PKSHA AI ヘルプデスク（以下 AI ヘルプデスク）における Entra ID（旧 Azure Active Directory）との SAML SSO 連携の導入プロセスをまとめたページです。 導入を推進される担当者の方は、このページを起点に各ステップでの作業をご確認ください。
SAML SSO 連携でできること
質問者画面のログイン認証を Entra ID と連携させることで、以下が可能になります。
- 特定のセキュリティグループや属性を持つユーザーのみに AI ヘルプデスクの利用を許可する
- ログインユーザーの所属グループ・部署・氏名などの属性を取得し、対話フロー上の条件分岐に利用する
- 利用ユーザーの行動を属性付きで分析する
認証パターンは SP-Initiated（サービスプロバイダ起点）です。
導入プロセスの全体像
AI ヘルプデスクの SAML SSO 連携は、以下のステップで構成されます。各担当者の作業と、担当者間で受け渡す情報の流れは次のとおりです。
Step 0: 事前準備
-
導入推進担当者の作業
- 本ページを読み、社内のグローバル管理者・運用担当者と必要な情報を把握する
- 「導入前提」と「要件確認チェックリスト」を確認し、社内体制と連携要件を整理する
- PKSHA ChatAgent（以下 ChatAgent）の挙動を Entra ID の属性で分岐させたい場合は、どの属性を使って何を分岐させるかをこの段階で具体化する（後述の「取得する属性」を参照）
- PKSHA 担当者にオプション機能の有効化を依頼する
Step 1: SAML 接続用のアプリケーション作成
- 担当: グローバル管理者
- Entra 管理センターで SAML 接続用のエンタープライズアプリケーションを作成し、必要な情報（証明書、ログイン URL、Microsoft Entra 識別子）を取得します。
- 詳細: Step1: グローバル管理者による SAML 接続用のアプリケーション作成
Step 2: ChatAgent管理画面での設定
- 担当: 運用担当者
- ChatAgent管理画面で認証設定・スロット・対話フローを設定し、SAML メタデータをダウンロードします。
- 詳細: Step2: 運用担当者による PKSHA ChatAgent管理画面での設定
Step 3: SAML 接続用のアプリケーションの更新
- 担当: グローバル管理者
- Step 2 でダウンロードした SAML メタデータの値で、Step 1 で作成したアプリケーションを更新します。
- 詳細: Step3: グローバル管理者による SAML 接続用のアプリケーションの更新
導入前提
設定を開始する前に、以下の前提を満たしていることをご確認ください。
必要なライセンス
SAML SSO 連携を利用するには、Microsoft 365 と Entra ID のライセンスが対応している必要があります。 組み合わせによっては、後述の「セキュリティグループの構造」に追加の要件が発生する場合があるため、契約状況を事前にご確認ください。
セキュリティグループの構造
連携対象のセキュリティグループは、直下にユーザーが所属している必要があります。
- 入れ子構造（セキュリティグループの中にセキュリティグループが含まれる構成）の場合は連携できません
- 直下にユーザーがいない構成の場合は、Entra ID の動的メンバーシップグループ機能を利用するなど、別の構成が必要となります
具体的な対応方針は、契約ライセンスや既存のグループ運用に依存するため、PKSHA の導入支援を伴う場合は担当 CS にご相談ください。
サービスオプションの有効化
サービスオプションは、PKSHA 側で有効化作業が必要です。 本ページの内容に着手する前に、PKSHA 担当者へオプション機能の有効化を依頼してください。 有効化が完了すると、ChatAgent管理画面に「認証設定」「ユーザー体験分析」のメニューが表示されます。
要件確認チェックリスト
Step 1 以降の設定を進める前に、社内で以下を確定しておくと作業がスムーズです。
認証の目的
SAML SSO 連携を導入する目的を明確化してください（複数選択可）。
- 社内ユーザー以外のアクセスを制限する
- 所属グループや部署に応じて FAQ・回答を出し分ける
- 利用ユーザーを特定し、ログ・分析に活用する
目的が複数ある場合は、優先度を整理しておくと後続の設計判断が安定します。
取得する属性
対話フローの分岐・回答の出し分け・ログ分析で利用したい属性を整理してください。「どの属性を使って ChatAgent のどの挙動を分岐させたいか」まで具体化しておくと、後続の設定で迷いません。
- メールアドレス
- 部署 / 役職
- 氏名 / その他カスタム属性
必要な属性は、この段階で漏れなく洗い出してください ここで整理した属性は、Step 1 の「属性とクレーム」と Step 2 の「スロット」で設定して初めて取得できます。洗い出していない属性は後から取得できず、必要になった時点で Step 1・Step 2 の再設定が発生します。分岐や出し分けに使う属性は、特にこの段階で確定しておくことを推奨します。
利用範囲と有効期限
- 対象ユーザーの範囲（テナント全員 / 特定セキュリティグループ / 特定部署）
- 認証セッションの有効期限（最大 30 日）
リダイレクト先ドメイン
認証完了後にリダイレクトを許可するドメインを、利用機能に応じて整理してください。
- Webagent / 対話シミュレーターを利用する場合
- AI ヘルプデスク（Teams 連携）を利用する場合
- SharePoint Online にチャットボットを設置する場合
具体的なドメインは Step 2 で設定します。
仕様上の注意
セキュリティグループ要求は先頭 1 件のみ取得されます
SAML 認証アクションで取得できるセキュリティグループの値は 先頭 1 件のみ です。 複数のセキュリティグループに所属するユーザー（兼務ユーザー）が想定される場合、取得される値が一意に定まらないため、条件分岐の判定にそのまま利用することはできません。
兼務ユーザーが想定される場合は、以下のいずれかをご検討ください。
- AI ヘルプデスク利用専用のセキュリティグループを新設し、対象ユーザーのみを所属させる
- セキュリティグループ以外の属性（部署など）で振り分けを設計する
Step 1 で入力するエンドポイントは仮の値です
Step 1 ではエンタープライズアプリケーションの「識別子」「応答 URL」に仮の値を入力します。 これは Step 2 完了後に AI ヘルプデスク側で SAML メタデータが確定する仕組みのためで、Step 3 で本来の値に置き換えます。
証明書の有効期限の管理
Entra 管理センター上のエンタープライズアプリで設定いただく証明書については、有効期限を把握いただき、適切なタイミングで更新できるようご注意ください。