概要：AppsFlyerをIDプロバイダー（IdP）と連携すると、アカウントのユーザーがシングルサインオン（SSO）でAppsFlyerにログインできます。 SSO認証の設定と有効化、および別のログイン方法を割り当てる適用除外ユーザーの追加（任意）について説明します。
注意事項
- AppsFlyerとIDプロバイダー（IdP）の両方で、同じメールアドレスを使ってユーザーを登録する必要があります。
- SSOの設定を管理・削除できるのは、［ログインセキュリティ］の権限が［管理］に設定された管理者のみです。
- デフォルトでは、アカウント全体でSSOによるログインが必須です。
- 管理者は適用除外ユーザーを追加し、SSOまたは割り当てた代替方法でログインできるように設定できます。
- 適用除外ユーザーが利用できる代替ログイン方法は、次のとおりです。
- ユーザー名とパスワード
- 認証アプリ（2FA）
- 適用除外ユーザーの代替ログイン方法として、SMSは利用できません。
- 適用除外ユーザーを追加しなかった場合、有効化後はすべてのユーザーにSSOでのログインが必須となります。
注意
SSOを有効にする前に、信頼できる管理者を少なくとも1名、適用除外ユーザーに追加することを推奨します。 SSOの設定に誤りがあっても、アカウントにログインできなくなる事態を防げます。
SSO設定ページを開く
- 上部のバーでアカウントメニュー（管理者のメールアドレスのドロップダウン）を開き、［セキュリティセンター］を選択します。
- ［ログインセキュリティの強化］で、［ログイン方法を設定］を選択します。
- ［ログインセキュリティ］ページで、［SSOを設定］をクリックします。
SSOの設定
以下の手順に従い、IdPとAppsFlyerの両方でSSOを設定します。 設定のステータスは、SSOが設定済みの場合は［有効］、未設定または設定を削除した場合は［未設定］になります。
注意
- このガイドでは、以下のIdPの設定手順を詳しく説明します。そのほかのIdPについては、共通の設定手順の概要を説明します。
- JumpCloud
- Okta
- OneLogin
- Ping Identity
手順1：IdP側の設定
以下のIdPでSSO認証を設定する詳細な手順を参照してください。
そのほかのIdPの設定概要
そのほかのIdPの設定手順は、次のとおりです。
- SAML 2.0プロトコルを使用してIdPにAppsFlyerアプリを作成し、AppsFlyerの認証証明書をIdPに設定します。
- 作成したAppsFlyerアプリにユーザーを割り当てます。
- AppsFlyerに設定するIdPの証明書またはメタデータを取得します（手順2：AppsFlyer側の設定→5. IdPメタデータの登録を参照）。
注意
- 重要 IdPにユーザーを割り当てる際は、各ユーザーのメールアドレスがAppsFlyerと同じになるよう、必ず同一のアドレスを使用してください。
-
AppsFlyerのメタデータには、次のものが含まれます。
- 暗号化証明書と署名証明書
- エンティティID
- コールバックURL
手順2：AppsFlyer側の設定
IdP側の設定が完了したら、以下の手順でAppsFlyerにSSO認証を設定します。
SSO設定ページを開く方法を確認してください。
1. 認証を開始する場所を選択する
- ユーザーがどこからAppsFlyerにアクセスするかを選択します。この選択によって、認証の手順も決まります。
- ［次へ］をクリックします。
IDプロバイダー（IdP）
ユーザーはIdPの認証プラグインやWebページからログインし、認証後にAppsFlyerへ移動します。
注意
このオプションを選択すると、IdPとサービスプロバイダー（AppsFlyer）のどちらからでもログインできます。
サービスプロバイダー（AppsFlyer）
ユーザーはAppsFlyerのSSOログインページで［SSOでログイン］をクリックし、メールアドレスを入力します。認証のためにIdPへ移動し、認証後にAppsFlyerのホームページへ戻ります。
注意
このオプションを選択すると、サービスプロバイダー（AppsFlyer）からのみログインでき、IdPから直接ログインすることはできません。
