OIDCを使ったエンタープライズSSOを設定する
OIDCを使ったエンタープライズSSOについて
エンタープライズSSOを使うと、組織は既存のIDプロバイダーを通じて、Squareに登録されているすべての事業のユーザーを認証できます。Squareは、サービスプロバイダー（SP）主導型SSOとIDプロバイダー（IDP）主導型SSOの両方に対応しています。
事業でSSOをオンにすると、その事業の認証済みドメインのすべてのユーザーに自動的に適用されます。これにより、IDプロバイダーでユーザーを一元管理しながら、組織全体で一貫した認証ポリシーを確保できます。
はじめに
IDプロバイダーには、次の2つの選択肢があります。
IDプロバイダーとしてOktaを使用
IDプロバイダーとしてMicrosoft Entra ID（旧Azure AD）を使用
また、以下も必要です。
IDプロバイダー（OktaまたはEntra ID）への管理者アクセス。IDプロバイダーにログインしていることを確認してください。
ドメイン所有権を確認する権限（DNSへのアクセス権限またはメール管理権限）。
SSOをオンにする予定のすべてのSquare事業で「シングルサインオンを管理」するためのアクセス権限があること。フルアクセスをお持ちの場合、またはアカウントオーナーさまの場合は、その事業ではこの権限が自動的に付与されます。各事業のアカウントオーナーさまは、ユーザーをSquare事業に招待し、このアクセス権限を付与できます。
重要：SSOをオンにすると、認証済みドメインのユーザーのうち、その事業にアクセスできるすべてのユーザーにSSOが自動的に適用されます。また、SSOをオンにすると、認証済みドメインのすべてのアカウントからログイン用の電話番号が削除され、SSO専用アカウントからはパスワードとパスキーが削除されます。このことを踏まえて導入を計画し、シングルサインオンをオンにする前にIDプロバイダーが適切に設定されていることをご確認ください。事業全体でSSOをオンにする前に、個々のアカウントでSSOをテストできます。
ステップ1：Square データでIDプロバイダーを設定する
この設定は、どの事業のSquare データからでも行えます。ステップ2で、この設定をこの事業のみに適用するか、すべての事業に適用するかを選択できます。
Square データにログインし、[設定] > [アカウントと設定] > [加盟店さまの事業] > [セキュリティ] の順に移動します。
[IDプロバイダー] で [設定] をクリックします。
OktaまたはMicrosoft Entra IDを選択し、このIDプロバイダーの設定に名前を入力します。この名前は設定時の参照用です。
手順に沿って、TXTレコードを使ってドメインの所有権を確認します。
-
DNSプロバイダー経由でTXTレコードを追加し、Squareに戻って確認を開始します。ステータスが「認証済み」であることを確認します。
確認に失敗した場合は、TXTレコードが反映されていることを確かめ、定期的に再試行してください。反映には最大72時間かかる場合があります。
このIDプロバイダーで管理する事業を選択します。選択しても、これらの事業でSSOが自動的にオンになるわけではありません。
IDプロバイダーが「有効」になると、事業のSSOをオンにする手順に進めます。
ステップ2：事業でSSOを設定して有効にする
SSOをオンにすると変更されること
事業でSSOをオンにすると、各アカウントの認証設定に従って、所有権確認済みのドメインのアカウントで利用できるログイン方法が以下のように変更されます。
ログイン方法 |
SSO専用アカウント |
SSOが任意のアカウント |
|---|---|---|
パスワード |
削除 |
保持 |
パスキー |
削除 |
保持 |
ログイン用電話番号 |
削除 |
削除 |
SSOをオフにしても、削除されたログイン方法は元に戻りません。
事業全体でSSOをオンにする前に行うこと：SSOを [任意] に設定して、SSOまたはパスワードによるログインを許可し、緊急用アカウント（SSOが失敗した場合にログインできるバックアップアカウント）を設定します。各アカウントがパスワードまたはパスキーでログインできることを確認してください。
Square データにログインし、[設定] > [アカウントと設定] > [加盟店さまの事業] > [セキュリティ] の順に移動します。
[シングルサインオン] で [設定] をクリックします。
画面の手順に沿って、シングルサインオンをIDプロバイダーに接続します。
-
個々のアカウントでSSOをオンにします。
アカウントを [任意] に設定すると、SSOまたは従来のログイン方法でログインできます。この設定は事業全体の設定よりも優先され、緊急用アカウントに使えます。
アカウントを [必須] に設定すると、SSOでのみログインできます。
事業全体でシングルサインオンを [必須] にする準備ができたら、ドロップダウンメニューから [事業のSSOを管理] を選択します。
IDプロバイダーで管理している事業から、シングルサインオンをオンにする事業を選択します。
シングルサインオンを [任意] に設定するアカウントを選択します。この設定は、事業全体の設定よりも優先されます。ここで設定したアカウントが緊急用アカウントになります。
重要：事業でシングルサインオンをオンにすると、その事業に雇用され、所有権確認済みドメインのメールアドレスを持つすべてのユーザーは、シングルサインオンを使ってログインする必要があります。
この設定により、アカウントが自動的にログアウトされることはありません。設定手順が完了すると、SSOが [必須] に設定されているアカウントを使って次回Squareのログインページでメールアドレスを入力する際、そのアカウントはIDプロバイダーにリダイレクトされ、そこからログインすることになります。
ステップ3：SP主導型SSOでログインする
SSOがオンになっている事業のすべてのアカウントとユーザーは、Square データとPOSレジでシングルサインオンを使用してログインできるようになります。 端末コードとパスコードによるログインには影響しません。
