> ## Documentation Index
> Fetch the complete documentation index at: https://private-7c7dfe99-detect-table-modification.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# SAML SSO の設定

> ClickHouse Cloud で SAML SSO を設定する方法

export const EnterprisePlanFeatureBadge = ({feature = 'この機能', support = false, linking_verb_are = false}) => {
  return <div className="enterprisePlanFeatureContainer">
            <div className="enterprisePlanFeatureBadge">
                Enterpriseプランの機能
            </div>
            <div>
                <p>{feature} {linking_verb_are ? 'は' : 'は'} Enterpriseプランで利用できます。{support ? `この機能を有効にするには、サポートにお問い合わせください。` : 'アップグレードするには、Cloud Console のプランページにアクセスしてください。'}</p>
            </div>
        </div>;
};

export const Image = ({img, alt, size = "lg"}) => {
  const normalizedSize = ["sm", "md", "lg"].includes(size) ? size : "lg";
  return <div className={`ch-image-${normalizedSize}`}>
      <Frame>
        <img src={img} alt={alt} />
      </Frame>
    </div>;
};

ClickHouse Cloud は、Security Assertion Markup Language (SAML) によるシングルサインオン (SSO) をサポートしています。これにより、アイデンティティプロバイダー (IdP) で認証することで、ClickHouse Cloud 組織に安全にサインインできます。

サービスプロバイダー開始型 SSO、個別の接続を使用する複数の組織、ならびにジャストインタイムプロビジョニングをサポートしています。また、Okta をサポートする [SCIM provisioning](/ja/products/cloud/guides/security/cloud-access-management/scim-setup) をプライベートプレビューで提供しています。現時点では、属性マッピングには対応していません。

SAML インテグレーションを有効にすると、新規ユーザーに割り当てるデフォルトのロールを指定したり、セッションタイムアウトの設定を調整したりすることもできます。

<div id="before-you-begin">
  ## 始める前に
</div>

IdP での管理者権限、自身のドメインの DNS 設定に TXT レコードを追加する権限、そして ClickHouse Cloud 組織での **Admin** ロールが必要です。ログイン手順を簡略化するため、SAML 接続に加えて、**組織への直接リンク**を設定することをおすすめします。この設定方法は IdP ごとに異なります。お使いの IdP での設定方法については、このまま読み進めてください。

<div id="how-to-configure-your-idp">
  ## IdP の設定方法
</div>

<div id="steps">
  ### 手順
</div>

<Steps>
  <Step>
    ### 組織設定にアクセスする

    左下にある組織名をクリックし、\[Organization details] を選択します。
  </Step>

  <Step>
    ### SAMLシングルサインオンを有効にする

    `Enable SAML single sign-on` の横にあるトグルをクリックします。セットアップ中にこの画面を何度か参照するため、このまま開いておいてください。

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-self-serve-1.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=2af4318b79cd49c0f5a06d5fd64782fb" size="lg" alt="SAMLセットアップを開始" force width="2136" height="1334" data-path="images/cloud/security/saml-self-serve-1.webp" />
  </Step>

  <Step>
    ### ID プロバイダーにアプリケーションを作成する

    ID プロバイダー内にアプリケーションを作成し、`Enable SAML single sign-on` 画面に表示される値を ID プロバイダーの設定にコピーしてください。この手順の詳細については、以下の該当する ID プロバイダーの説明を参照してください。

    * [Okta SAML を設定する](#configure-okta-saml)
    * [Google SAML を設定する](#configure-google-saml)
    * [Azure (Microsoft) SAML を設定する](#configure-azure-microsoft-saml)
    * [Duo SAML を設定する](#configure-duo-saml)

    <Tip>
      ClickHouse は IdP 主導のサインインをサポートしていません。ユーザーが ClickHouse Cloud に簡単にアクセスできるように、このサインイン URL 形式を使ってユーザー用のブックマークを設定してください: `https://console.clickhouse.cloud/?connection={orgId}`。ここで `{orgID}` は、Organization details ページにある Organization ID です。
    </Tip>

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-self-serve-2.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=f7c06fdce593b1ca0c722cb2d3752d55" size="lg" alt="ID プロバイダーのアプリケーションを作成する" force width="2952" height="1744" data-path="images/cloud/security/saml-self-serve-2.webp" />
  </Step>

