Step1: グローバル管理者によるSAML接続用のアプリケーション作成 – ヘルプセンター

対象ロール: グローバル管理者
この記事は「Entra ID SAML SSO 連携の導入ガイド」の Step 1 です。前提・全体像はガイドをご確認ください。

Entra 管理センターで SAML 接続用のエンタープライズアプリケーションを作成し、Step 2（運用担当者の作業）で必要になる情報を取得します。

管理画面へのログイン

Microsoft Entra 管理センターにログインします。

https://entra.microsoft.com/#view/Microsoft_AAD_IAM/AppGalleryBladeV2

アプリケーションの作成

ホーム > アプリケーション > エンタープライズアプリケーションを選択
「新しいアプリケーション」を選択
「Microsoft Entra ギャラリーの参照」>「独自のアプリケーションの作成」を選択
- 「お使いのアプリの名前は何ですか?」に任意の名前を設定（例：chatbot-prod-webagent-aad-saml）
- 「アプリケーションでどのような操作を行いたいですか?」はデフォルト値のまま「作成」を選択

アプリケーションにユーザー・グループを割り当て

SAML 認証による利用を許可するユーザーまたはグループを割り当てます。

作成したアプリケーションの概要画面で「ユーザーとグループの割り当て」を選択
「ユーザーまたはグループの追加」を選択
「ユーザーとグループ」下のリンクを選択
SAML 認証による利用を許可したいユーザーまたはグループを検索・選択し「選択」を押下
画面右下の「割り当て」を押下

割り当てるグループについて 所属グループの値（オブジェクト ID）を対話フローの条件分岐に使いたい場合は、グループの構成に制約があります。兼務ユーザーがいると条件分岐に使えない（先頭 1 件のみ取得）、セキュリティグループは直下にユーザーが必要、といった前提を導入ガイドの「導入前提」「仕様上の注意」で必ずご確認ください。

シングルサインオン（SAML）の設定

作成したアプリケーションの概要画面で「シングルサインオンの設定」を選択
シングルサインオン方式の選択から「SAML」を選択
「基本的な SAML 構成」>「編集」を選択し、以下を 仮の値 で入力して「保存」
- 識別子 (エンティティ ID)：https://auth.bedore.dummy.jp
- 応答 URL (Assertion Consumer Service URL)：https://auth.bedore.dummy.jp

なぜ仮の値を入れるのか この 2 つの値（識別子・応答 URL）は、Step 2 を完了して AI ヘルプデスク側で SAML メタデータが確定してから本来の値が決まります。そのためここでは仮の値を入れておき、Step 3 で本来の値に置き換えます。

属性とクレームの設定

ログインユーザーの属性（部署・役職・所属グループ・氏名など）を AI ヘルプデスク側で取得して対話フローやログ分析に使う場合は、シングルサインオン画面の「属性とクレーム」で、送信する属性（クレーム）を設定します。

設定画面の場所：シングルサインオン画面 >「属性とクレーム」>「編集」
氏名・メールアドレス・UPN（ユーザープリンシパル名）など基本的な属性は、初期設定（デフォルトのクレーム）で送信されます。UPNは連携上必須となります。
役職・部署・所属グループ・カスタム属性などを使う場合は、「編集」から対象のクレームを追加します。

シングルサインオン画面の「属性とクレーム」（②の枠。デフォルトのクレーム一覧）は、下図のとおりです。

シングルサインオン画面の属性とクレーム（デフォルトのクレーム一覧）

取得できる属性（クレーム）の例

代表的なユーザー属性と属性キーの対応は以下のとおりです。

ユーザー属性	属性キー
ユーザープリンシパル名（UPN）	userPrincipalName
名前（表示名）	displayName
名前（姓）	surname
名前（名）	givenname
役職	jobTitle
部門	department
会社名	companyName
従業員 ID	employeeId
メール	mail
所属グループ	グループ要求として追加（値はオブジェクト ID）

たとえば「UPN・氏・名・メールアドレス」属性を取得する場合は、それぞれ userPrincipalName / givenname / surname / mail のクレームを設定します。

取得したい属性は、導入ガイドの「要件確認チェックリスト」で整理した内容に対応します。Step 2 でスロットを設定する際にこのクレーム名（属性キー）と対応づけるため、どの属性をどのキーで送るかを控えておいてください。

所属グループで条件分岐する場合の注意 所属グループ（オブジェクト ID）を条件分岐に使う場合は「先頭 1 件のみ取得」の制約があります。導入ガイドの「仕様上の注意」をご確認ください。

取得した属性データの扱い 設定した属性は、認証時に AI ヘルプデスク側へ送信され、PKSHA のサービス環境に保持されます。取得対象とする属性は社内で事前にご確認ください。

必要な情報の取得

Step 2（運用担当者の作業）で利用する情報を取得・控えます。

「SAML 証明書」>「証明書 (Base64)」の「ダウンロード」を選択（.cer ファイル）
アプリケーションのセットアップ画面で以下の値をコピー
- ログイン URL … Step 2 で「IdP の SignInURL」として使用します
- Microsoft Entra 識別子 … Step 2 で「IdP の EntityID」として使用します

取得した情報を運用担当者に引き継ぐ

以下の 3 点を、Step 2 を担当する 運用担当者 に渡してください。

証明書 (Base64) … .cer ファイル
ログイン URL
Microsoft Entra 識別子

属性とクレームを設定した場合は、設定したクレーム名の一覧も併せて共有してください。

次のステップ: Step2: 運用担当者による PKSHA ChatAgent管理画面での設定
導入ガイドに戻る: Entra ID SAML SSO 連携の導入ガイド