すべてのSAML 2.0規格対応IdPで利用可能なシングルサインオンにょり、対応した組織ではシングルクリックでサインオンできます（そして、セキュリティ上の問題を回避できます）。
シングルサインオンにより、ユーザーは、Arculesがユーザーのパスワードを個別に管理するのではなく、所属組織のユーザーデータベースまたはIDプロバイダーを使用してArculesにアクセスできます。
これは、追加のIDプロバイダーとしてSSOを有効にするものであり、標準的なメール/パスワード認証を削除するものではないということにご注意ください。
テスト済みのIDプロバイダー
Google
Okta
Auth0
２要素認証(2FA) はIDプロバイダー上で有効にされている場合にサポートができます。
前提条件
ドメインのDNS管理ツールへのアクセス権
所属組織のArculesアカウントへのITマネージャーレベルのアクセス権
SSO を使用してサインインするすべてのユーザーは、検証済みのドメインと完全に一致するメールアドレスを使用する必要があります。サブドメインのメールアドレスはサポートされていません。詳細については、ステップ 1 をご確認ください。
選択したIDプロバイダー（IdP）での設定には、以下の値を関連するSAML 2.0の設定に使用します：
シングルサインオンのURL(受信者/宛先はURLと同じ)
EU
JP/APAC
視聴者制限:
Americas
arcules.com
EU
eu.arcules.com
JP/APAC
jp.arcules.com
注: このフィールドはIDPによって名前が異なる場合があります。例えば AzureAD では、Identifier (Entity ID)と呼ばれています。
Name ID フォーマット: Eメールアドレス
利用可能な属性マッピング:
firstName（名）
lastName（性）
image (画像ファイルへのURL)
所属組織のSAML2.0IdPが有効なIdPメタデータXMLで設定されていることを確認してください。ホストしているIdPメタデータXMLへのURLを使用するか、メタデータファイルをアップロードすることができます。
注: SSO設定用に手動で編集したメタデータxmlファイルを使用している場合、<ds:X509Certificate> フィールドは空白なしの1行でなければなりません。
使用例
<ds:X509Certificate>MIIEHDCCA...CxQp8m</ds:X509Certificate>
ステップ1：ドメインを追加・認証する
あなたがドメインの所有者/管理者であることを証明するために、Arculesはドメインを認証する必要があります。そのためには、Arculesが提供する固有のキーをDNS構成に追加する必要があります。このドメインは、SSOに使用されるメールアドレスのドメインと一致している必要があります。
設定 > ID & アクセス管理に移動します。
ページの上部に「ドメインの検証」セクションが表示されます。
「+ 新しいドメイン」をクリックし、ドメインのメールアドレス（myemail@mycompany.com）を入力します。
「追加」をクリックします。
「検証」をクリックし、次に表示されるTXTキーをコピーします。
DNS管理ツール（例：Google Domains、GoDaddyなど）を開きます。
コピーしたキーをTXTフィールドに貼り付けます。
DNS設定の変更が完了するまで待ちます（注：これには最大72時間かかる場合があります）。
ステップ2：SSOを構成して有効にする
ドメインを認証したので、SSO機能を有効にすることができます。
設定 > ID & アクセス管理に移動します。
「SAMLシングルサインオン」と題されたセクションを探します。
SSOを有効にしたいドメインアドレスを見つけて、それをオンに切り替えます。
設定方法を選択します。IdPメタデータXMLファイルをアップロードするか、公開ホストしているファイルのURLを追加することができます。
「保存」をクリックします。
SSOを無効にするには、ドメインごとにSSOをオフに切り替えるだけです。
所属組織内の追加のドメインのSSOを有効にする場合は、ステップ 1 と 2 を繰り返します。
注: ユーザーのメールアドレスは、SSOで使用するドメインと完全に一致している必要があります。サブドメインは現在サポートされていません。
ユーザーログインページ
SSOでログインするには、SAMLアカウントに関連付けられたメールアドレスを入力し、次へをクリックします。
ADFSで設定する際の注意
SAML 2.0の統合にはAzure ADの使用を強く推奨しており、ADFSによるSAML 2.0の直接実装は積極的に対応していませんのでご注意ください。
ただし、以下の情報により、ADFS内部での設定ができる場合があります。
SAMLエンドポイント - https://manage.arcules.com/federation/login/saml/assert
証明書利用者ID - arcules.com
