---
title: "エンタープライズ SSO"
description: "ジャストインタイムプロビジョニングと組織全体で管理できるセキュリティポリシーにより、チームが会社の ID プロバイダーを通じて ThunderPhone にログインできるようにします。"
---

Enterprise SSO は、**設定 → 組織**（一般タブ）の **Enterprise SSO** カードにあります。**シングルサインオン** スイッチをオンにすると、設定が表示されます。これらの設定を表示または変更できるのは、組織の **管理者** と **オーナー** のみです。

## セキュリティポリシー

組織全体に適用される 3 つのスイッチは、**ポリシーを保存** でまとめて保存します。

- **ログインに SSO を必須にする** — メンバーは ID プロバイダーを通じて認証する必要があります。
- **管理者の緊急用パスワードログインを許可する** — SSO が強制されている間に管理者が使用できる緊急用パスワードログインです（強制が有効な場合のみ設定できます）。
- **組織へのアクセスにパスキーを必須にする** — すべてのメンバーは [パスキー](/ja/guides/account-and-security) を登録し、ログイン後のパスキー確認を通過する必要があります。パスキーを持たないメンバーには、設定のための **3 日間の猶予期間** が与えられます。ポリシーパネルには、まだパスキーが必要なメンバー数が表示されます。

<Note>
  **組織の [API キー](/ja/guides/api-keys) はこの要件の対象外です。**
  パスキーはログインセッションに紐づくユーザー向けの 2 要素認証です。一方、サーバー API キー（`sk_live_...`）はパスキー確認を紐づけるセッションを持たないマシン認証情報のため、このポリシーが有効な場合でも認証を継続します。これは意図された動作であり、見落としではありません。要件が有効で、組織にアクティブな API キーがある場合、ポリシーパネルには対象外のキー数と **組織 → キー** へのリンクが表示され、管理者は不要になったキーを監査または取り消すことができます。
</Note>

## SSO 接続

ThunderPhone の SSO は Stytch を基盤としています。**接続を追加** では、次の項目を含む接続を作成します。

| フィールド | 機能 |
| --- | --- |
| **接続名** | 例：「Acme Workspace SSO」のようなラベルです。 |
| **新規ユーザーのデフォルトロール** | SSO 経由で作成されたアカウントに適用するメンバー、管理者、またはオーナーです。 |
| **Stytch 組織スラッグ / ID** | 接続の基盤となる Stytch 組織を識別します。 |
| **許可するメールドメイン** | この接続を通じたログインを許可する、カンマ区切りのドメインです。 |
| **グループからロールへのマッピング** | IdP グループをロールにマッピングする JSON 配列です。例：`[{"group":"it-admins","role":"admin"}]`。 |
| **JIT プロビジョニングを有効にする** | 初回の SSO ログイン時に ThunderPhone アカウントを自動作成します。 |
| **接続を有効にする** | 削除せずに無効化します。 |

接続を削除すると完全に削除され、その接続を通じてログインしていたユーザーは使用できなくなります。

<Note>
  ID プロバイダー側の設定には Stytch 組織が必要です。これらの識別子がない場合は、組織のプロビジョニングについて [サポート](mailto:support@thunderphone.com) にお問い合わせください。
</Note>

## 次のステップ

<CardGroup cols={2}>
  <Card title="チームを招待" icon="user-plus" href="/ja/guides/invite-your-team">
    SSO 以外で参加するメンバーのロールと招待。
  </Card>
  <Card title="アカウントとセキュリティ" icon="shield" href="/ja/guides/account-and-security">
    各メンバーにおけるパスキー要件の表示内容。
  </Card>
</CardGroup>