OktaのSSO（シングルサインオン）設定手順を説明します。
💡ご確認ください
・SSO全体の流れについては、会社のSSO（シングルサインオン）を設定するをご確認ください。
・詳細な設定方法については、Oktaヘルプページをご確認ください。
・本記事の画像は作成時点の画面です。Oktaの画面は更新されることがあるため、実際の画面と表示が異なる場合があります。
⚠️ご注意ください
設定に誤りがあると、SSOでログインできなくなり、PeopleX AI面接を利用できなくなるおそれがあります。PeopleX AI面接の設定画面はログインしたまま閉じずに残しておき、SSOでのログインの確認は必ずブラウザのシークレットウィンドウで行ってください。手順は「ログインを確認する」をご確認ください。
アプリを作成する
1. Oktaの管理画面で［アプリケーション］>［アプリケーション］を開きます。画面によっては［Applications and Resources］>［アプリケーション］と表示されます。
2. ［アプリ統合の作成］を押します。
3. ［サインイン方法］で［SAML 2.0］を選択し、［次へ］を押します。
4. ［一般設定］で［アプリ名］に任意の名前（例：PeopleX AI面接）を入力し、［次へ］を押します。
SAMLを設定する
PeopleX AI面接は、初回ログイン時にOktaから連携されたメールアドレスでメンバーを識別します。
1. ［SAML設定］で、以下の項目を入力します。
・シングルサインオンURL
以下の {subdomain} を会社アカウントのものに置き換えてください。
https://{subdomain}.company.ai-interview.peoplex.jp/api/company/sso/saml/acs
・対象URI（SPエンティティID）
以下の {subdomain} を会社アカウントのものに置き換えてください。
https://{subdomain}.company.ai-interview.peoplex.jp/sp
・名前IDのフォーマット：Persistent
・アプリケーションユーザー名の形式：メール
2. ［属性ステートメント］に、以下の属性を追加します。
・名前：email
・名前の形式：基本
・値：user.email
3. ［次へ］を押し、「社内アプリを追加しているOktaユーザーです」を選択して［終了］を押します。
📷 スクリーンショット: ［SAML設定］でシングルサインオンURL・対象URI・名前IDのフォーマット・属性ステートメントを入力した状態
⚠️ご注意ください
・属性名は、すべて半角小文字の「email」にしてください。「Email」「E-mail」「emailaddress」のような表記では、PeopleX AI面接がメールアドレスを読み取れず、ログインできません。
・SSOではメンバーは自動で作成されません。PeopleX AI面接にメンバーとして追加（招待）されていないユーザーは、ログインできません。
ユーザーをアプリに割り当てる
1. 作成したアプリの［割り当て］タブで、［割り当て］>［ユーザーに割り当て］（グループ単位の場合は［グループに割り当て］）を押します。
2. 対象のユーザーまたはグループの［割り当て］を押し、［完了］を押します。
IdPメタデータを取得する
PeopleX AI面接に登録する以下の項目を取得します。
IdPのEntityID
SSO URL
X.509証明書
1. 作成したアプリの［サインオン］タブで、［SAMLの設定手順を表示］を押します。
2. 表示された画面から、［Identity Provider Issuer］（IdPのEntityID）、［Identity Provider Single Sign-On URL］（SSO URL）、［X.509 Certificate］（X.509証明書）を取得します。
💡ポイント
［SAML署名証明書］の［アクション］から［IdPメタデータを表示］を押すと、同じ値をXML形式で確認できます。
PeopleX AI面接にIdP連携設定を追加する
IdP連携設定を追加して［決定］を押した時点で連携が始まり、ログイン画面はSSOでのログインのみになります。設定に誤りがあっても元に戻せるよう、操作している画面はログインしたまま閉じずに残しておいてください。
1. ［設定］>［システム設定］>［セキュリティ設定］を開きます。IdP連携設定がまだない場合は、［SSOを有効化］を押します。
2. ［IdP連携設定の追加］を押し、以下の項目を入力して［決定］を押します。
・IdP：設定を識別するための任意の名前（例：Okta）
・Entity ID：Oktaから取得したIdPのEntityID
・SSO (シングルサインオン) URL：Oktaから取得したSSO URL
・X.509 証明書 (PEM形式)：Oktaから取得したX.509証明書。「-----BEGIN CERTIFICATE-----」から「-----END CERTIFICATE-----」までのテキストを貼り付けます
・ドメイン：SSOでログインするメンバーのメールアドレスのドメイン（例：example.com）
⚠️ご注意ください
・ドメインと一致しないメールアドレスのメンバーは、ログインできなくなります。ご利用になるすべてのメールアドレスのドメインを登録してください。
・2要素認証を利用している場合は、SSOを有効化できません。先に2要素認証を無効にしてください。
ログインを確認する
1. ブラウザのシークレットウィンドウ（Edgeの場合はInPrivateウィンドウ）を開きます。
2. シークレットウィンドウで以下のログイン画面を開き、メールアドレスを入力して［ログイン］ボタンを押します。
https://{subdomain}.company.ai-interview.peoplex.jp/noauth/sign-in
3. Oktaの認証画面に移るので、認証を済ませます。認証が終わると、PeopleX AI面接の画面に戻ります。
⚠️ご注意ください
・ログインできなかった場合は、残しておいた画面の［セキュリティ設定］で、IdP連携設定の［︙］ボタンから［連携停止］を選択し、［内容を確認しました］にチェックを入れて［停止］を押してください。パスワードでのログインに戻ります。
・Oktaのダッシュボードのアプリアイコンからのログインには対応していません。SSOでのログインは、必ずPeopleX AI面接のログイン画面から始めてください。