Entra ID で SaaS にシングル サインオン（SSO）する｜エンタープライズ アプリケーションの登録と、退職時の止め方

会社で使っている Box などの SaaS に、社員が Microsoft 365 のアカウントのまま入れるようにしたい。けれど、それで退職した人のアカウントまで止まるのかが分からない。そうした管理者の方に向けた記事です。シングル サインオン（SSO、1回のサインインで複数のアプリに入れる仕組み）の設定だけでは、退職した人の Box のアカウントは Box の側に残ります。Entra 管理センターのギャラリーで Box を選ぶと、右のパネルには［シングル サインオン モード］と並んで［プロビジョニング］の欄があり、「自動プロビジョニングがサポートされています」と出ます。退職のときに SaaS 側のアカウントまで止めるのは、この［プロビジョニング］の欄のほうです。

この記事では、SaaS を Entra ID（Microsoft 365 のアカウント）で入れるようにするときに何を登録するか、つまりエンタープライズ アプリケーションの追加、SAML と OpenID Connect の違い、使う人の割り当てと、退職したときにどこまで止まるかを、順に書きます。例は最後まで Box を使います。

Microsoft 365 の導入を支援している当社が、Microsoft の公式の説明と、当社の検証用の環境で開いた画面をもとにまとめた内容です（確かめ方は後ろの節にまとめています）。

始める前に、SaaS ごとに6つを確かめる

設定に入る前に、SaaS ごとに次の6つを確かめておくと、その SaaS をどの手順で進めるかが決まります。表の行は、この記事で最初に出てくる順に並べています。ギャラリーにあるか、どの方式か、自動プロビジョニングに対応しているかは、「ギャラリーで SaaS を探し、方式とプロビジョニングを見る」の節で、見る場所を画面の写真で示します。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

SaaS はどこで登録するか：［エンタープライズ アプリ］を開く

SSO を使うと、社員は1組の資格情報でサインインし、割り当てられたアプリをサインインし直さずに開けます（Microsoft Entra ID でのシングル サインオンとは）。社員が Box を開くと、Box はサインインを Entra ID に任せ、Entra ID が本人を確かめた結果を受け取って中に入れます。このとき Entra ID は、サインインを引き受ける側（ID プロバイダー）です。

SaaS を登録するのは、Entra 管理センターの［Entra ID］>［エンタープライズ アプリ］>［すべてのアプリケーション］です。Microsoft Learn（Microsoft の公式の説明のサイト）の手順では「Enterprise アプリ」と書かれていますが、画面の左のメニューは「エンタープライズ アプリ」、開いた画面の題は「エンタープライズ アプリケーション | すべてのアプリケーション」でした（クイックスタート: エンタープライズ アプリケーションを追加する）。自社で開発したアプリを登録する［アプリの登録］は別の画面で、この記事では扱いません。

追加できるのは、クラウド アプリケーション管理者かアプリケーション管理者のロールを持つ人です。アプリにユーザーを割り当てるだけなら、ユーザー管理者のロールでもできます（アプリケーションへのユーザーとグループの割り当てを管理する）。一覧の列を右に送ると、名前や作成日の先に「証明書有効期限の状態」「アクティブな証明書の有効期限日」が並び、SAML で登録した SaaS の証明書の期限をここで見渡せます。

ギャラリーで SaaS を探し、方式とプロビジョニングを見る

［新しいアプリケーション］を押すと、「Microsoft Entra アプリ ギャラリーの参照」が開きます（Learn の手順の表記は「Microsoft Entra ギャラリーの参照」）。Entra ID には、何千ものアプリをあらかじめ組み込んだギャラリーがあります。画面の上には［独自のアプリケーションの作成］のボタンもありますが、ギャラリーにある SaaS はギャラリーから追加します。

検索欄の下には「シングル サインオン : すべて」「ユーザー アカウントの管理 : All」「カテゴリ : すべて」「Entra 統合 : Entra 統合済み」の4つの絞り込みがあります。［シングル サインオン］を開くと、「すべて」「SAML」「OpenID Connect」「パスワード」「リンク」の5つから選べました。この4つの方式の違いは、下の表のとおりです。

