔

#### オンプレミスのActive Directoryでは、SCIMの代わりにAD同期ツールを使用できます SCIM を通じてユーザープロビジョニングを自動化したいが、クラウドベースのIDプロバイダーを持たないアカウントは、ユーザーを管理するためにZoomが開発したActive Directory (AD) 同期ツールアプリケーションを使用できます。このアプリケーションはOracle JDK 8上で実行され、APIコマンドを通じてユーザーを管理することでSCIMプロビジョニングをシミュレートします。次のサポート記事をご覧ください [AD同期ツール](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) 詳細については。 {% hint style="success" %} **Zoomの推奨事項** AD同期ツールには、ユーザー管理のための正確な設定が必要です。サービスの中断を避けるため、全面導入の前にツールの設定を十分にテストし、確認する必要があります。 {% endhint %} #### IDプロバイダーは、Zoomアカウントを持っていないミーティングの参加者を認証することさえできますユーザーに本人の認証を求めたいが、Zoomアカウントは提供したくないアカウントは、IDプロバイダーで外部認証プロファイルを設定できます。ミーティングで有効にすると、参加しようとするユーザーは、アクセスをゲインするために、ログイン資格情報をIDプロバイダーに対して認証する必要があります。これは、すべての学生にアカウントを提供しないものの、授業に参加するための認証を求める学校でよく使われる設定です。次のサポート記事に関する [外部認証の設定](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) 詳細については。 #### IDプロバイダーを変更すると、Zoom内でSSOを再設定する必要があります IDプロバイダーを変更するアカウントは、Zoom内でSSO設定をやり直す必要があります。これには、設定ページ内のすべての項目を新しいIDプロバイダーに合わせて更新することが含まれます。アカウントは、新しいIDプロバイダーでSAMLレスポンスのマッピングが変更されないことを確認するよう推奨されます。これ以上の変更がない限り、追加の設定や変更は不要です。 #### サブアカウントを持つお客様の声は、マスターアカウントまたはサブアカウントからSSOを設定できますサブアカウントを持つお客様の声には、SSOを設定するための2つの選択肢があります： 1. すべてのユーザーはマスターアカウントのバニティURLを使用して認証され、高度なSAMLマッピングを通じてサブアカウントに自動的にログインします（[一部のマッピングには制限があります](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons)）；または 2. 各サブアカウントには一意のバニティURLと独立したSSO設定があり、そのサブアカウントのメンバーのみが専用に使用します各構成には独自の利点があり、2つ目のオプションが最も柔軟です。いずれかの構成の実装を検討しているお客様の声は、アカウントチームと相談し、ニーズに最も適した構成がどれかを確認してください。 ### SSO 設定とセキュリティ Zoom管理者は、ZoomとのSSO連携を設定する際に、自組織に最適なセキュリティと設定のオプションを選択できます。このセクションでは、これらの設定とSSO連携への影響について説明します。