その他はすべて、デフォルト値を使用してください。
要求発行ポリシーについては、以下の2つのルールが必要になる場合があります。
ルール1 - アクティブディレクトリから、名前IDとしてメールアドレスを渡す
ルール2 - この情報を含むカスタムルール：
c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"]
=> issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer =c.Issuer, OriginalIssuer =c.OriginalIssuer, Value = c.Value,ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");
モバイル使用時のMicrosoft Azure/Authenticatorに関する注意事項
SSOプロバイダーとしてMicrosoft Azure/Authenticatorを使用している場合、モバイルでArculesにアクセスするには、iOSまたはAndroidデバイスにMicrosoft Authenticatorアプリをインストールする必要があります。
トラブルシューティング
問題: ユーザーが ID プロバイダーへリダイレクトされず、Arcules のパスワード入力を求められる
ユーザーのメールアドレスのドメインが、[設定] → [Identity & Access Management] で検証済みのドメインと一致しているか確認してください。
検証済みドメインのサブドメインのメールアドレス（例: user@eu.company.com）を使用している場合、検証済みドメインが company.com であっても、SSO は適用されません。その結果、ユーザーは通常の Arcules サインイン画面へ戻されます。
このようなユーザーに対して SSO を有効にするには、サブドメイン（例: eu.company.com）を別のドメインとして追加し、検証する必要があります。
問題: ユーザーがログイン後に再びログインページへ戻される
原因は上記と同じです。
ID プロバイダーが Arcules に返しているメールアドレスのドメインが、Arcules 上で検証および SSO 有効化されていない場合、この問題が発生します。
ID プロバイダーが NameID として送信しているメールアドレスが、Arcules で検証済みのドメインと完全に一致していることを確認してください。
問題: ドメインが「未検証」または「保留中（Pending）」のままで完了しない
ほとんどの場合、TXT レコード自体は存在していますが、誤った名前で作成されています。Arcules は、入力したドメイン名そのものに対して TXT レコードを探します。たとえば xyz.com を追加した場合、レコード名は xyz.com である必要があります。arcules.xyz.com のようなサブドメインではありません。
現在 DNS で実際に公開されている内容を確認するには、ターミナルで次のコマンドを実行してください。xyz.com はご自身のドメイン名に置き換えてください。
dig +short TXT xyz.com
出力結果に arcules-domain-verification=... が表示されれば、DNS 設定は正しく、検証はまもなく完了します。出力が空、またはそのキーが含まれていない場合は、レコードが Arcules が参照している場所に存在していません。DNS 管理画面で、実際にどの名前でレコードが保存されたかを確認してください。よくある例として、Host または Name フィールドに arcules を入力したことで arcules.xyz.com が作成されているケースや、ドメイン名を自動付加するフィールドに完全なドメイン名を入力したことで xyz.com.xyz.com が作成されているケースがあります。
修正するには、サブドメインではなく、ドメイン自体に適用されるようレコードを編集してください。設定方法は DNS プロバイダーによって異なりますが、多くの場合は @ を使用します。また、フィールドを空欄のままにすることを求めるプロバイダーもあります。お使いの DNS プロバイダーの「ルートドメイン（root domain）」または「apex TXT レコード」に関するドキュメントをご確認ください。修正後、上記コマンドを再実行し、xyz.com に対してキーが返されることを確認してください。
この TXT レコードを追加しても、SPF など既存の TXT レコードには影響しません。
ドメインを削除して再登録する必要はありません。また、新しい検証キーを発行する必要もありません。
Arcules は保留中のドメインを数分ごとに自動で再確認するため、正しい TXT レコードが DNS に反映されれば、自動的に検証が完了します。
ドメインを削除して再追加すると、新しい検証キーが発行されるため、DNS レコードを再設定する必要があり、かえって手間が増えてしまいます。