> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/sso-connect-cloud/jp/identity-provider-setup/azure-o365-keeper.md).

# Entra ID (Azure AD)

{% hint style="success" %}
最初に[管理コンソールの設定](/sso-connect-cloud/jp/admin-console-configuration.md)の手順を完了してください。
{% endhint %}

<figure><img src="/files/43w6A847DFh6EtLMnQmF" alt=""><figcaption></figcaption></figure>

### 概要

Keeperは、Microsoft Azure AD / Entra ID環境でSAML 2.0認証および自動プロビジョニングに利用できます。

* Keeperアプリケーション (ウェブボルト、ブラウザ拡張機能、デスクトップアプリ、iOS/Androidアプリなど) は、条件付きアクセスポリシーに対応しています。
* 商用環境 (portal.azure.com) と Azure Government (portal.azure.us) の両方で利用できます。

### Azureの設定

AzureへのクラウドSSOコネクト設定の概要については、以下の動画をご覧ください。

{% embed url="<https://vimeo.com/723538492>" %}
AzureにクラウドSSOコネクトを設定
{% endembed %}

以下の手順を実行します。

1. Keeper Enterpriseアプリケーションを追加

<https://portal.azure.com> からAzure管理アカウントに移動し、**\[Azure Active Directory]** > **\[Enterprise Applications]** をクリックします。SCIMプロビジョニング用にKeeperアプリケーションがすでに設定されている場合は、既存のアプリケーションを編集します。

{% hint style="info" %}
米国の公的機関の場合は<https://portal.azure.us>へログインして同じ手順を実行します。
{% endhint %}

<figure><img src="/files/-Mfd8FfFN2fCAGqhHdtp" alt=""><figcaption><p>エンタープライズアプリケーション</p></figcaption></figure>

2. **\[New Application]** をクリックし、Keeperを検索して**Keeper Password Manager & Digital Vault**を選択します。

<figure><img src="/files/-Mfd8MGpKiS7bax3zpTY" alt=""><figcaption></figcaption></figure>

3. **\[Create]** をクリックしてアプリケーションを作成します。
4. **\[Set up single sign on]** をクリックしてから **\[SAML]** をクリックします。

{% hint style="info" %}
SAMLメタデータをエクスポートする前に、対象ノードでSSOプロビジョニング方式が必ず構成されている必要があります。以下をご確認ください。
{% endhint %}

* Keeper管理コンソールを開き、**\[管理者]** 画面に移動します。
* 対象ノードを選択し、**\[プロビジョニング]** タブをクリックします。
* **\[クラウドSSOコネクト]** を選択して **\[次へ]** をクリックします。
* 必要な構成情報を入力し、**\[次へ]** をクリックします。
* **\[メタデータのエクスポート]** ボタンが表示され、ダウンロードできるようになります。

![](/files/tatOOBduMsjOWEsVa0Zm)

<figure><img src="/files/N5JiI3n7Wg0MVpyTl0gc" alt=""><figcaption></figcaption></figure>

5. **\[Upload metadata file]** を選択し、Keeper管理コンソールからダウンロードしたファイルを選択します。

<figure><img src="/files/-Mfd8iIaSBec56a1ymfk" alt=""><figcaption></figcaption></figure>

**\[Add]** をクリックしてAzureにメタデータファイルをアップロードします。

<figure><img src="/files/OqKeV8nSaQovYDHSA6wq" alt=""><figcaption></figcaption></figure>

6. AzureのSAML設定画面が表示されます。

<figure><img src="/files/36io1WUBlGEW6W3EgN8l" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Sign on URL (サインオンURL) 欄が空白のため、赤いエラーが表示されます。
{% endhint %}

エラーを解消するには、管理コンソールのクラウドSSOコネクト表示画面で **\[IDP起点のログインエンドポイント]** のURLをコピーし、**\[Sign on URL]** 欄に貼り付けます。

<figure><img src="/files/-Mfd9FF5uHslE_UjtSh9" alt=""><figcaption><p>IdP起点のログインエンドポイントをサインオンURL欄にコピーする</p></figcaption></figure>