#### Zoomは、署名付きのログインおよびログアウトのSAMLリクエストをサポートしています追加のサービスプロバイダー認証を必要とするZoom管理者は、Zoomを設定して、IDプロバイダーへのすべてのログインおよびログアウト要求に署名できます。この設定を使用するアカウントでは、IDプロバイダーが動的メタデータの更新をサポートしていない場合、証明書のローテーションが必要になることがあります。についてのサポート記事をご覧ください [証明書ローテーション](https://support.zoom.us/hc/en-us/articles/360057049812-Zoom-SSO-certificate-rotation-) 詳細については。 #### Zoom は、認証時に暗号化された SAML アサーションをサポートします Zoom 管理者は、認証時に暗号化されたアサーションをサポートするように Zoom を設定できます。この設定を有効にすると、暗号化されていないアサーションは破棄されます。この設定を使用するアカウントでは、ID プロバイダーが動的メタデータの更新をサポートしていない場合、SSO 証明書ローテーションが必要になることがあります。次のサポート記事をご覧ください [証明書ローテーション](https://support.zoom.us/hc/en-us/articles/360057049812-Zoom-SSO-certificate-rotation-) 詳細については。 #### Zoom 管理者は、定義された時間の経過後に自動ログアウトを強制できます Zoom 管理者は、Zoom を設定することで、ユーザーをアクティブなセッションから定義された時間の経過後に自動的にログアウトさせることができ、15 分から 180 日までカスタマイズできます。この処理により、トークンが生成されると、Zoom のアクセストークンの有効期限が事前に定められた時間に設定されます。このトークンは ID プロバイダーとは関係がなく、Zoom 固有です。 #### SAML 応答ログはトラブルシューティングのために保存できます Zoom は、認証後 7 日間、認証試行からの SAML 応答ログを保存できます。これらの応答ログは、SAML 応答マッピングの設定に加えて、設定やユーザーエラーのトラブルシューティングに非常に役立つツールになります。次のセクションを参照してください [SAML 応答ログを使用したエラーのトラブルシューティング](#using-saml-response-logs-to-troubleshoot) 詳細については。 {% hint style="success" %} **Zoomの推奨事項** トラブルシューティングを容易にするために、SAML 応答ログの保存を有効にしてください。 {% endhint %} #### サインイン時のプロビジョニングでは、アカウントを即座に作成でき、最も簡単なプロビジョニングオプションです SSO がプロビジョニングに設定されている場合 *サインイン時* (ジャストインタイムプロビジョニングとも呼ばれます)、ID プロバイダー内の認可されたユーザーは誰でも Zoom に認証できます。既存のアカウントを持たないユーザーには、サインイン時にすぐにアカウントが作成されます。サインイン時のプロビジョニングにより、ユーザーが事前のユーザー作成を必要とせず認証時にアカウントを作成できるため、企業への Zoom の展開を簡略化できます。SAML 応答マッピングと組み合わせると、ユーザープロファイル全体とライセンスがユーザーの初回認証から数秒以内に利用可能になります。さらに、サインイン時のプロビジョニングにより、既存のアカウントに対して SSO ログインタイプを動的に作成できます。ユーザーがユーザー名とパスワードを持つ既存の Zoomアカウントを持っている場合、この構成ではサインイン時に SSO ログインタイプが作成されます。 #### サインイン前のプロビジョニングでは、SSO ログインタイプを持つ事前作成済みのアカウントが必要です SSO のためにユーザーをプロビジョニングする *サインイン前に* 認証するユーザーには **両方** 既存のZoomアカウントがあり、そのアカウントにSSOログインタイプが作成されていること。この種のプロビジョニングは、自動アカウント作成プロセスのため、SCIMプロビジョニングと組み合わせて使用されることが多いですが、それだけに限定されるわけではありません。関連ドメインまたは直接招待を通じて会社アカウントに統合されるZoomユーザーは、SSOログインタイプを持っている可能性は低いです。 Zoom管理者は、アカウントにSSOログインタイプがあるかどうかを、ユーザーアカウントを表示して確認できます。 [ユーザー管理](https://zoom.us/account/user#/) ウェブポータル内のページで、ユーザーのメールの下にある「SSO」アイコンを探します。

アイコンが提示されている場合、ユーザーはSSO用にプロビジョニングされています。アイコンがない場合、事前プロビジョニングが有効な間は、追加されるまでユーザーはSSOでサインインできません。Zoom管理者は、CSVファイルでユーザーを一括追加し、「SSOユーザー」オプションを選択するか、サインイン時のプロビジョニングが有効な状態でユーザーに認証させることで、このログインタイプを追加できます。