SAML と OpenID Connect（OIDC）は、Entra ID が本人を確かめて標準の方式で SaaS に伝える「フェデレーション ベースの SSO」です。パスワードの方式は、SAML や OIDC に対応していないアプリのために、SaaS のパスワードを Entra ID が預かって代わりに入力します（Microsoft Entra ID でのシングル サインオンとは）。リンクの方式について、画面の説明（ⓘ）は「このオプションは、構成されている URL へのリダイレクトです。アプリケーションにシングル サインオンは追加されません。」と書いています。社員がマイ アプリから開けるようになるだけで、サインインは SaaS ごとのままです。当社は、SaaS が SAML か OIDC に対応しているなら、パスワードやリンクではなく、そちらで設定することを勧めます。

検索欄に「Box」と入れると、Box のタイルに2つのアイコンが付いていました。画面の凡例は「フェデレーション SSO」と「プロビジョニング中」です。追加の手順の説明では、これはフェデレーション SSO とプロビジョニングに対応しているかを示すアイコンなので、「プロビジョニング中」は、プロビジョニングに対応していることを表す訳だと読めます。Box の SSO の手順には「ギャラリーから追加」の区分で検索するとありますが、画面にはその区分が無く、上の検索欄で探しました。

Box のタイルを押すと、右にパネルが開きます。欄は「名前 *」「発行元」「プロビジョニング」「シングル サインオン モード」などで、Box の［シングル サインオン モード］には「パスワード ベースのサインオン」「SAML ベースのサインオン」「リンクされたサインオン」の3つ、［プロビジョニング］には「自動プロビジョニングがサポートされています」と出ました。下の「Box 統合の手順に関するチュートリアルを読む」から、Box の SSO の手順に移れます。

Box は SP Initiated SSO（Box の画面から入ると Entra ID に回される形）、自動のプロビジョニングとプロビジョニング解除（推奨）、Just-In-Time のプロビジョニング（初めて SSO で入ったときにアカウントを作る形）に対応しています。前提として、Box の側で SSO が使えるサブスクリプションが要ります。また、Box の識別子は固定の値なので、1つの組織で作れる Box のアプリは1つだけです（Microsoft Entra ID で Box for Single Sign-on を構成する）。Box の契約が SSO を使えるプランでなければ、表の「SaaS のプラン」の行のとおり、SSO を設定する前に Box のプランを見直します。

SaaS を追加するときは、SAML か OpenID Connect かで手順が違う

SAML のときは、識別子・応答 URL・証明書を SaaS と合わせる

SAML の SaaS は、パネルで名前を確かめて［作成］を押すと、エンタープライズ アプリケーションの一覧に入ります。この時点でアプリに所有者を割り当てておくのが、ベスト プラクティスとされています（クイックスタート: エンタープライズ アプリケーションを追加する）。所有者は、そのアプリのシングル サインオン、プロビジョニング、ユーザーの割り当てなどの設定を管理でき、ほかの所有者を追加したり削除したりもできます（エンタープライズ アプリケーション所有者を割り当てる）。当社は、部署で使う SaaS なら、その部署の担当者のうち、SSO の設定と使う人の割り当てを任せてよい人を所有者にしておくことを勧めます。ただし、ユーザー設定の［Microsoft Entra 管理ポータルへのアクセスを制限する］が［Yes］のときは、管理者でない所有者は管理センターで自分のアプリを管理できません（エンタープライズ アプリケーション所有者を割り当てる）。この設定を［Yes］にしている組織では、担当者を所有者にしても管理センターでは設定を変えられないので、先にこの設定を確かめます。

続いてそのアプリの［シングル サインオン］で SAML を選び、［基本的な SAML 構成］に、SaaS の識別子（エンティティ ID）と応答 URL（Assertion Consumer Service URL）を入れて保存します。どちらの値も SaaS ごとに決まっていて、設定の進め方もアプリによって違うので、ギャラリーのアプリはその SaaS の手順（チュートリアル）に従って入れます（エンタープライズ アプリケーションの SAML シングル サインオンを有効にする）。