2. 証明書の種類を選択する
AppsFlyerは、データの暗号化とSSOリクエストの署名に使用する公開鍵証明書を、2種類提供しています。
- AppsFlyer署名証明書：AppsFlyerのメタデータURLから作成する、AppsFlyerの証明書。
- CA署名証明書：Amazonが署名したAppsFlyerの証明書。
次の手順で選択します。
- 証明書の種類を選択し、［次へ］をクリックします。
注意
AppsFlyerにIdPのSAML設定を登録し、IdPにAppsFlyerの最新SSOメタデータを登録して、双方の証明書の設定が完了すると、証明書が有効になります。具体的な手順は、以下で説明します。
3. サービスプロバイダー（AppsFlyer）のメタデータを取得する
- AppsFlyerの最新SSOメタデータをコピーし、IdPのSAML設定に登録します。
-
AppsFlyer署名証明書を選択した場合は、以下のいずれかの情報をコピーします。
- メタデータURL：メタデータURL全体の読み込みに対応するIdPでは、URLをコピーしてIdPに設定します。
- メタデータの構成要素：メタデータURL全体の読み込みに対応しないIdPでは、エンティティID、暗号化キー（ダウンロード可能）、Location URLをそれぞれコピーし、IdPの対応する項目に設定します。
- XMLファイル：AppsFlyerのSSOメタデータを、XMLファイルとしてダウンロードすることもできます。
- CA署名証明書を選択した場合は、メタデータの構成要素をコピーします。
-
AppsFlyer署名証明書を選択した場合は、以下のいずれかの情報をコピーします。
- ［次へ］をクリックします。
4. IdPメタデータを登録する
以下の方法でIdPのSSOメタデータを登録し、メタデータの形式を検証します。注意：IdP証明書のデータは、メタ文字を含まない1行の形式である必要があります。
- IdPメタデータの登録方法を選択します。
- URL：IdPのメタデータURLを入力します。
- XMLファイル：IdPのメタデータXMLファイルをアップロードします。
- ［検証］をクリックします。検証結果を示す確認メッセージが、ページ上部に表示されます。
- ［有効化］をクリックします。 SSO認証の有効化の結果を示す確認メッセージが、ページ上部に表示されます。
5. 適用除外ユーザーを追加する
適用除外ユーザーとは、SSOでのログインが必須ではないユーザーです。アカウント全体ではSSOでのログインが必須ですが、明示的に適用除外ユーザーに追加されたユーザーだけは、割り当てられた代替方法でもログインできます。
適用除外ユーザーの追加は任意です。適用除外ユーザーを追加しなかった場合、有効化後は全ユーザーにSSOでのログインが必須となります。
注意
SSOを有効にする前に、信頼できる管理者を少なくとも1名、適用除外ユーザーに追加してください。 SSOの設定に誤りがあっても、このユーザーが割り当てられた代替方法でログインし、設定を修正できます。
適用除外ユーザーを追加するには、次の手順に従います。
- ［適用除外ユーザーを追加］をクリックします。
- ［適用除外ユーザーの追加］ダイアログで、氏名またはメールアドレスを使ってユーザーを検索します。
- 追加するユーザーを選択します。
-
［代替ログイン方法］のドロップダウンリストで、次のいずれかを選択します。
- ユーザー名とパスワード
- 認証アプリ
- 追加するユーザーごとに、手順2～4を繰り返します。
- ［適用除外ユーザーを追加］をクリックします。
複数のユーザーにログイン方法をまとめて設定する
複数の適用除外ユーザーに同じ代替ログイン方法を設定するには、次の手順に従います。
- 設定を変更するユーザーのチェックボックスを選択します。
- ［選択したユーザーのログイン方法を設定］をクリックします。
- 次のいずれかを選択します。
- 選択したすべてのユーザーにユーザー名とパスワードを適用
- 選択したすべてのユーザーに認証アプリを適用
適用除外ユーザーを削除する
適用除外ユーザーのリストからユーザーを削除するには、次の手順に従います。
- ユーザーの行の［削除］アイコンをクリックします。