{% hint style="success" %} **Zoomの推奨事項** ユーザーがサインインできなくなるのを阻止するため、アカウントでSSOを最初に設定するときはサインイン時のプロビジョニングを使用してください。ユーザーが事前プロビジョニングされていることと、事前プロビジョニングの方法が整っていることを確認したら、必要に応じて事前プロビジョニングに切り替えます。 {% endhint %} #### SSO認証を強制するには、ドメインが関連付けられ、管理されている必要があります Zoom管理者はSSO認証を強制できます *のみ* メールドメインがZoom内で関連付けられ、管理されている場合のみです。これを有効にすると、会社のドメインを使用して認証するすべてのユーザーは、プラットフォームに関係なく、自動的にIDプロバイダーの認証ページにリダイレクトされます。ドメインが承認され管理されると、Zoom 管理者はアカウントの [セキュリティページ](https://zoom.us/account/setting/security) 下に **サインイン方法**。詳細については、サポート記事の [関連ドメイン](https://support.zoom.us/hc/en-us/articles/203395207) ドメインの関連付けと管理の詳細について。 #### 指定されたユーザーは、強制SSO認証を免除できます Zoom 管理者は、強制SSO認証から特定のユーザーを除外できます。特定のユーザー（たとえば管理者アカウント）を除外すると、SSO構成に問題が発生し、アカウント管理者がZoomアカウントへの非SSOアクセスを必要とする場合に役立ちます。免除された管理者は、アカウントのロックアウトまたはSSO構成の不具合が発生した場合、いつでもadmin.zoom.usにサインインできます（ユーザーはスタンダード **管理者** ロール）。Zoom 管理者がアカウントにアクセスできない場合、支援のために Zoomサポートに連絡先する必要があります。ユーザー例外を有効にするには、アカウントに移動します [セキュリティページ](https://zoom.us/account/setting/security) Web ポータルの詳細オプションで、強制適用されたドメインの一覧を見つけ、編集リストから例外を追加します。

#### モバイルおよびデスクトップクライアントは、ユーザーに SSO 認証の使用を必須にするように構成できます Zoom クライアントは、グループポリシー、モバイルデバイス管理 (MDM) サービス、および一括展開クライアントを通じて、自動ログイン、自動ログアウト、デバイス上での SSO のみの認証など、SSO 機能を自動化するように事前構成できます。構成可能な項目の完全な一覧については、当社の構成オプションをご参照ください [グループポリシー](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) と [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows). #### Office 365ユーザーは、SSO認証情報を使用してOutlook向けZoomアドインに自動的にサインインできます Office 365を使用しているお客様の声は、SSO認証情報を使用してユーザーをOutlook向けZoomアドインに自動的にサインインさせることができます。これは、 [カスタムアドインマニフェスト](https://support.zoom.us/hc/en-us/articles/360041403311) アカウントのバニティURLをあらかじめ入力し、ユーザーにシームレスな認証体験を提供します。この機能は、ユーザーのSSOセッショントークンがアクティブな場合はそれを使用し、アクティブなセッションが見つからない場合は、IDプロバイダーによる新しい認証を求めます。 Zoom管理者は、アカウントのこの設定を有効にできます [セキュリティページ](https://zoom.us/account/setting/security) その下で **高度な** メニュー。

