会社の認証基盤と連携してログインできるようにします。Dive は Microsoft Entra ID（OIDC） と SAML 2.0 の2方式に対応しています。どちらも管理画面から設定でき、Dive側での個別対応は不要です。SSO によるユーザー管理の一元化を狙う場合は、あわせて 「SSO以外のログインを禁止する」 を有効にしてください。
ご利用可能なプラン
本機能は Enterpriseプラン でご利用いただけます。Enterpriseプランのトライアル期間中もご利用いただけます。導入前の検証にもお使いください。
設定できる人
オーナー権限をもっているユーザーのみ可能です。PCブラウザから行います。
2方式の違い
| 方式 | 対象IdP | 連携の単位 |
|---|---|---|
| 方式1: Microsoft Entra ID（OIDC） | Microsoft 365 / Azure AD | テナント単位 |
| 方式2: SAML 2.0 | Okta / Microsoft Entra ID / OneLogin / HENNGE One ほか | メールドメイン単位 |
共通の設定手順
- サイドメニュー [オーナー向け機能] を開く
- 上部タブ [セキュリティ] を選び、[シングルサインオン（SSO）設定] カードを開きます
- 「有効にする」 にチェックを入れる
「有効にする」にチェックを入れて保存するまで、方式1・方式2のどちらを設定してもSSOでのログインは有効になりません。
方式1: Microsoft Entra ID（OIDC）連携
Microsoft 365 / Azure AD のテナント単位で連携します。
- [Microsoft Entra ID（OIDC）連携] を展開します
- [＋ Microsoftアカウントにサインインし、紐づくテナントと連携する] をクリック
- Microsoft のサインイン画面で、連携したいテナントの管理者アカウントでサインイン
- 戻ってきた画面で、テナント情報（ドメイン・テナントID）が 連携テナント一覧 に追加されます
- [保存] をクリック
※ フリーメール（gmail.com、outlook.com 等）や共有ドメインは連携対象外 です。組織独自のドメインで運用してください。
方式2: SAML 2.0 連携
Okta / Microsoft Entra ID / OneLogin / HENNGE One 等の SAML 2.0 IdP と連携できます。[SAML 2.0 連携] を展開すると、手順1〜4が順に表示されます。
手順1: IdP に Dive を登録する
ご利用の IdP で SAML アプリを新規作成し、画面に表示される次の3つの値を設定します。値はコピーボタンで取得できます。
- SP エンティティ ID (Audience)
- ACS URL (Reply URL)
- NameID 形式（emailAddress）
NameID には必ずメールアドレスを渡してください。Dive はメールアドレスでユーザーを識別します。
手順2: 会社ドメインの所有を確認する
SSO でログインする社員のメールドメインを登録します。なりすまし防止のため、DNS の TXT レコードで所有を確認します。
- ドメイン（例: example.co.jp）を入力して [追加] をクリックします
- 画面に表示された TXT レコードを、自社のDNSに登録します
- 名前:
_dive-verify.（ドメイン） - 値: 画面に表示されるトークン文字列
- 名前:
- DNSに反映されたら [確認する] をクリックします
- タグが [確認済み] に変われば完了です
ドメイン直下（apex）の TXT でも確認できます。DNS の反映には数分〜数時間かかることがあります。反映前に押しても失敗するだけなので、時間をおいてもう一度お試しください。
フリーメール・ISP・キャリアのドメイン、および .ac.jp / .ed.jp / .go.jp / .lg.jp は登録できません。該当する場合はサポートまでご相談ください。
手順3: IdP のメタデータを登録する
- [メタデータ URL] か [XML を貼り付け] を選び、IdP のメタデータを入力します
- [内容を確認] をクリックし、読み取られた IdP エンティティ ID・SSO URL・署名証明書の有効期限を確認します