  <Step>
    ### メタデータURLをSAML設定に追加する

    SAMLプロバイダから`Metadata URL`を取得します。ClickHouse Cloudに戻り、`Next: Provide metadata URL`をクリックして、URLをテキストボックスに貼り付けます。

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-self-serve-3.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=672062489d5e16a0b491427ee00a9004" size="lg" alt="メタデータURLを追加" force width="2962" height="1536" data-path="images/cloud/security/saml-self-serve-3.webp" />
  </Step>

  <Step>
    ### ドメイン検証コードを取得する

    `Next: Verify your domains` をクリックします。テキストボックスにドメインを入力し、`Check domain` をクリックします。DNS プロバイダで TXT レコードに追加するためのランダムな検証コードが生成されます。

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-self-serve-4.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=75bba9e57d9306bda8287741b85f93e4" size="lg" alt="検証するドメインを追加" force width="2954" height="1530" data-path="images/cloud/security/saml-self-serve-4.webp" />
  </Step>

  <Step>
    ### ドメインを確認する

    DNSプロバイダーでTXTレコードを作成します。`TXT record name` を、DNSプロバイダー側のTXTレコードのNameフィールドにコピーします。`Value` を、DNSプロバイダー側のContentフィールドにコピーします。`Verify and Finish` をクリックして、手順を完了します。

    <Note>
      DNSレコードの更新と確認が完了するまで、数分かかる場合があります。設定ページを離れても、最初からやり直すことなく、後で戻って手順を完了できます。
    </Note>

    <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-self-serve-5.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=165803915413f9062183dabe3226fcf6" size="lg" alt="ドメインを確認する" force width="2962" height="1594" data-path="images/cloud/security/saml-self-serve-5.webp" />
  </Step>

  <Step>
    ### デフォルトのロールとセッションタイムアウトを更新

    SAML の設定が完了したら、すべてのユーザーにログイン時に割り当てるデフォルトのロールを設定し、セッションタイムアウトも調整できます。割り当て可能なシステムロールの一覧については、[Console のロールと権限](/ja/products/cloud/reference/security/console-roles)を参照してください。
  </Step>

  <Step>
    ### 管理者ユーザーを設定する

    <Note>
      別の認証方式で設定されたユーザーは、組織内の管理者が削除するまで保持されます。
    </Note>

    SAML 経由で最初の管理者ユーザーを割り当てるには、次の手順に従います。

    1. [ClickHouse Cloud](https://console.clickhouse.cloud) からログアウトします。
    2. ID プロバイダーで、管理者ユーザーを ClickHouse アプリケーションに割り当てます。
    3. ユーザーに [https://console.clickhouse.cloud/?connection=\{orgId}](https://console.clickhouse.cloud/?connection=\{orgId}) (ショートカット URL) からログインしてもらいます。前の手順で作成したブックマークからアクセスしてもかまいません。ユーザーは初回ログインするまで ClickHouse Cloud に表示されません。
    4. デフォルトの SAML ロールが Admin 以外の場合は、新しい SAML ユーザーのロールを更新するために、いったんログアウトしてから元の認証方式で再度ログインする必要がある場合があります。
       * メール + パスワードのアカウントの場合は、`https://console.clickhouse.cloud/?with=email` を使用してください。
       * ソーシャルログインの場合は、該当するボタン (**Continue with Google** または **Continue with Microsoft**) をクリックしてください。

    <Note>
      上記の `?with=email` にある `email` は、プレースホルダーではなく文字どおりのパラメーター値です
    </Note>

    5. もう一度ログアウトし、以下の最後の手順を完了するためにショートカット URL から再度ログインします。

    <Tip>
      手順を減らすには、最初は SAML のデフォルトロールを `Admin` に設定しておくこともできます。ID プロバイダーで管理者を割り当ててそのユーザーが初回ログインしたら、その後でデフォルトロールを別の値に変更できます。
    </Tip>
  </Step>

  <Step>
    ### 他の認証方式を削除する

    インテグレーションを完了するには、SAML 以外の方式を使用しているユーザーをすべて削除し、アクセスを identity provider connection に由来するユーザーのみに制限します。
  </Step>
</Steps>