そのユーザーは、リストからすぐに削除されます。
6. SSOを有効化する
注意
SSOを有効にする前に、信頼できる管理者を少なくとも1名、適用除外ユーザーに追加することを推奨します。 SSOの設定に誤りがあっても、アカウントにログインできなくなる事態を防げます。
SSOを有効にするには、次の手順に従います。
- ［SSOを有効化］をクリックします。
- ［SSOを有効にしますか？］ダイアログで、SSOの設定内容を確認します。
- ［SSOを有効化］をクリックします。
設定に誤りがあると、ユーザーがAppsFlyerにログインできなくなることがあります。 SSOを有効にする前に、設定内容を確認してください。
適用除外ユーザーが追加されていない場合、確認ダイアログには、有効化後は全ユーザーにSSOでのログインが必須になることを示すメッセージが表示されます。
有効化の結果
| 結果 | 説明 |
| SSOの有効化と、適用除外ユーザーの追加が完了 | SSOが有効になり、適用除外ユーザーも設定済みです。 |
| SSOは有効になったものの、一部の適用除外ユーザーが追加されなかった場合 | SSOは有効のままです。 ［SSOを編集］から、適用除外ユーザーを追加・更新してください。 |
| SSOの有効化に失敗した場合 | SSOは有効にならず、設定のステータスは［未設定］に戻ります。 |
SSOの編集
SSOの有効化後は、SSOの設定の編集と、適用除外ユーザーの管理ができます。
SSOの設定を編集するには、次の手順に従います。
- ［SAMLシングルサインオン（SSO）］セクションで、［編集］アイコンをクリックします。
- 更新するセクションを開きます。
- 必要な変更を行います。
- Saveをクリックします。
- ［変更を保存しますか？］ダイアログで、変更内容を確認します。
- ［変更を保存］をクリックします。
証明書の種類や認証を開始する場所を変更すると、AppsFlyerのメタデータも変更されます。変更を保存したら、サービスプロバイダー（AppsFlyer）の最新SSOメタデータをすぐにコピーし、IdPのSAML設定に登録してください。
適用除外ユーザーの編集
適用除外ユーザーを編集するには、次の手順に従います。
- SSOの編集ページで、［適用除外ユーザー］セクションを開きます。
- ［適用除外ユーザーを編集］をクリックします。
- ［適用除外ユーザーを編集］ダイアログで、ユーザーの追加・削除、または代替ログイン方法の更新を行います。
- Saveをクリックします。
- ［変更を保存しますか？］ダイアログで、［変更を保存］をクリックします。
登録済みの適用除外ユーザーには、現在の代替ログイン方法が表示されます。
手順3：SSO設定のテスト
IdPとAppsFlyerの両方で設定が完了したら、IdPまたはサービスプロバイダー（AppsFlyer）のURLコールバック方式のいずれか一方で、AppsFlyerにログインできることを確認します（両方を使うものではありません）。
IdP経由の認証をテストする
IdPからログインする方式を設定した場合は、IdPのプラグインまたはWebページからAppsFlyerにアクセスできることを、次の手順で確認します。
- AppsFlyerとIdPにログインしている場合は、両方からログアウトします。
- ブラウザでシークレットモードのページを開きます。
- IdPのWebページに移動します。 IdPにログインしていないため、認証の手順が表示されます。対象ユーザーでログインします。
- AppsFlyerを検索して選択します。 AppsFlyerのホームページに移動します。この画面に移動できれば、正常に動作しています。
サービスプロバイダー（AppsFlyer）経由の認証をテストする
サービスプロバイダー（AppsFlyer）からログインする方式を設定した場合は、次の手順で、メールアドレスを使ってAppsFlyerにアクセスできることを確認します。
- AppsFlyerとIdPにログインしている場合は、両方からログアウトします。
- ブラウザでシークレットモードのページを開きます。
- AppsFlyerのログインページで、［SSOでログイン］をクリックします。