各ログイン画面でのSSOの動作は、次のように異なります。
ログイン画面 |
SSOの影響を受けるかどうか |
備考 |
|---|---|---|
Squareウェブサイトへのログイン（メールアドレスとパスワード） |
受ける |
SSOが [必須] のアカウントでは、IDプロバイダーにリダイレクトされます。 |
パスキー |
受ける |
SSOが [必須] のアカウントではパスキーは使用できません。SSOが [任意] のアカウントでは使用できます。 |
iOSおよびAndroid用Squareアプリ |
受ける |
SSOが [必須] のアカウントでは、IDプロバイダーにリダイレクトされます。 |
端末コードでのログイン |
受けない |
|
パスコードによるログイン |
受けない |
-
メールアドレスを入力して、[続行] をクリックします。
アカウントが [任意] に設定されている場合は、[SSOでログイン] をクリックします。
推奨事項
二要素認証を有効にする
Oktaユーザー：Squareにアクセスするすべてのユーザーに対して、Okta管理者コンソールで多要素認証（MFA）ポリシーをオンにします。
MicrosoftEntra IDユーザー：条件付きアクセスポリシーで、すべてのユーザーに対してAzure AD多要素認証をオンにします。
SSOではSquare独自のログイン時のセキュリティ対策が適用されないため、IDプロバイダー側での強力な認証が不可欠です。
緊急用アクセスを維持する
緊急用アカウントを設定するには、個々のアカウントでシングルサインオンを [任意] に設定します。これを設定するには、ステップ2を参照してください。
緊急用アカウントへのアクセスは定期的にテストしてください。
ITチーム向けに緊急時の手順を文書化してください。
緊急用アカウントの認証情報を、メインシステムとは別に安全に保管してください。
シングルサインオンをオンにする予定のすべての事業にアクセスできるアカウントオーナーさま、またはフルアクセスが付与されているアカウントは、緊急用アカウントとして適しています。
全面導入する前にテストする
一部のユーザーを対象にテスト導入してください。
Square データ、POSレジ、iOSおよびAndroid用Squareアプリなど、さまざまなSquareアプリにシングルサインオンでアクセスできることを確認してください。
Squareウェブサイトのログインページで、SSOが [必須] に設定されているアカウントのメールアドレスを入力します。IDプロバイダーにリダイレクトされることを確認します。
SSOによるログイン後も、ユーザーのアクセス権限と役割が維持されていることを確認してください。
パスワードまたはパスキーでログインできることも含め、緊急用アカウントが想定どおりに動作することを確認してください。
スタッフ用の端末を使って、引き続き端末コードでログインできることを確認してください。
Square製品のプレミアムプランのサブスクリプションが失効した場合
SSOをご利用いただくには、Square製品のプレミアムプランが必要です。事業のサブスクリプションが失効すると、以下の影響が生じます。
その事業でSSOが直ちにオフになります。
対象のアカウントで、Squareの通常のログイン方法に戻ります。SSOが [必須] のアカウントでは、IDプロバイダーを使用する必要がなくなります。
SSOをオンにすると、SSOが [必須] のアカウントのパスワードが削除されます。サブスクリプション失効後は、メールで送信されるワンタイムコードでログインできます。次に、パスワードの追加を求められます。
パスキーとログイン用の電話番号は復元されないため、再登録してください。
よくある不具合のトラブルシューティング
ドメイン所有権の確認に失敗する
不具合：ドメイン所有権の確認が正常に完了していない
解決策：
DNS方式：TXTレコードがドメインのDNS設定に正しく追加されていることを確認してください。DNSの設定変更が反映されるまで、最大72時間かかる場合があります。
複数のドメイン：複数のドメインをお持ちの場合は、それぞれの所有権を個別に確認してください。
シングルサインオンをオンにすると、ユーザーがログインできなくなる
不具合：ユーザーがSquareにログインしようとするとエラーが発生する
解決策：
ドメインの不一致：ユーザーのメールアドレスのドメイン部分が、認証済みドメインと完全に一致していることを確認してください
ユーザーの割り当て：ユーザーがIDプロバイダーのOIDCアプリケーションに割り当てられていることを確認してください
アカウントのステータス：ユーザーアカウントがIDプロバイダーで有効になっていることを確認してください
ブラウザに関する不具合：ブラウザのキャッシュとCookieをクリアするか、シークレット/プライベートブラウジングセッションを試します
アプリケーションのアクセス権限：OIDCアプリケーションに、ユーザープロフィール情報を読み取るために必要なアクセス権限があることを確認してください
SSOが [必須] に設定されているアカウントは、パスワードでログインできません
不具合：SSOが [必須] に設定されているアカウントのパスワードが、Squareのログインページで使えない
解決策：
想定される動作：SSOが [必須] のアカウントでは、パスワードが削除されます。代わりに、IDプロバイダー経由でログインしてください。
SSOがオフになっている場合：メールアドレスに送信されるワンタイムコードでログインします。次に、パスワードの追加を求められます。
すべての事業でシングルサインオンを利用できない
不具合：シングルサインオン設定が複数の事業に一貫して適用されない
解決策：
事業の連携：Square データから、すべての事業がIDプロバイダーの設定とシングルサインオンの設定で正しく設定されていることを確認してください
ドメイン所有権の確認：使用しているすべてのドメインの所有権がSquare データで確認済みであることを確かめてください。
反映までの時間：シングルサインオンの設定がすべての事業に反映されるまで、最大30分ほどかかります