<div id="configure-okta-saml">
  ### Okta SAML を設定する
</div>

ClickHouse 組織ごとに、Okta で 2 つの App Integration を設定します。1 つは SAML アプリ、もう 1 つは直接リンクを登録するためのブックマークです。

<Accordion title="1. アクセス管理用のグループを作成する">
  1. **Administrator** として Okta インスタンスにログインします。

  2. 左側の **Groups** を選択します。

  3. **Add group** をクリックします。

  4. グループ名と説明を入力します。このグループは、SAML アプリと関連するブックマークアプリの間でユーザーを一致させるために使用します。

  5. **Save** をクリックします。

  6. 作成したグループ名をクリックします。

  7. **Assign people** をクリックし、この ClickHouse 組織へのアクセスを許可するユーザーを割り当てます。
</Accordion>

<Accordion title="2. ユーザーがシームレスにログインできるようにブックマークアプリを作成する">
  1. 左側の **Applications** を選択し、次に **Applications** サブ見出しを選択します。

  2. **Browse App Catalog** をクリックします。

  3. **Bookmark App** を検索して選択します。

  4. **Add integration** をクリックします。

  5. アプリのラベルを選択します。

  6. URL に `https://console.clickhouse.cloud/?connection={organizationid}` を入力します

  7. **Assignments** タブに移動し、上で作成したグループを追加します。
</Accordion>

<Accordion title="3. 接続を有効にするための SAML アプリを作成する">
  1. 左側の **Applications** を選択し、次に **Applications** サブ見出しを選択します。

  2. **Create App Integration** をクリックします。

  3. SAML 2.0 を選択し、**Next** をクリックします。

  4. アプリケーション名を入力し、**Don't display application icon to users** の横にあるチェックボックスをオンにしてから、**Next** をクリックします。

  5. 次の値を使用して SAML 設定画面を入力します。

     | Field                          | Value                                   |
     | ------------------------------ | --------------------------------------- |
     | Single Sign On URL             | コンソールから Single Sign-On URL をコピー         |
     | Audience URI (SP Entity ID)    | コンソールから Service Provider Entity ID をコピー |
     | Default RelayState             | 空欄のままにする                                |
     | Name ID format                 | Unspecified                             |
     | Application username           | Email                                   |
     | Update application username on | Create and update                       |

  6. 次の Attribute Statement を入力します。

     | Name  | Name format | Value      |
     | ----- | ----------- | ---------- |
     | email | Basic       | user.email |

  7. **Next** をクリックします。

  8. **Feedback** 画面で必要な情報を入力し、**Finish** をクリックします。

  9. **Assignments** タブに移動し、上で作成したグループを追加します。

  10. 新しいアプリの **Sign On** タブで、**Copy metadata URL** ボタンをクリックします。

  11. [metadata URL を SAML 設定に追加する](#add-metadata-url) に戻って、手順を続けます。
</Accordion>

<div id="configure-google-saml">
  ### Google SAML を設定する
</div>

組織ごとに Google で SAML アプリを 1 つ設定します。multi-org SSO を使用する場合は、ユーザーがブックマークできるよう、直接リンク (`https://console.clickhouse.cloud/?connection={organizationId}`) を案内する必要があります。

<Accordion title="Google Web App を作成する">
  1. Google Admin console (admin.google.com) に移動します。

  <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-google-app.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=1a8582288b074a717e16a4ba4f7119d7" size="md" alt="Google SAML App" force width="1224" height="608" data-path="images/cloud/security/saml-google-app.webp" />

  2. **Apps** をクリックし、左側の **Web and mobile apps** をクリックします。

  3. 上部メニューの **Add app** をクリックし、**Add custom SAML app** を選択します。

  4. アプリ名を入力し、**Continue** をクリックします。

  5. metadata URL をコピーして保存します。

  6. 以下の ACS URL と Entity ID を入力します。

     | フィールド     | 値                                       |
     | --------- | --------------------------------------- |
     | ACS URL   | コンソールから Single Sign-On URL をコピー         |
     | Entity ID | コンソールから Service Provider Entity ID をコピー |

  7. **Signed response** のチェックボックスをオンにします。

  8. Name ID Format には **EMAIL** を選択し、Name ID は **Basic Information > Primary email.** のままにします。

  9. **Continue** をクリックします。

  10. 次の Attribute mapping を入力します。

  | フィールド             | 値             |
  | ----------------- | ------------- |
  | Basic information | Primary email |
  | App attributes    | email         |

