Microsoft Entra IDでSSOを設定する

Microsoft Entra IDを会社のIdP（IDプロバイダー）にして、従業員がMicrosoftのアカウントでPeopleX AI共通管理にログインできるようにする、Microsoft Entra ID側の設定の手順です。

更新日2026年11月11日

補足

管理者向けの記事です。Microsoft Entra IDでエンタープライズアプリケーションを作成できる管理者のアカウントが必要です。共通管理での操作には、共通管理の「管理者」の権限が必要です。

Microsoft Entra IDの画面の詳しい操作は、Microsoftのヘルプ「エンタープライズアプリケーションの SAML シングルサインオンを有効にする（新しいタブで開きます）」を確認してください。Microsoft Entra IDの画面の表記は、予告なく変わることがあります。

設定の流れ

Microsoft Entra IDに、共通管理をエンタープライズアプリケーションとして追加する（この記事）
共通管理にIdP連携を追加する
連携を開始する
ポリシーで「SSOを使用する」をオンにする（セキュリティポリシーの機能がある企業だけ）
ログインを確認する
テストモードを終了する

2〜6の手順は、SSO（シングルサインオン）を設定するにあります。SSOの対象になる従業員や、うまくいかないときにパスワードでのログインに戻す方法も、その記事で確認してください。

アプリケーションを作成する

<subdomain> は自社のサブドメインに置き換えてください。サブドメインは、自社のログイン画面のURL（https://<subdomain>.account.peoplex.jp）で確認できます。

Microsoft Entra 管理センターで「Entra ID」＞「エンタープライズアプリ」＞「すべてのアプリケーション」を開き、「新しいアプリケーション」＞「独自のアプリケーションの作成」をクリックします。
アプリ名（例: PeopleX AI共通管理）を入力し、「ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)」を選んで、「作成」をクリックします。
作成したアプリケーションの「シングルサインオン」で、「SAML」を選びます。
「基本的な SAML 構成」の「編集」をクリックし、次の値を入力して「保存」をクリックします。
- 識別子 (エンティティ ID)：https://<subdomain>.account.peoplex.jp/sp
- 応答 URL (Assertion Consumer Service URL)：https://<subdomain>.account.peoplex.jp/api/sso/saml/acs

属性と要求を設定する

重要

名前が email で、名前空間が空欄の要求が必要です。既定の「emailaddress」の要求のまま（名前空間が入ったまま）だと、Microsoft Entra IDでの認証は通っても、共通管理に戻ったところでログインに失敗します。

「属性と要求」の「編集」をクリックします。
「一意のユーザー識別子 (名前 ID)」をクリックし、「名前識別子の形式」を「永続的」、「ソース属性」を「user.mail」にして、「保存」をクリックします。
「追加の要求」の「emailaddress」の要求をクリックし、「名前」を email に変え、「名前空間」を空欄にして、「保存」をクリックします。

ユーザーをアプリケーションに割り当てる

アプリケーションに割り当てていないユーザーは、SSOを使えません。

「ユーザーとグループ」の「ユーザーまたはグループの追加」で、SSOを使うユーザーかグループを割り当てます。
割り当てたユーザーに、メールアドレスが設定されているか確認します。メールアドレスのないユーザーは、SSOでログインできません。

共通管理に登録する

「SAML 証明書」の「証明書 (Base64)」をダウンロードします。「（アプリ名）のセットアップ」に表示される値と合わせて、共通管理のIdP連携の次の欄に入力します。

Microsoft Entra IDの値	共通管理の入力欄
Microsoft Entra 識別子	Entity ID
ログイン URL	SSO(シングルサインオン)URL
証明書 (Base64)	X.509証明書(PEM形式)

ダウンロードした証明書は、テキストエディタで開き、「-----BEGIN CERTIFICATE-----」から「-----END CERTIFICATE-----」までを貼り付けます。

「ドメイン」には、SSOでログインする従業員のメールアドレスのドメインを入力します。IdP連携の追加からテストモードの終了までは、共通管理の管理者がSSO（シングルサインオン）を設定するの手順で行います。

よくある質問

Q. 「マイアプリ」やSAMLの設定画面の「テスト」からログインできません

A. Microsoft Entra ID側から始めたログインには対応していません。共通管理のログイン画面（https://<subdomain>.account.peoplex.jp）から、ログインしてください。Microsoft Entra ID側から始めると、ログイン画面に「自動的にログインできませんでした」と表示されます。その画面でメールアドレスを入力し、「SSOでログイン」をクリックすると、ログインできます。

Q. Microsoft Entra IDの認証は通るのに、共通管理に戻ったところでログインに失敗します

A. 次を確認してください。

「追加の要求」に、名前が email で、名前空間が空欄の要求があるか
「名前識別子の形式」が「永続的」になっているか
ログインしたアカウントと同じメールアドレスで、共通管理に従業員が登録され、アカウントを作成済みか
共通管理に登録した「Entity ID」「SSO(シングルサインオン)URL」「X.509証明書(PEM形式)」が、Microsoft Entra IDの値と同じか

ほかの原因と対処は、従業員がSSOでログインできないときを確認してください。

Q. サインインのときに、ユーザーがアプリケーションに割り当てられていないというエラーが表示されます

A. Microsoft Entra IDで、そのユーザーがアプリケーションに割り当てられていません。「ユーザーとグループ」で、そのユーザーか、ユーザーが所属するグループを割り当ててください。

Q. 「AADSTS50020」と表示され、アカウントがテナントに存在しないと言われます

A. Microsoftにサインインしているアカウントが、アプリケーションを作成したテナントのユーザーではありません。個人のMicrosoftアカウントや、別の組織のアカウントでサインインしているときに表示されます。

Microsoftからサインアウトするか、シークレットウィンドウで共通管理のログイン画面を開き直します。
Microsoftのサインイン画面で、アプリケーションを作成したテナントのユーザーでサインインします。
それでも表示されるときは、そのユーザーが「ユーザーとグループ」でアプリケーションに割り当てられているか確認します。

Q. サインインのときに、応答URLがアプリケーションの設定と一致しないというエラーが表示されます

A. 「基本的な SAML 構成」の値を確認してください。

「識別子 (エンティティ ID)」が https://<subdomain>.account.peoplex.jp/sp と完全に一致しているか。末尾の /sp の抜けや、サブドメインの誤りがないか
「応答 URL (Assertion Consumer Service URL)」が https://<subdomain>.account.peoplex.jp/api/sso/saml/acs と完全に一致しているか

Q. 「AADSTS700016」と表示され、識別子のアプリケーションが見つからないと言われます

A. エラーに表示された識別子と、「基本的な SAML 構成」の「識別子 (エンティティ ID)」が一致していません。「識別子 (エンティティ ID)」が https://<subdomain>.account.peoplex.jp/sp と完全に一致しているか確認してください。アプリケーションを別のテナントに作成したときも表示されます。共通管理に登録した「SSO(シングルサインオン)URL」が、アプリケーションを作成したテナントの「ログイン URL」か確認してください。