# ログインと SSO

> Syfo で使えるログイン方法と、組織の管理者がメンバー向けに Feishu（飛書）、WeCom（企業微信）、CAS のシングルサインオンを有効にする方法を説明します。

Source: https://docs.syfo.ai/ja/docs/sso

Syfo のアカウントは個人のもので、1 つのアカウントで複数の組織に参加できます。ログイン方法は 2 種類あります。

- **アカウントのログイン方法**：メールアドレスとパスワード、Google。どの組織でも使えます。
- **組織のシングルサインオン（SSO）**：Feishu、WeCom、CAS。組織ごとに個別に設定し、メンバーはその組織専用のログインページから入ります。

## ログイン方法の一覧

| 方法 | ログインする場所 | 有効にする人 |
|---|---|---|
| メールアドレスとパスワード | ログインページ「Syfo にサインインする」 | 常に利用可能 |
| Google | ログインページ「Google で続行」 | 提供するかどうかは Syfo のデプロイによって決まります。ボタンが表示されない場合は、現在利用できません |
| Feishu | 組織のログインページ「Feishuを続ける」 | 組織のオーナーまたは管理者が設定 |
| WeCom | 組織のログインページ「WeCom で続行」 | 組織のオーナーまたは管理者が設定 |
| CAS シングルサインオン | 組織のログインページ「CAS で続行」 | 組織のオーナーまたは管理者が設定。CAS サーバーはデプロイ側が提供 |

## メールアドレスとパスワードでログインする

1. ログインページ「Syfo にサインインする」を開き、メールアドレスとパスワードを入力して「サインイン」をクリックします。
2. パスワードを忘れた場合は「パスワードをお忘れですか?」をクリックし、メールに記載されたリンクから再設定します。再設定すると、ほかのデバイスでのログインは無効になります。
3. 新規ユーザーは「ここは新しいですか？」の「アカウントを作成する」から登録します。登録後、ログインする前にメールアドレスの確認が必要です。パスワードは 8〜128 文字で、英字と数字をそれぞれ 1 文字以上含める必要があります。

:::note
登録ページに「新規登録は受け付けていません」と表示される場合、現在のデプロイではセルフ登録が無効になっています。所属する組織のシングルサインオンから入るか、組織の管理者に招待を依頼してください。
:::

## Google でログインする

ログインページで「Google で続行」をクリックします。

その Google のメールアドレスですでに Syfo アカウントを登録している場合、Syfo は 2 つを自動で統合しません。まず元の方法でログインし、「設定 → アカウント → ログイン方法」で「Google を接続」をクリックしてください。Google のメールアドレスは Syfo アカウントのメールアドレスと一致している必要があります。

## 組織のログインページから入る（SSO）

組織で SSO を有効にすると、メンバーは共通のログインページではなく、**その組織のログインページ**から入ります。

1. ログインページで「組織のログイン方法を使用する」をクリックします。
2. 「組織ログインリンクまたは組織コード」に組織ログインリンクを貼り付けるか、組織コード（リンク末尾の `/s/` 以降の部分）だけを入力して、「組織へのサインインを続行します」をクリックします。
3. 「この組織にサインインする」ページで、「Feishuを続ける」「WeCom で続行」「CAS で続行」のいずれかをクリックします。

組織コードがわからない場合は、「組織コードがわからないですか?電子メールで回復する」をクリックしてアカウントのメールアドレスを入力すると、アクセスできる組織のログイン入口がそのメールアドレスに送信されます。

初めて SSO でログインするとき、そのメールアドレスにすでに Syfo アカウントがある場合は、メールの確認コード、パスワード、または現在のログイン状態で一度確認を求められます。確認すると自動で連携されます。その後、「設定 → アカウント → サードパーティのログイン」で連携済みのアカウントを確認できます。

:::tip
SSO は本人確認にだけ使われます。Syfo が Feishu や WeCom のメッセージ、連絡先を読み取ることはありません。
:::

## 組織で SSO を有効にする（管理者）

### 利用条件

組織の SSO を使うには、まず Syfo があなたの組織に利用権限を付与する必要があります。付与されるまで、「設定」に「ログインとID」は表示されません。利用したい場合は、お問い合わせください。