### SAML レスポンスのマッピング SAML 属性は、SAML 値によって定義されるデータのカテゴリであり、Zoom のようなサービスプロバイダーにアイデンティティプロバイダーから情報を渡すために使用されます。属性と値のマッピングは、ユーザープロフィール情報の自動化やユーザーライセンスの管理に不可欠です。 SAML レスポンスのマッピングは 2 つの部分に分かれています： *基本* と *高度な*。ベーシックマッピングは、名前、電話番号、部署などを含む基本的なプロフィール情報をマッピングするために使用されます。高度なマッピングは、動的なライセンス割り当て、ユーザーグループ、ユーザーロールの割り当てなどを管理するために使用されます。このセクションでは、SAML レスポンスマッピングの基礎、ベーシックおよび高度な SAML レスポンスマッピングについて説明し、一部の機能に必要な固有の条件を強調します。 #### 基礎: SAML の属性と値ほとんどのIDプロバイダーは、基本的なプロファイル情報を、プレーンな属性名と値を使って渡します。たとえば、従業員の部署は、department という属性と Human Resources という値を持つ SAML 経由で渡される場合があります。次の表は、ユーザーに情報を渡す際の属性と値の関係を示しています。 | SAML属性 | SAML値 | | ------ | ------------------------------ | | 名 | ジョン | | 姓 | スミス | | メール | | | 部署 | 人事部 | SAML 属性を応答マッピングに正しく割り当てることで、ユーザー情報をユーザープロフィールに自動的に適用し、アカウント作成と管理のプロセスを簡素化できます。 #### ベーシックマッピング: プロフィール情報 SAMLベーシック情報マッピングは、ディレクトリからユーザーのプロフィールに、名、姓、部署、電話番号、コストセンター、位置情報などのプロフィール情報を適用するために使用されます。これらのカテゴリの多くは説明不要で簡単に設定できますが、いくつかのカテゴリは、予期しない結果やアプリケーションエラーを阻止するために、適切な設定のための説明が必要です。次のセクションでは、ベーシックマッピング用の独自のマッピングオプションと設定を紹介します。当社の [ベーシック SAML マッピングの記事](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) で、サポートされている属性の完全な一覧について。 #### デフォルトのライセンス種別は、～にのみ適用されます *新規ユーザー* デフォルトのライセンス種別オプションは、指定されたライセンスをすべての *新規* SAMLを通じてアカウント内でプロビジョニングされたユーザー。これは、2回目の認証を行っているユーザー、以前のアカウントからアカウントに統合されたユーザー、SCIMを通じてプロビジョニングされたユーザー、または手動で招待されたユーザーには適用されません。に関する情報は *更新* 認証によるユーザーのライセンスについては、下のライセンス設定を参照してください。 [高度なSAMLマッピング](#advanced-mapping-licenses-add-ons-and-access). #### デフォルトのライセンスタイプが *なし* ライセンスを割り当てるよう高度なマッピングが構成されていない限り、新しいユーザーの認証を許可しません Zoomユーザーは、Zoomサービスにログインするには、割り当てられたライセンスタイプ（ベーシック、ライセンスユーザー、またはオンプレミス）を持っている必要があります。デフォルトのライセンスタイプとして「なし」が選択されている場合、ユーザーは、ライセンスを通じて受け取る場合を除き、新しいアカウントにサインインしたり、新しいアカウントを作成したりできません。 [高度なSAMLマッピング](#advanced-mapping-licenses-add-ons-and-access). #### 特に指定がない限り、ほとんどのベーシックなマッピングはログイン時に再適用されますほとんどの基本的なSAMLマッピングは、デフォルトではユーザーがサインインするたびに更新されます、 *ただし* *については* 名、姓、表示名、および電話番号です。デフォルトでは、これら4つのマッピングはユーザーが認証した最初の1回にのみ適用され、ユーザーまたは管理者によって更新されても再適用されません。Zoom 管理者は、SAML 応答マッピングページで「Update at each SSO login」オプションを有効にすることで、この動作を変更できます。 **各SSOログイン時に更新** SAML 応答マッピングページで。

#### 米国外の場合、電話番号マッピングには国番号と市外局番を含める必要があります SAML を通じてマッピングされた電話番号には、可能な場合、SAML アサーション内にユーザーの国番号と市外局番を含める必要があります。デフォルトでは、国番号が定義されていない場合、Zoom は +1 の国番号と見なします。ディレクトリ内で国番号を保持していないアカウントは、必要に応じてこれらを自動的に含めるように、アイデンティティプロバイダー内で SAML アサーションを編集できます。 #### 各ユーザーは、プロフィールに最大3つの電話番号と1つのFAX番号を割り当てることができます Zoomの管理者は、各ユーザーに対して最大3つの個別の電話番号と1つのFAX番号のマッピングを設定することができます。各電話番号は一意である必要があり、他のフィールドの値と重複してはなりません。