![](/files/xWHuI6ZxXPMdPU9cHqCp)

**シングルログアウトサービスエンドポイント (SLO)**

KeeperのURLエンドポイントで、IDプロバイダからのログアウトリクエストの送信先となります。シングルログアウトは任意で、IDプロバイダ側で設定します。

<figure><img src="/files/xvMtZzBi5C6VLog2Tul0" alt=""><figcaption><p>ログアウトURL</p></figcaption></figure>

IDプロバイダを使用したKeeper起点のシングルログアウトの制御については、[こちら](/sso-connect-cloud/jp/logout-configuration.md)をご参照ください。

デフォルトでは、ログアウト後にEntra/Azureからも強制的にログアウトされます。この動作を無効にしたい場合は、AzureメタデータファイルをKeeperにアップロードする前に編集し、SingleLogoutServiceの行を削除します。セキュリティ上の理由から、この行はそのまま含めておくことを推奨します。

<figure><img src="/files/tIfIWzSE5svp4pJT8U05" alt=""><figcaption><p>SingleLogoutService</p></figcaption></figure>

7. **\[Save]** をクリックしてSAML設定ウィンドウを閉じます。

<figure><img src="/files/SjMeRvMU3wXRIwAK1e4t" alt=""><figcaption></figcaption></figure>

8. 保存後、設定のテストを求められますが、テストは行わず、数秒待ってからウェブブラウザでAzureポータルページを更新します。**\[SAML Signing Certificate]** セクションに証明書の項目が表示されます。

**\[Federation Metadata XML]** の **\[Download]** をクリックします。

<figure><img src="/files/-Mfd9__DrAks7wbE4_O-" alt=""><figcaption></figcaption></figure>

9. メタデータファイルをKeeper管理コンソールにアップロードします。

管理コンソールで **\[IDPタイプ]** にAzureを選択し、手順8でダウンロードしたフェデレーションメタデータファイルをインポートします。

<figure><img src="/files/6RXTbzQwuXV5fp2xUVhw" alt=""><figcaption><p>SAMLメタデータをKeeperにアップロード</p></figcaption></figure>

10. **\[User Attributes & Claims]** を編集します。

<figure><img src="/files/-Mfd9xY31pelqaXmJDfT" alt=""><figcaption></figcaption></figure>

**\[User Attributes]** セクションでは、AzureがユーザーID、名、姓、メールに対する要求を自動的に作成します。

**\[Additional claims]** セクションの4つの要求は不要なため、削除してください。

<figure><img src="/files/-MfdA2OqbJU5KhfeKzaR" alt=""><figcaption><p>Additional Claimsを削除</p></figcaption></figure>

{% hint style="info" %}
ご利用の環境で、**user.userprincipalname** (UPN) がユーザーの実際のメールアドレスと異なる場合は、メール要求を編集してメール属性の値を**user.mail**に変更できます。
{% endhint %}

### ForceAuthnの設定 <a href="#user-provisioning" id="user-provisioning"></a>

Keeper管理コンソールでは、IDプロバイダとの新しいログインセッションを強制するオプションを利用できます。SAMLリクエストで ForceAuthn="true" が設定されている場合、ユーザーがすでに認証されていても、サービスプロバイダ (Keeper) はIDプロバイダに新しい認証済みセッションを要求します。セキュリティポリシーやエンドユーザー環境によっては、この動作が望ましい場合があります。

<figure><img src="/files/8poTMKORy5O7g5mzZZPz" alt=""><figcaption><p>任意のForceAuthn設定</p></figcaption></figure>

### 証明書更新のリマインダ <a href="#user-provisioning" id="user-provisioning"></a>

Entra ID / Azure ADのSAML署名証明書は1年後に失効します。

{% hint style="warning" %}
証明書の有効期限前に更新できるよう、カレンダーでリマインダを設定しておきましょう。更新が終わるまでKeeperユーザーはログインできなくなります。
{% endhint %}

