PeopleXヘルプセンター

従業員がSSOでログインできないとき

従業員がSSO（シングルサインオン）でPeopleX AI共通管理にログインできないときに、管理者が確認することと対処をまとめています。

更新日

補足

管理者向けの記事です。共通管理での確認と対処には、共通管理の「管理者」の権限が必要です。

SSOでは、従業員はIdP（IDプロバイダー。従業員を認証する外部のサービス）で認証してから、共通管理にログインします。従業員が自分で試すことは、ログインできないときの「SSOでログインできない場合」にあります。SSOの設定のしかたは、SSO（シングルサインオン）を設定するを確認してください。

最初に確認する

  • ログインできないのが1人だけか、同じドメインの従業員の全員か。全員のときはIdP連携の設定（証明書やIdPの値）を、1人だけのときはその従業員の登録やIdPでの割り当てを確認します。
  • 従業員が、どの画面で、どのメッセージを見たか。共通管理のログイン画面か、IdPの画面か、IdPで認証した後かで、確認する場所が変わります。
  • サイドメニューの「設定」＞「セキュリティ」＞「SSO」の画面で、IdP連携の「ステータス」が「稼働中」か、「証明書の有効期限」が切れていないか。

SSOではなく「パスワード」の欄が表示される場合

SSOでログインするはずの従業員に「パスワード」の欄が表示されるときは、その従業員がSSOの対象になっていません。次を確認してください。

  • 従業員のメールアドレスのドメインが、IdP連携の「対象ドメイン」に登録されているか
  • そのIdP連携の「ステータス」が「稼働中」か
  • 従業員が、社員番号でログインする設定になっていないか。社員番号でログインする従業員は、SSOの対象外です
  • セキュリティポリシーの機能がある企業では、従業員に割り当てたポリシーで「SSOを使用する」がオンか
  • テストモードの間は、IdP連携の証明書の有効期限が切れていないか。切れていると、パスワードでのログインに切り替わります

「SSOでログイン」と「パスワードでログイン」を選ぶ画面が表示される場合

自社がSSOのテストモード中です。設定の誤りではありません。テストモードの間は、SSOの対象の従業員も、この画面の「パスワードでログイン」からパスワードでログインできます。テストモードの終了は、SSO（シングルサインオン）を設定するの「テストモードを終了する」を確認してください。

「SSOを利用できません」「SAML認証が有効になっていません」と表示された場合

SSOの対象の従業員で、対象ドメインのIdP連携が稼働中なのに、証明書の有効期限が切れているときに表示されます。テストモードを終了している場合は、この従業員はSSOでもパスワードでもログインできません。テストモードの間は、このメッセージは表示されず、「パスワード」の欄が表示されます。

  1. 「SSO」の画面で、IdP連携の「証明書の有効期限」を確認します。
  2. 期限が切れていたら、IdPで新しい証明書を用意し、IdP連携の「編集」で「X.509証明書(PEM形式)」に登録します。
  3. 従業員に、もう一度ログインしてもらいます。

証明書を登録する手順は、SSO（シングルサインオン）を設定するの「IdP連携を編集する」を確認してください。

IdPの画面でエラーが表示された場合

IdPの画面に表示されたエラーは、IdP側の設定で直します。まず、次の2つを確認してください。

  • SSOでログインする従業員が、IdPで共通管理のアプリに割り当てられているか
  • IdPに登録したSP（サービスプロバイダー。IdPの認証を使ってログインするサービス）のエンティティID（https://<subdomain>.account.peoplex.jp/sp）とACS URL（https://<subdomain>.account.peoplex.jp/api/sso/saml/acs）が、完全に一致しているか

<subdomain> は、自社のサブドメインに置き換えてください。

サブドメインを変えたときは、IdPに登録した値も新しいサブドメインに変える必要があります（会社名やサブドメインを変更する）。IdPごとのエラーと対処は、次の記事の「よくある質問」を確認してください。

IdPで認証した後に「SSOログインに失敗しました。もう一度お試しください。」と表示された場合

IdPでの認証は通ったのに、共通管理がログインを受け付けなかったときに表示されます。

SSOのログイン画面。「メールアドレスまたは社員番号」の欄の上の「SSOログインに失敗しました。もう一度お試しください。」を赤枠で囲んでいる

次を確認してください。

  • 従業員の登録：サイドメニューの「従業員」で、その従業員の「ステータス」が「登録済み」か。「未招待」「招待中」のときは、招待を受けてアカウントを作成してもらいます（ユーザーを招待する）。「ロック中」のときは、ロックを解除します（従業員のロックを解除する・2要素認証をリセットする）。
  • メールアドレス：IdPが属性 email で送るメールアドレスと、共通管理に登録した従業員のメールアドレスが同じか。
  • IdPの設定：名前IDの形式が Persistent（または EmailAddress）か。共通管理に登録した「Entity ID」「SSO(シングルサインオン)URL」「X.509証明書(PEM形式)」が、IdPの今の値と同じか。IdPで証明書を更新したときは、共通管理にも新しい証明書を登録します。
  • サービスの権限：AIロープレなどの画面からログインを始めたときは、そのサービスの権限が従業員に付いているか（従業員の権限を変更する）。
  • IPアドレス制限：従業員のポリシーでIPアドレス制限を使っているときは、許可したネットワークからログインしているか（IPアドレス制限を設定する）。
  • 時間：IdPの画面を開いてから10分以上たって認証すると、失敗します。ログイン画面からやり直してもらいます。

「自動的にログインできませんでした」と表示された場合

IdPのポータル画面など、IdP側から始めたログインには対応していないため表示されます。設定の誤りではありません。従業員には、その画面でメールアドレスを入力し、「SSOでログイン」をクリックしてもらいます。次からは、共通管理のログイン画面からログインを始めるよう案内してください。

管理者もSSOでログインできない場合

テストモードの間は、SSOの対象の管理者も、ログインの方法を選ぶ画面の「パスワードでログイン」からログインできます。

SSOの対象でない管理者がいれば、その管理者にパスワードでログインしてもらい、SSOをいったんやめます。SSOの対象でないのは、社員番号でログインする管理者、対象ドメインと違うメールアドレスの管理者、「SSOを使用する」がオフのポリシーを割り当てた管理者です。

  • セキュリティポリシーの機能がある企業：「SSOを使用する」がオンのポリシーすべてで、オフにして保存します。
  • セキュリティポリシーの機能がない企業：IdP連携を「連携停止」にします。

SSOをやめると、従業員は共通管理のパスワードでログインします。原因を直してから、SSOに戻してください。

解決しない場合

問い合わせるときは、次を伝えてください。

  • 発生した日時
  • ログインできない従業員のメールアドレスのドメインと、人数
  • 表示されたメッセージ（そのまま）。IdPの画面のエラーは、エラーのコードも
  • 試した手順と結果