#### プロフィール画像は、公開アクセス可能なURLから、またはBase64でエンコードしてマッピングする必要がありますディレクトリからプロフィール画像をマッピングしたいアカウントは、画像を公開アクセス可能なURLを使用するか、アサーション時に画像をBase64でエンコードしてマッピングする必要があります。 #### 従業員の一意ID **従業員の一意IDは、Zoomがユーザーを識別するために使用する主要な識別子を変更します** その *従業員の一意ID* Zoomがアイデンティティ管理を支援するために提供する機能です。デフォルトでは、Zoomユーザーの主要な識別子はその **メール** **アドレス**。これは、仕事用メールアドレスのログインタイプが ****であれば、Zoomは常にこのユーザーをそのメールアドレスで識別します。この識別子により、SSOやFacebook、Google OAuthアカウントのような連携が、ユーザーを同じZoomアカウントに関連付けられるようになります。ただし、この識別プロセスは、ユーザーの名前やメールが変更された場合に問題になることがあります。たとえば、 **** のメールアドレスが次のように変更されると ****、Zoomはそれらが同一人物であると安全に判断できません（基本となる識別子が異なるため）。そのため、Zoomは最初の **** ログイン時に新しいアカウントを作成します。この問題を簡単にするために、ZoomはUnique 従業員ID機能を提供しており、ユーザーの主な識別子をメールアドレスから設定済みの一意のIDに変更します。 *これは、ユーザーのZoomユーザー名を変更するものではありません*、代わりに別の識別属性を提供します。この変更により、Zoom は次の場合にユーザーのメールアドレスを Zoom 内で動的に更新できます： * a *新しい* メールアドレスに既知の一意の従業員IDが付随しており、 * 影響を受けるユーザーのメールドメインが Zoom 内で関連付けられているたとえば、もし **** 従業員ユニークID属性に対して SAML 値 12345（従業員番号）を渡して認証した場合、Zoom はこれ以後、主張された値に基づいてアカウント内のユーザーを識別します。John が再度メールを使用して認証した場合、 **** 引き続き従業員ユニークID 12345 を送信している間、Zoom はが現在 **** また、ドメインが関連付けられている場合は、アカウント内のユーザーのメールアドレスを動的に変更します。アイデンティティ管理者は *肯定的* このカテゴリのSAMLマッピングを確立する前に、同じ従業員固有ID値が2人のユーザーで重複しないこと。別のユーザーが認証されて同じ値を渡すと、メールは新しいユーザーに再度更新され、ユーザーサービスと体験に重大な混乱を引き起こす可能性があります。 **従業員固有ID機能では、ユーザーのメールを変更するために関連ドメインが必要です** 従業員固有ID機能では、メールドメインがあなたのアカウントプロファイルに正式に関連付けられていない限り、ユーザーのメールアドレスを更新できません。に関するサポート記事をご参照ください [関連ドメイン](https://support.zoom.us/hc/en-us/articles/203395207) 詳細については。 **管理者とオーナーは、従業員固有IDを通じて自分のメールを更新できません** Zoom内の管理者およびオーナーのメールは、従業員固有ID機能を通じて更新できません。これは、不正なアクセスを阻止するためのセキュリティ対策です。管理者とオーナーは、プロフィールページからメールを変更する必要があります。 **ユーザーのメールは、従業員固有IDを通じて1日1回しか更新できません** ユーザーのメールは、従業員固有ID機能を通じて24時間に1回しか更新できません。ユーザーは、再度SSOでメールを更新する前に、前回の更新から丸1カレンダー日待つ必要があります。

**SAML属性を\に設定すると、ユーザーのアサートされたNameIDが使用されます** 従業員一意IDのSAML属性を～にマッピングする **\** ユーザーのアサートされたNameID値を、そのユーザーの一意の識別子として自動的に使用します。これは、IDプロバイダーがユーザーのメール以外のNameID（たとえば、変更されないUser Principal Name（UPN）などの値）をアサートする場合に有益なツールです。ユーザーのNameIDがメールと一致する場合は、この値を使用しないでください。

### 高度なマッピング: ライセンス、アドオン、アクセス SAMLの高度な情報マッピングセクションでは、ユーザーが認証する際に、ライセンス（Zoom Phoneを含む）、アドオン、ユーザーアクセスグループを動的に適用できます。ベーシックマッピングとは異なり、高度なマッピングには多くの細かな点があり、環境の複雑さに応じて設定時に注意深く対応する必要があります。このセクションでは、高度なSAMLマッピングを設定する際の細かな点を紹介します。詳細は、当社の [高度なSAMLマッピングの記事](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) で、サポートされている属性の完全な一覧について。 #### 高度なマッピングは、ユーザーが認証するたびに適用されますベーシックマッピングとは異なり、一部のカテゴリにはオプションの更新がありますが、高度なマッピングの構成は、上から下への適用順序に従って、ユーザーが認証するたびに適用されます。たとえば、ユーザーがベーシックライセンスを持っていて、SSOでSAML属性と値を渡してフルライセンスの付与にマッピングされた状態で認証すると、そのユーザーには直ちにフルライセンスが付与されます。その後、IDプロバイダー内でユーザープロファイルがベーシックライセンスに戻るように変更された場合、Zoomで再認証すると、ユーザーにはベーシックライセンスが再割り当てされます。 #### 高度なマッピングでは、カテゴリごとに複数のSAML属性と値を設定できますカテゴリごとに1つのSAML属性のみを許可するベーシックマッピングとは異なり、高度なマッピングでは各カテゴリに複数の属性と値を設定できます。これにより、以下の構成に示すように、IDプロバイダー内のセキュリティグループを通じてユーザーのライセンスとアクセスを管理する際に、大きな柔軟性が得られます。