  13. **Finish** をクリックします。

  14. アプリを有効にするには、全員に対する **OFF** をクリックし、設定を全員に対して **ON** に変更します。画面左側のオプションを選択すると、アクセスをグループまたは組織単位に制限することもできます。

  15. [metadata URL を SAML 設定に追加する](#add-metadata-url) に戻って、手順を続けてください。
</Accordion>

<div id="configure-azure-microsoft-saml">
  ### Azure (Microsoft) SAML を設定する
</div>

Azure (Microsoft) SAML は、Azure Active Directory (AD) または Microsoft Entra と呼ばれることもあります。

<Accordion title="Azure Enterprise Application を作成する">
  組織ごとに異なるサインオン URL を使用して、1つのアプリケーションインテグレーションを設定します。

  1. Microsoft Entra 管理センターにサインインします。

  2. 左側の **Applications > Enterprise** applications に移動します。

  3. 上部メニューで **New application** をクリックします。

  4. 上部メニューで **Create your own application** をクリックします。

  5. 名前を入力し、**Integrate any other application you don't find in the gallery (Non-gallery)** を選択して、**Create** をクリックします。

       <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-azure-app.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=a3eac8489b0b6d7c89c48a2949f48ef6" size="md" alt="Azure Non-Gallery App" force width="980" height="624" data-path="images/cloud/security/saml-azure-app.webp" />

  6. 左側の **Users and groups** をクリックし、ユーザーを割り当てます。

  7. 左側の **Single sign-on** をクリックします。

  8. **SAML** をクリックします。

  9. 以下の設定を使用して、Basic SAML Configuration 画面に入力します。

     | フィールド                                      | 値                                                               |
     | ------------------------------------------ | --------------------------------------------------------------- |
     | Identifier (Entity ID)                     | コンソールから Service Provider Entity ID をコピーします                      |
     | Reply URL (Assertion Consumer Service URL) | コンソールから Single Sign-On URL をコピーします                              |
     | Sign on URL                                | `https://console.clickhouse.cloud/?connection={organizationid}` |
     | Relay State                                | 空欄                                                              |
     | Logout URL                                 | 空欄                                                              |

  10. Attributes & Claims で、以下を追加 (A) または更新 (U) します。

      | Claim name                           | Format        | Source attribute |
      | ------------------------------------ | ------------- | ---------------- |
      | (U) Unique User Identifier (Name ID) | Email address | user.mail        |
      | (A) email                            | Basic         | user.mail        |
      | (U) /identity/claims/name            | Omitted       | user.mail        |

        <Image img="https://mintcdn.com/private-7c7dfe99-detect-table-modification/qv-kMrZ4A7ARrVOd/images/cloud/security/saml-azure-claims.webp?fit=max&auto=format&n=qv-kMrZ4A7ARrVOd&q=85&s=4acdb07c6e5f0da454ff818eaea6ff72" size="md" alt="Attributes and Claims" force width="1242" height="816" data-path="images/cloud/security/saml-azure-claims.webp" />

  11. metadata URL をコピーし、[metadata URL を SAML 設定に追加する](#add-metadata-url) に戻って手順を続けます。
</Accordion>

<div id="configure-duo-saml">
  ### Duo SAML を設定する
</div>

<Accordion title="Duo 用の汎用 SAML Service Provider を作成する">
  1. [汎用 SAML Service Providers 向け Duo Single Sign-On](https://duo.com/docs/sso-generic) の手順に従ってください。

  2. 次の Bridge Attribute マッピングを使用します。

     | Bridge Attribute | ClickHouse Attribute |
     | :--------------- | :------------------- |
     | Email Address    | email                |

  3. 次の値を使用して、Duo の Cloud Application を更新します。

     | フィールド                                | 値                                                               |
     | :----------------------------------- | :-------------------------------------------------------------- |
     | Entity ID                            | コンソールから Service Provider Entity ID をコピーします                      |
     | Assertion Consumer Service (ACS) URL | コンソールから Single Sign-On URL をコピーします                              |
     | Service Provider Login URL           | `https://console.clickhouse.cloud/?connection={organizationid}` |