- [保存して連携する] をクリックします
メタデータ URL での登録を推奨します。URL で登録すると、IdP側で署名証明書を入れ替えたときにDiveが毎日自動で追随します。XMLを貼り付けた場合は自動更新されないため、証明書を更新するたびに貼り直しが必要です。
登録後は、この画面で連携中の状態・署名証明書の有効期限を確認できます。証明書の期限が近づくと、期限の30日前・14日前・7日前・1日前にメールでお知らせします。IdP側で証明書を入れ替えたときは [メタデータを再取得] をクリックしてください。
一時的にSSOを止めたいときは [一時停止]、連携をやめるときは [連携を解除] を使います。
手順4: SSO ユーザーの自動登録（任意）
有効にすると、IdP で認証できた方が初回ログイン時に自動でチームに追加されます。招待の手間はなくなりますが、追加された人数ぶんアカウント数（席）を消費するため、初期状態はオフです。
- 自動作成するユーザーの権限は「閲覧ユーザー」か「作成ユーザー」から選べます
- ご契約のアカウント数の上限に達している場合、自動登録は行われません（上限を超えた課金は発生しません）
- オフのままにする場合は、これまでどおり管理者がユーザーを招待してください
動作を確認する
シークレットウィンドウでログイン画面を開き、[シングルサインオン（SSO）でログイン] から会社のメールアドレスを入力します。IdP のログイン画面に移動し、ログイン後にDiveの画面が開けば設定は完了です。
SSO以外のログインを禁止する
SSO によるユーザー管理を一元化したい場合は、「SSO以外のログインを禁止する」 にチェックを入れて保存します。
有効化すると、Diveのログイン画面ではSSOボタンのみが表示され、ID/パスワードによるログインは受け付けなくなります。
なお、この設定が有効な間は、SAML連携の解除・一時停止と、最後の確認済みドメインの削除はできません（ログインする経路が無くなるためです）。解除する場合は、先に「SSO以外のログインを禁止する」のチェックを外してください。
対象外のユーザー
- メール不要アカウント（管理者が払い出すIDログイン）は、SSOを利用できないため、この制限の対象外です
うまくいかないとき
| 症状 | 確認すること |
|---|---|
| 「このメールアドレスは SSO 設定されていません」と表示される | ドメインが未確認か、SAML設定を保存していません。手順2のドメインが「確認済み」になっていること、「未適用」タグが消えていることを確認してください |
| ドメインが「未確認」のまま | TXTレコードの反映待ちです。値の前後に引用符が付いていても確認できますが、余分な空白・改行があると確認できません |
| 「〜は既に他のチームで SSO 設定されています」と表示される | 同じドメインを別のチームが登録しています。グループ会社で契約を分けている場合などに起こります。サポートまでご連絡ください |
| 「メタデータに IdP の entityID がありません」と表示される | SP側のメタデータを貼っている可能性があります。IdP のフェデレーションメタデータかご確認ください |
| IdP からエラーが返る | IdP に登録した SP エンティティ ID / ACS URL が、手順1に表示された値と完全に一致しているかご確認ください |
| ログインはできるが「アカウントが登録されていません」と表示される | 自動登録がオフのため、Dive側にユーザーがいません。管理者が招待するか、手順4を有効にしてください |
| ある日突然、全員ログインできなくなった | 署名証明書の期限切れがまず考えられます。管理画面の「署名証明書の有効期限」を確認し、IdP側で更新後に「メタデータを再取得」をクリックしてください |
うまく使うコツ
- SSO強制を有効にする前に必ずテスト：テストユーザーで「SSO ボタン → ログイン成功 → Dive 画面に遷移」を確認してから有効化してください
- メタデータはURLで登録：証明書の入れ替えにDive側が自動で追随するため、運用の手間と、期限切れによる全員ログイン不能を防げます
- テナント整理：複数のMicrosoftテナントを使う場合は、連携対象を明示的に整理しておくとトラブルが減ります
- SSOユーザーのMFA：SSOユーザーはIdP側でMFAを管理する想定です。DiveのMFA必須化設定の対象外となります