{% hint style="success" %} **Zoomのヒント** SAML属性は、特にセキュリティグループでは、IDプロバイダーによって異なる場合があります。IDプロバイダーに確認するか、または [SAML応答ログ](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) SAML属性がどのようにアサートされるか。 {% endhint %} #### 複数の属性がアサートされる場合、高度なマッピングではライセンスが上から下へ適用されますユーザーが高度なSAMLマッピング用に構成された複数のSAML属性または値を渡した場合、Zoomはライセンスを上から下へマッピングします。次の例を参照してください:

上記の構成によると、ユーザーが両方に対して属性を渡す場合 **global\_ユーザー** と **マーケティング**、なぜなら **マーケティング** 構成内で最も高いため、この属性がユーザーに適用され、残りの適用可能な属性は無視されます。あるいは、構成が次のように設定されていた場合、 **global\_ユーザー** 最も高いものとして、次のスクリーンショットに示すように、ユーザーのアサーションに含まれていた場合、 **global\_ユーザー**, **マーケティング**, **人間** **リソース**、および **IT**、なぜなら **global\_ユーザー** 最も高い優先度である場合、ベーシックライセンスのみがアサートされます。

Zoom の管理者は、エディタ内の↑↓矢印を使用してマッピング値を編集する際に、アプリケーションの順序を調整できます。 {% hint style="success" %} **Zoomの推奨事項** 最も具体的なものから最も一般的なものへ高度な構成を設定することで、ライセンスの誤適用を阻止する。 {% endhint %} #### ウェビナーと大規模ミーティングのマッピングは、両方の追加機能を適用するために共通の値を共有できます。アプリケーションプロセスを簡素化するため、Zoom の管理者は、同じ SAML 属性と値を 2 回設定することで、ユーザーにウェビナーと大規模ミーティングの両方の追加機能を適用できます。これは、次の画像の **global\_ユーザー** 値。これらの追加機能は、必要に応じて個別に設定することもできます。次の **ウェビナーのみ** と **大規模ミーティングのみ** 値。

large_ミーティング_only とウェビナー_only の SAML 属性の例。

#### ユーザーは 1 つの SAML 値を使用して、複数のユーザーグループに追加できます Zoom 管理者は、1 つの SAML 値でユーザーを複数のグループに追加するために、ユーザーグループのマッピングを設定できます。最初に追加されたユーザーグループは、ユーザーのプライマリグループとして設定され、ユーザーのデフォルト設定を決定します *基になるグループで設定がロックされている場合を除きます*。ユーザーグループの詳細については、 [サポート記事](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).

#### 指定されたユーザーとユーザーグループは、特定の SAML マッピングの対象外にできます高度な SAML マッピングの下の各オプションは、特定のユーザーとユーザーグループをマッピング動作の対象外にするよう設定できます。これは、ライセンスの潜在的な変更によるサービス中断から VIP ユーザーを保護するのに役立ちます。

#### Auto Mapping は、その値が以前にグループにマップされていない場合、ユーザーを、その申告された SAML 値にちなんで名付けられたユーザー、チャネル、または IM グループに自動的に割り当てます。 Auto Mapping は、申告された SAML 値にちなんで名付けられたユーザーグループ、チャネル、および IM グループにユーザーを自動的に割り当てるために使用できます。SAML 値に基づいてユーザーを任意のグループに割り当てるよう構成できる他の高度なマッピングコンポーネントとは異なり、Auto Mapping は常に正確な SAML 値に基づいてユーザーをグループに割り当てます。以前そのグループが存在しなかった場合は、自動的に作成されます。