- 対象ユーザーのメールアドレスを入力し、［続行］をクリックします。認証のため、IdPに移動します。
- IdPで認証されると、ログイン済みの状態でAppsFlyerに戻ります。この画面に移動できれば、正常に動作しています。
SSO設定の管理
SSOの設定後も、設定の編集や削除ができます。
SSO設定ページを開く方法を確認してください。
SSOの編集
このページでは、次の項目を編集できます。
- 認証を開始する場所
- 証明書の種類
- サービスプロバイダーのメタデータ
- IDプロバイダーのメタデータ
- 適用除外ユーザー
重要
証明書の種類や認証を開始する場所を変更すると、AppsFlyerのメタデータも変更されます。変更を保存したら、AppsFlyerからサービスプロバイダーの最新メタデータをすぐにコピーし、IDプロバイダー（IdP）のSAML設定に登録してください。
注意
信頼できる管理者を少なくとも1名、適用除外ユーザーに追加してください。 SSOの設定に誤りがあっても、このユーザーが割り当てられた代替方法でログインし、設定を修正できます。
SSOの設定を編集するには、次の手順に従います。
- ［SAMLシングルサインオン（SSO）］セクションで、［編集］アイコンをクリックします。
- 更新するセクションを開きます。
- 必要な変更を行います。
- Saveをクリックします。
- ［変更を保存しますか？］ダイアログで、変更内容を確認します。
- ［変更を保存］をクリックします。
適用除外ユーザーの編集
適用除外ユーザーを編集するには、次の手順に従います。
- ［適用除外ユーザー］セクションを開きます。
- ［適用除外ユーザーを編集］をクリックします。
- ［適用除外ユーザーを編集］のユーザー一覧で、ユーザーの追加・削除、または代替ログイン方法の更新を行います。
- Saveをクリックします。
- ［変更を保存しますか？］ダイアログで、［変更を保存］をクリックします。
登録済みの適用除外ユーザーには、現在の代替ログイン方法が表示されます。
SSO設定の削除
SSOの設定を削除するには、次の手順に従います。
- ［SAMLシングルサインオン（SSO）］セクションで、［削除］アイコンをクリックします。
- 確認ダイアログで、設定の削除による影響を確認します。
- ［削除］をクリックします。
SSOの設定を削除すると、アカウントに保存されたSSOメタデータと設定が削除されます。
仕様と制限事項
| 名前 | 説明 |
|---|---|
| メールアドレス内の記号 |
SSOでは、＋記号を含むメールアドレスには対応していません。 例：my+customer@demo.com このようなアドレスを使用すると、ログインに失敗します。 |
| 適用除外ユーザー | 適用除外ユーザーは、管理者が明示的に追加する必要があります。 |
| 代替ログイン方法 | 代替ログイン方法として、ユーザー名とパスワード、または認証アプリを利用できます。 |
| SMS認証 | 適用除外ユーザーの代替ログイン方法として、SMSは利用できません。 |
| 適用除外ユーザーがいない場合 | 適用除外ユーザーを追加しなかった場合、有効化後はすべてのユーザーにSSOでのログインが必須となります。 |
| 権限 | SSOの設定と適用除外ユーザーの管理を行うには、管理者の［ログインセキュリティ］の権限が［管理］に設定されている必要があります。 |
| 閲覧のみの権限 | ［ログインセキュリティ］の権限が閲覧のみの管理者は、SSOページを表示できますが、SSOの設定や適用除外ユーザーを編集できません。 |
| 従来のUnforce SSO設定からの移行 | 従来のアカウント全体のUnforce SSO設定から移行したアカウントでは、ユーザー名とパスワードを使っていた既存ユーザーが、適用除外ユーザーに追加されます。新規ユーザーは、管理者が明示的に適用除外ユーザーに追加しない限り、SSOでログインする必要があります。 |
| 推奨する適用除外ユーザー | SSOを有効にする前に、信頼できる管理者を少なくとも1名、適用除外ユーザーに追加することを推奨します。 SSOの設定に誤りがあっても、アカウントにログインできなくなる事態を防げます。 |