  4. metadata URL をコピーし、[metadata URL を SAML 設定に追加する](#add-metadata-url) に戻って設定を続行します。
</Accordion>

<div id="how-it-works">
  ## 仕組み
</div>

<div id="user-management-with-saml-sso">
  ### SAML SSO を使用したユーザー管理
</div>

ユーザー権限の管理や、SAML 接続のみにアクセスを制限する方法の詳細については、[クラウドユーザーの管理](/ja/products/cloud/guides/security/cloud-access-management/manage-cloud-users)を参照してください。

<div id="service-provider-initiated-sso">
  ### サービスプロバイダー開始型 SSO
</div>

サービスプロバイダー開始型 SSO のみをサポートしています。これは、ユーザーが `https://console.clickhouse.cloud` にアクセスしてメールアドレスを入力すると、authentication のために IdP にリダイレクトされることを意味します。お使いの IdP ですでに認証済みのユーザーは、ログインページでメールアドレスを入力しなくても、直接リンクを使って自動的に組織へログインできます。

<div id="multi-org-sso">
  ### Multi-org SSO
</div>

ClickHouse Cloud は、各組織に個別の接続を提供することで、複数組織向けの SSO をサポートしています。各組織にログインするには、直接リンク (`https://console.clickhouse.cloud/?connection={organizationid}`) を使用してください。別の組織にログインする前に、現在の組織から必ずログアウトしてください。

<Note>
  会社のドメインを持つユーザーが [https://console.clickhouse.cloud](https://console.clickhouse.cloud) でメールアドレスを入力した際に特定の組織へ誘導されないようにするには、この動作を無効にするよう、SSO 設定を手動で更新するサポートリクエストを送信してください。
</Note>

<div id="additional-information">
  ## 追加情報
</div>

認証において、当社はセキュリティを最優先にしています。そのため、SSO の実装では、あらかじめご理解いただきたい点がいくつかあります。

* **サービスプロバイダー開始型の認証フローのみをサポートしています。** ユーザーは `https://console.clickhouse.cloud` にアクセスし、メールアドレスを入力してから、アイデンティティプロバイダーにリダイレクトされる必要があります。ユーザーが URL を覚える必要がないよう、利便性のためにブックマーク用アプリまたはショートカットを追加する手順も用意しています。

* **SSO アカウントと非 SSO アカウントは自動的にはリンクされません。** 同じメールアドレスを使用していても、ClickHouse のユーザー一覧には同一ユーザーのアカウントが複数表示される場合があります。

<div id="troubleshooting-common-issues">
  ## よくある問題のトラブルシューティング
</div>

| エラー                                                                   | 原因                                                    | 解決策                                                                                                                                                 |
| :-------------------------------------------------------------------- | :---------------------------------------------------- | :-------------------------------------------------------------------------------------------------------------------------------------------------- |
| システムの設定不備、またはサービス停止の可能性があります                                          | アイデンティティプロバイダー起点のログイン                                 | このエラーを解決するには、直接リンク `https://console.clickhouse.cloud/?connection={organizationid}` を使用してください。これをユーザーのデフォルトのログイン方法にするには、上記のアイデンティティプロバイダーの手順に従ってください |
| アイデンティティプロバイダーにリダイレクトされた後、再びログインページに戻される                              | アイデンティティプロバイダーでメール属性のマッピングが設定されていません                  | 上記のアイデンティティプロバイダーの手順に従ってユーザーのメール属性を設定し、再度ログインしてください                                                                                                 |
| ユーザーがこのアプリケーションに割り当てられていません                                           | ユーザーがアイデンティティプロバイダー内の ClickHouse アプリケーションに割り当てられていません | アイデンティティプロバイダーでユーザーをアプリケーションに割り当て、再度ログインしてください                                                                                                      |
| 複数の ClickHouse 組織を SAML SSO と連携している場合、どのリンクやタイルを使用しても常に同じ組織にログインしてしまう | 最初の組織にログインしたままになっています                                 | ログアウトしてから、別の組織にログインしてください                                                                                                                           |
| URL に一瞬 `access denied` と表示される                                        | メールアドレスのドメインが、設定されているドメインと一致していません                    | このエラーの解決については、サポートにお問い合わせください                                                                                                                       |