証明書の更新手順については、[こちらのページ](/sso-connect-cloud/jp/certificate-renewal.md)をご参照ください。

### ユーザープロビジョニング <a href="#user-provisioning" id="user-provisioning"></a>

手動または自動のプロビジョニングを使用して、AzureポータルからKeeperにユーザーをプロビジョニングできます。

#### 手動

Keeperパスワードマネージャに特定のユーザーまたはグループのみを割り当てる場合は、以下の設定を変更します。Azureコンソールで、**\[Azure Active Directory]** > **\[Enterprise Applications]** > **Keeper Password Manager & Digital Vault** へ進み、**\[Properties]** を選択します。

<figure><img src="/files/-MfdAENIE-Oy2dMCUTyx" alt=""><figcaption></figcaption></figure>

**\[User assignment required]** を **\[Yes]** に変更して保存します。これにより、アプリケーションに割り当てられたユーザーとグループのみが利用できます。

<figure><img src="/files/-MfdANVmcZRM1OgtWJu7" alt=""><figcaption></figcaption></figure>

**\[Users and groups]** で、Keeperアプリケーションにプロビジョニングするユーザーまたはグループを選択します。

<figure><img src="/files/-MfdAYFba_R-C_Fs2Pdr" alt=""><figcaption></figcaption></figure>

#### SCIMを使用した自動プロビジョニング

{% hint style="info" %}
詳しくは[こちら](/enterprise-guide/jp/user-and-team-provisioning/azure-ad-provisioning-scim.md)をご参照ください。
{% endhint %}

#### 既存のユーザー/初期管理者をSSO認証に移行

ルートノード (最上位) で作成されたユーザーは、SSO連携が設定されたサブノードに移行する必要があります。ユーザーがルートノードに残っている場合、ボルトや管理コンソールにアクセスするときにマスターパスワードの入力を求められます。

{% hint style="warning" %}
管理者は、SSOが有効になっているノードに自分自身を移動できません。この操作を行うには別の管理者が必要となります。
{% endhint %}

### メールでのボルトへのログイン

ジャストインタイムプロビジョニングが有効になっている[予約済みドメイン](/enterprise-guide/jp/domain-reservation.md)の場合、ボルトへのログイン画面でメールアドレスを入力するだけで正しいSSOプロバイダにルーティングされます。ここからボルトを作成するか、既存のボルトにログインできます。

<figure><img src="/files/ipO8BgmaJVsYepuXG17B" alt=""><figcaption><p>メールでのボルトへのログイン</p></figcaption></figure>

### 法人ドメインでボルトへのログイン

ドメインが予約されていない場合、最初に **\[法人SSOログイン]** を選択し、SSO統合で設定した法人ドメインを入力してKeeperボルトにログインします。ユーザーが最近非SSOノードからSSOノードに移動した場合、マスターパスワードの入力を求められることがあります。

<figure><img src="/files/nQs6a7pcAxWv0L0q8b8c" alt=""><figcaption><p>最初に[法人SSOログイン]を選択</p></figcaption></figure>

ユーザーがSSOで認証されると、それ以降はメールアドレスだけでSSO認証を開始できます。

<figure><img src="/files/EFJc8YIobegutzEo3jLi" alt=""><figcaption></figcaption></figure>

メールアドレスを入力して **\[次へ]** をクリックしても目的のSSOにルーティングされない場合は、KeeperのSSO設定でジャストインタイムプロビジョニングが有効になっていることを確認し、メールドメインがKeeperによって予約されていることを確認してください。ルーティングとドメイン予約について詳しくは、[こちら](/enterprise-guide/jp/domain-reservation.md)をご参照ください。

### IdP起点のログイン

Keeperは、AzureのIdP起点ログインに対応しています。以下のURLからアプリケーションダッシュボードに移動します。

<https://myapplications.microsoft.com/>\
\
これにより、割り当てられたKeeperのアプリケーションがロードされ、アイコンをクリックできるようになります。

<figure><img src="/files/vQAkDN9I2wGTuFLi2vtG" alt=""><figcaption><p>MicrosoftアプリケーションダッシュボードからのAzure IdP-initiated方式によるログイン</p></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.keeper.io/sso-connect-cloud/jp/identity-provider-setup/azure-o365-keeper.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.