例えば、Auto Mapping が部門に基づいてユーザーをグループにマップするよう設定されている場合、その部門値がユーザーグループ、チャネル、または IM グループでまだ定義されていなければ、ユーザーは次の表に示すように、部門名に一致するグループに自動的に割り当てられます。 | SAML属性 | SAML値 | Zoom グループはすでに存在しますか？ | 結果 | | ------ | ------- | -------------------- | ------------------------------- | | 部門 | 人事部 | はい | ユーザーが人事グループに追加されました | | 部門 | マーケティング | はい | ユーザーがマーケティンググループに追加されました | | 部門 | 営業 | いいえ | 営業グループが作成され、ユーザーが営業グループに追加されました | #### Zoomは最大5つのカスタムSAML属性をサポートしています Zoom管理者は最大まで設定することができます *5* ユーザーデータをZoomプロフィールに追加するためのカスタムSAML属性を、 [高度なユーザー管理](https://zoom.us/account/user#/advanced) ページ。カスタムフィールドを追加した後、Zoom管理者はマッピングを設定する [SAML レスポンスのマッピング](https://zoom.us/account/sso/mapping) ページ。

#### ユーザーをサブアカウントにマッピングすると *のみ* ミーティングライセンスと追加機能が適用されますユーザーをサブアカウントにマッピングすると、そのユーザーのミーティングライセンスと、ウェビナーやLarge Meetingsなどの追加機能のみがサブアカウントに適用されます。ユーザーグループ、IMグループ、ユーザーロールなどは適用されず、サブアカウント内で設定する必要があります。サブアカウントでの SAML 応答マッピングにさらに柔軟性を必要とするお客様の声には、サブアカウント内で一意のバニティURLと新しいSSO設定が必要です。 ### SSO のトラブルシューティング #### SAML 応答ログを使用してトラブルシューティングする保存された SAML 応答ログは、設定やユーザーエラーのトラブルシューティングに非常に役立つツールであり、SAML 応答マッピングの設定にも役立ちます。SSO 設定で SAML 応答ログの保存が設定されている場合は、次からアクセスできます。 [SAML 応答ログ](https://zoom.us/account/sso/saml_logs) 高度な設定の SSO 設定ページ内にあるタブです。SAML レスポンスログを表示するには、 **詳細を表示** 認証試行の横に。 #### ほとんどの認証は応答ログに表示されますほとんどの失敗した、または成功しなかった認証試行は、応答ログページに表示されます。認証試行が表示されない場合、Zoom が ID プロバイダーから SAML アサーションを受信していないか、SAML レスポンスログの保存が無効になっている可能性が高いです。 #### 応答ログから、設定が正しくないか証明書が古くなっているかを確認できます SAML レスポンスログが有効になっている場合、各当事者の ID を認証するために、ID プロバイダーの情報が Zoom にアサートされます。X509 証明書や発行者 ID などのアサートされた設定または情報文字列が Zoom の現在の構成と異なる場合、「現在の SSO 設定と一致しません」と案内するエラーが表示されます。Zoom の管理者は、エラーを解決するために、これらのアサートされた値が正しい場合は SSO 設定を更新して一致させることができます。

#### 応答ログでは、どの SAML 値と属性がアサートされているかがわかります応答ログを確認すると、ユーザーが認証するときにどの属性と値をアサートしているかを検証することで、SAML応答マッピングの設定の解決に役立ちます。これらは設定と比較して、属性と値が一致していることを確認できます。

SAMLの属性または値が欠落している場合、その情報はIDプロバイダーサービスによってアサートされていません。この問題が発生しているユーザーは、さらに支援を受けるために、IDプロバイダーのサポート連絡先に問い合わせることをお勧めします。 #### 失敗した場合、応答ログにはエラーコードと簡単な説明が含まれますユーザーが認証できない場合、またはエラーを受け取った場合、SAML応答ログにはエラーコードとエラーの簡単な説明が含まれます。

ほとんどの問題は、これらのエラーメッセージを使用することで特定および解決できます。エラーを解決できない場合は、追加の支援についてZoomサポートに連絡してください。 #### Web Tracking IDエラーユーザーがシングルサインオン（SSO）認証に失敗すると、WEB Tracking IDエラーコードが表示されます。これらのコードは特定の失敗に関連するエラーメッセージではなく、認証の問題を特定するためにSAML応答マッピングで確認できる一意のログIDです。