付与後、組織の**オーナーまたは管理者**が「設定 → 組織 → ログインとID」で設定できます。一般のメンバーとゲストにはこの項目は表示されません。

### 設定手順

どの方法もページ上の手順説明に沿って操作します。大まかな流れは同じです。

1. 「ログインとID」で Feishu、WeCom、または「CAS シングルサインオン」を選び、「設定する」をクリックします。
2. ページの案内に従って相手側のプラットフォームで設定を行い、このページに表示されるコールバック URL（WeCom の場合は「信頼済みドメイン」）を入力します。
3. Syfo に戻って認証情報を入力し、「保存して次へ」をクリックします。
   - Feishu：App ID と App Secret
   - WeCom：企業 ID、AgentId、Secret
   - CAS：Client ID と Client Secret。「CAS サーバー」はデプロイ側が設定するもので、組織の管理者は変更できません。デプロイで CAS サーバーが設定されていない場合、CAS ログインは使えません。
4. 「テスト接続」をクリックして認証情報を確認します。
5. 「ログインの確認」をクリックし、現在のアカウントのパスワードを入力してから、自分で一度ログインを完了します。

確認に成功すると状態が「検証され有効化されました」になり、組織のログインページに対応するログインボタンが表示されるようになります。

### ルールと制限

- 1 つの組織で同時に有効にできる企業ログイン方法は 1 つだけです。別の方法に切り替えるには、まず現在の方法を「無効にする」でオフにします。
- 「メールアドレスとパスワード」は常に有効で、メンバーはいつでもメールアドレスとパスワードで組織にログインできます。
- 「無効にする」を実行しても、設定とメンバーの連携情報は保持されます。メンバーがその方法で一時的にログインできなくなるだけです。
- 無効化または削除の前に、その方法だけでログインしているメンバーがいる場合は、「N 人のメンバーに別のログイン方法が必要です」と表示されます。「メンバーにパスワードを設定するよう通知する」をクリックできます。少なくとも 1 人のオーナーが、ほかに使えるログイン方法を維持している必要があります。

### 新しいメンバーが SSO で直接参加できるか

WeCom と CAS には、まだ組織に参加していない人が SSO で直接参加できるかを決めるスイッチがあります。

| スイッチ | オンのとき | オフのとき |
|---|---|---|
| WeCom でアカウントを自動作成 | アプリの公開範囲内の人は、初回ログイン時に「メンバー」としてこの組織に参加します | この組織に参加していない人は、管理者の招待が必要です |
| CAS でアカウントを自動作成 | CAS アカウントは、初回ログイン時に「メンバー」としてこの組織に参加します | この組織に参加していない人は、管理者の招待が必要です |

すでに組織から削除された人は、スイッチがオンでも再度招待が必要です。

CAS には「確認不要のメールドメイン」もあります。CAS が返したメールアドレスがこれらのドメインに属し、まだ対応するアカウントがない場合、初回ログイン時に確認コードを送らずにそのままアカウントを作成します。完全一致のみでサブドメインは含まず、最大 20 個まで登録できます。「すべてのメールドメインで確認を省略」はあらゆるドメインに適用されます。従業員が自分で CAS のメールアドレスを変更できない場合にのみオンにしてください。

## 招待リンクで参加できる人を制限する

この設定は SSO とは関係なく、どの組織でも使えます。オーナーまたは管理者は「設定 → 組織 → 一般」の「招待リンクのメール認証」で次の操作をします。

1. 「招待リンクの電子メール ドメインを確認する」をオンにします。
2. 「許可されたメールドメイン」にドメインを追加します（例：`@example.com`）。サブドメインは個別に追加する必要があります。
3. 「招待ポリシーの保存」をクリックします。

オンにすると、確認済みで、かつ許可されたドメインに属するメールアドレスだけが招待リンクから参加できます。特定のメールアドレス宛ての招待は影響を受けません。ドメインを削除しても、すでに参加しているメンバーは削除されません。

## 自分のログインを管理する

「設定 → アカウント」では次のことができます。

- 「ログイン方法」で利用できるログイン方法を確認し、Google を接続したり「リンクを解除」したりします。最後のログイン方法は削除できません。パスワードがない場合は、先にパスワードを設定してください。
- 「パスワードを変更する」。ほかのセッションからも同時にサインアウトするよう選択できます。
- 「セッション」でログインしたデバイスを確認し、「このセッションからサインアウトする」または「どこでもサインアウト」を実行します。

## 関連ページ

- [組織](https://docs.syfo.ai/ja/docs/organization)：メンバーの招待とロール
- [権限について](https://docs.syfo.ai/ja/docs/permissions)：各ロールができること
- [セキュリティ](https://docs.syfo.ai/ja/docs/security)