シングルサインオンと SCIM を設定する

シングルサインオンと SCIM は Pellio Drive に含まれています。Drive だけでなく、Pellio ワークスペース全体へのログインに適用されます。オーナーと管理者が Settings → Security（設定 → セキュリティ）の Single sign-on カードで設定します。Okta、Microsoft Entra ID、Google Workspace をはじめ、SAML または OIDC に対応したプロバイダーなら使えます。

接続を追加する

1. Add a connection をクリックし、Protocol で SAML か OIDC を選びます。
2. Email domain を入力します。このドメインのメールアドレスを持つ人は、このプロバイダー経由でログインします。
3. SAML の場合は Identity provider metadata (XML) を貼り付けるか、Sign-in URL (SSO URL)、Issuer (entity ID)、Signing certificate を入力します。OIDC の場合は Issuer URL（残りは Pellio がここから読み取ります）、Client ID、Client secret を入力します。
4. Add connection をクリックし、Pellio に表示される値を ID プロバイダーにコピーします。SAML では ACS (reply) URL と Entity ID (audience) and metadata URL、OIDC では Redirect URI です。

SAML では、メールアドレスを属性 email、名前を displayName（または givenName と surname）として送ってください。

ドメインを確認する

新しい接続には Domain not verified と表示され、確認が済むまで誰もその接続でログインできません。表示された TXT レコード（Name と Value）を DNS プロバイダーに追加し、Check DNS をクリックします。見つかると接続に Verified と表示されます。DNS の変更は反映に時間がかかることがあるので、必要に応じて後でもう一度確認してください。

ログイン

Pellio のログインページで Sign in with SSO をクリックし、勤務先のメールアドレスを入力して Continue with SSO をクリックします。ID プロバイダーでログインが行われ、初回はそのままワークスペースに参加します。

シングルサインオンを必須にする

ドメインの確認が済むと、Require single sign-on をオンにできます。確認済みのドメインのメンバーは全員、ID プロバイダー経由でログインする必要があります。オーナーは引き続きパスワードを使えるので、締め出されることはありません。接続の Remove を使うと、その人たちは再びパスワードや Google でログインできるようになります。

ディレクトリ同期（SCIM）

Directory sync (SCIM) で SCIM base URL をコピーし、Make a SCIM token をクリックします。トークンはすぐにコピーしてください。Pellio が表示するのは一度だけです。ID プロバイダーの SCIM プロビジョニング設定に、ベース URL とトークンを入力します。Pellio アプリを割り当てるとワークスペースに追加され、割り当てを解除するか無効にすると削除されます。オーナーの変更は Pellio でのみ行えます。

New token でトークンを置き換え（古いトークンはすぐに使えなくなります）、Turn off SCIM でディレクトリ同期を停止します。SCIM で追加された人はワークスペースのメンバーになります。Drive を使えるようにするには、管理者が Drive ページの Members で有効にします。