ThirtyFile

シングルサインオン

既存の Microsoft、Google、GitHub のアカウント、または独自の ID プロバイダー（OpenID Connect）でサインインできます。

このページの内容
  1. プロバイダーを設定する
  2. サインインできる人
  3. ドメインごとの設定
  4. 自分でアカウントをリンクする
  5. ゲストがいる Microsoft テナント

プロバイダーを設定する

  1. 先に コントロールパネル › 全般 で サイトの URL を設定します。
  2. コントロールパネル › シングルサインオン でプロバイダーを選び、表示された リダイレクト先アドレス をコピーします。
  3. プロバイダーに ThirtyFile を登録し（以下を参照）、そのアドレスを貼り付けます。
  4. 発行された ID とシークレットを ThirtyFile にコピーし、プロバイダーを有効にして保存します。

Microsoft Entra ID

Microsoft Entra 管理センター › アプリの登録 › 新規登録を開きます。「Web」プラットフォームでリダイレクト先を入力し、「証明書とシークレット」でクライアントシークレットを追加します。アプリケーション ID とテナント ID は「概要」にあります。

Google

Google Cloud Console › API とサービス › 認証情報 › 認証情報を作成 › OAuth クライアント ID を開きます。「ウェブ アプリケーション」を選び、「承認済みのリダイレクト URI」にアドレスを追加します。

GitHub

GitHub › Settings › Developer settings › OAuth Apps › New OAuth App を開きます。callback URL にリダイレクト先を入力し、クライアントシークレットを生成します。

OpenID Connect（Keycloak、Authentik、Authelia、Zitadel…）

ID プロバイダーにリダイレクト先を指定した confidential client（Web アプリ）を作り、クライアント ID とシークレットを控えます。ThirtyFile には Issuer URL（Keycloak なら https://auth.example.com/realms/<realm>）と「会社のサインイン」などの サインインボタン名 を入力します。保存すると <issuer>/.well-known/openid-configuration から設定を読みます。issuer は https のアドレスで、設定文書内にも同じ issuer が必要です。

プロバイダーはメールアドレスを含め、確認済みとする必要があります（email のスコープと claim、email_verified）。そうでなければ本人によるリンクのみ可能です。許可ドメイン、ドメイン規則、リンク、自動アカウント作成はほかのプロバイダーと同じです。

サインインできる人

初めてサインインする人への規則は、プロバイダーごとに設定します。

規則動作
リンク済みアカウントのみ本人がアカウントメニューでリンクした人だけ
メールで既存のユーザーと照合メールアドレスが、パスワードも 2 段階認証もないアカウントのユーザー名と一致する人。同じメールのシングルサインオンで作ったアカウントなどが対象です。管理者が作ったものなど、どちらかを持つアカウントは、その認証を迂回させないため照合しません。本人が一度パスワードでサインインして アカウントをリンク します
アカウントを自動作成許可されたメールドメインの人に新しいアカウントを作成

自動作成では、自分たちの人だけが入れるよう、example.com などの 許可するメールドメイン を列挙してください。

ドメインごとの設定

メールドメインの規則で、新規アカウントの権限、スペース容量、グループを変えられます。たとえば partner.example の取引先には小さなスペースを与え、共有を許可しない設定ができます。

新規アカウントに 個人用スペース の マイファイル を作るか、どの保存場所に置くかも決められます。システム設定に従う なら コントロールパネル › 全般 に従います。保存場所のフォルダーが使えなくてもサインインは可能で、復旧するとそこで「マイファイル」を作成します。

設定した Microsoft、Google、GitHub、OpenID Connect の各アカウントを、アカウントメニュー › サインイン方法 で誰でもリンク、解除できます。リンクするとパスワードなしで入れるため、リンク前に現在のパスワードと、2 段階認証ならコードを求めます。パスワードのないアカウントはサインイン後 10 分以内に行います。メールで照合された場合も含め、リンクごとにアプリ内とメールで通知します。

許可ドメインの一覧がある場合、そのドメインのプロバイダー確認済みメールを持つアカウントのみリンクできます。リンク済みアカウントには確認済みアドレスだけを保存します。

シングルサインオンで作成したアカウントにパスワードはありません。最後のリンクは管理者がパスワードを設定してからでなければ解除できません。管理者が新しいパスワードを設定すると、リンクも解除します。本人がサインインして再びリンクしてください。

ゲストがいる Microsoft テナント

テナント ID を指定すると、そのテナントのメンバーをメールで照合します。他組織のゲストもテナント経由で入れますが、メールはその組織が任意のアドレスを指定できます。そのためゲストのメールでは照合や作成を行いません。パスワードでサインインし、自分で Microsoft アカウントをリンクしてください。

ゲストもメールで照合するには、ID トークンにオプションの claim xms_edov を追加します。アプリ登録の トークン構成 › オプションの要求の追加 › ID › xms_edov を使います。Microsoft がゲストのメールドメインをその組織が所有しているかを示し、そのゲストだけを照合します。