エラーを特定するには、SAML応答ログ記録が有効になっている場合、次の [SAML 応答ログ](https://zoom.us/account/sso/saml_logs) 詳細設定のSSO設定ページ内にあるオンラインのタブで、WEB tracking IDをTracking IDフィールドに入力し、検索して応答ログを表示します

前述のWEB Tracking IDエラーコードを使用してSAML応答ログを検索する例。

SAML応答ログには、SAMLアサーションと、応答の下部に追加のトラブルシューティングに使用できるエラーコードとメッセージが表示されるはずです。 ### SCIMエラー #### ユーザーが存在しない、またはこのアカウントに属していませんこのエラーは、対象ユーザーのメールアドレスが、既存のアカウントのためにプロビジョニングに失敗した場合に発生します。Zoom管理者は、ユーザーに直接連絡し、アカウントへ手動で招待することをお勧めします。

#### 有料ユーザーを追加できませんこのエラーは、アカウントのライセンスが不足している状態でSCIMがユーザーをプロビジョニングしようとしたときに発生します。エラーを解決するには、ユーザーをベーシックユーザーとしてプロビジョニングするか、プロビジョニング用のライセンスを利用可能にする必要があります。 ### SCIMログを使用してユーザープロビジョニングをトラブルシューティングする Zoomは最新の100件のAPIリクエストログを次の [Zoom Marketplace](https://marketplace.zoom.us/)で提供します。Zoom管理者は、これらのログを使用して、プロビジョニングAPIを通じて送受信されている情報を確認できます。ログにアクセスするには、Zoom管理者としてZoom Marketplaceにサインインし、 **管理**。次のページで、 **通話ログ** 下に **個人アプリ管理**を選択します。そこから、エントリをクリックしてAPIログを展開し、内容を確認します。次の画像は、SCIMユーザープロビジョニング要求の例で、参照用にユーザーの識別情報とライセンス属性が強調表示されています。

SAML応答マッピングと同様に、Zoomはプロビジョニング要求でIDプロバイダーから送信された情報のみを適用できます。これらのログを使用して、ユーザーの識別情報とライセンス属性がIDプロバイダーから送信されていることを確認してください。期待される情報がこれらのアサーションに含まれていない場合は、IDプロバイダーにサポートを依頼してください。 ### データフローと認証 #### SAML認証次の図は、Zoomでシングルサインオン（SSO）セッションを開始する際のユーザーのSAML認証フローを詳しく示しています。

#### SSO WebログイントークンユーザーがSAMLで認証すると、ユーザーのセッションはブラウザ内に構築され、デフォルトで2時間の有効期間があります。ユーザーがZoomのWebページを継続的にアクティブに使用している場合、セッションは更新されますが、ユーザーが2時間Webページを使用しない場合、トークンは期限切れになり、再認証が必要になります。Zoom管理者はこのアクティブなセッションの長さを次の設定で設定することができます [セキュリティ](https://zoom.us/account/setting/security) ページで一定時間操作がない場合、ユーザーは再度サインインする必要があります **Web上の非アクティブ期間を設定（分）**. #### クライアントログイントークンユーザーがクライアント内でシングルサインオン（SSO）による認証を試みると、ユーザーの端末でブラウザが開き、IDプロバイダーのログインページにリダイレクトされます。ユーザーが認証すると、ユーザーのブラウザにはZoomクライアント起動トークンが届きます。ユーザーが「open」または「launch」ボタンをクリックすると、ブラウザはURLスキーマと起動トークンを組み合わせてZoomクライアントを開きます。 Zoomクライアントは起動トークンを使用して、Zoomサーバーからアクセストークンとリフレッシュトークンを取得します。クライアントはアクセストークンを一度に2時間使用し、期限切れになるとリフレッシュトークンを使用して新しいトークン一式をゲインします。これらはクライアントのローカルデータベースに保存されます。この更新プロセスはデフォルトでは無制限で、ユーザーがサインアウトするかトークンが期限切れになるまで、トークンを継続的に循環できます。Zoom管理者は、セッションの長さを次の設定で設定することができます [SSO設定](https://zoom.us/account/sso) ページで [*自動ログアウトを強制する*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time). --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://library.zoom.com/technical-library/ja/kn/account-and-endpoint-management/sso-field-guide.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.