最後に、［SAML 証明書］から署名の証明書をダウンロードし、SaaS の管理画面に登録します。この証明書は、ギャラリーから追加して SAML を設定したときに Entra ID が作り、3年間有効です。期限の60日前・30日前・7日前に通知のメールが届きますが、通知先は既定では、アプリを追加した管理者のメール アドレスだけです。通知先には、アプリを追加した管理者を含めて最大5つのメール アドレスを入れられ、6つ以上のアドレスに届けたいときは配布リストのアドレスを使います。また、管理センターで SAML の設定が検証されていないと、期限の通知メールが送られないことがあります（フェデレーション シングル サインオンの証明書を管理する）。

当社は、通知先に情シスの配布リストを入れておくことを勧めます。追加した管理者が異動や退職でいなくなると、期限の通知を受け取る人がいなくなるからです。通知が届かない場合にも気づけるよう、一覧の「アクティブな証明書の有効期限日」の列を、年に一度見る予定にしておくのも手です。

OpenID Connect のときは、［サインアップ］から SaaS に入って同意する

OIDC を使うギャラリーのアプリは、パネルに［作成］ではなく、SaaS のサインインかサインアップの画面に移るボタンが出ます（クイックスタート: エンタープライズ アプリケーションを追加する）。［サインアップ］を押して Entra のアカウントで SaaS にサインインし、SaaS の契約が確かめられると、同意の画面が出ます。［組織の代理として同意する］を選んで［同意する］を押すと、アプリが組織に追加されます。SaaS がユーザーを確かめられないときは、SaaS の申し込みの画面に移ります。同じギャラリーのアプリは、1つの組織に1つしか追加できません。

SAML と違い、OIDC の手順には Entra 管理センターで値を入れる段階がありません。同意の画面には、アプリと、アプリが求めるアクセス許可が表示され、SaaS の側で要る残りの設定は SaaS の提供元の案内によります（ギャラリーとカスタム アプリケーションの OIDC SSO を構成する）。組織の代理として同意する前に、表示されたアクセス許可を読み、SaaS の提供元の案内と照らしてください。

両方に対応している SaaS では、どちらを選ぶか

管理者が方式を選べるのは、その SaaS が両方に対応しているときだけです。管理者向けには、どちらのプロトコルも ID の基盤と連携するが、SAML は確立されたエンタープライズ システムに向く可能性がある、と説明されています（Microsoft Entra ID でのシングル サインオンとは）。2つを詳しく比べたページもありますが、主に SaaS を作る側がどちらを実装するかの説明です（SAML と OpenID Connect: 適切な SSO プロトコルを選択する）。当社は、ギャラリーのアプリなら、パネルの［シングル サインオン モード］とチュートリアルの手順に合わせることを勧めます。

既に Okta で SSO している SaaS を Entra ID に移す場合は、Okta から Entra ID への移行（SSO アプリの再登録とテスト観点）で、アプリごとの再登録と確かめ方を書いています。Okta と Entra ID のどちらを ID プロバイダーにするかの比較はOkta と Microsoft Entra ID の比較、自社のアプリの認証を Auth0 から寄せる場合はAuth0 から Microsoft Entra ID への統合を見てください。

使う人を割り当て、「割り当てが必要」を決める

SaaS を追加したら、使う人を割り当てます。アプリを開いて［ユーザーとグループ］>［ユーザーまたはグループの追加］を選び、ユーザーかグループを選んで、ロールを選んで［割り当て］を押します。SaaS の側でロールを決めていなければ、ロールは「既定のアクセス」になります。割り当てた人には、マイ アプリ（社員が使うアプリの一覧のページ）にそのアプリが出ます。グループで割り当てるには Entra ID の P1 か P2 が要り、グループの中に入れたグループ（入れ子）には割り当てが広がりません（アプリケーションへのユーザーとグループの割り当てを管理する）。割り当てるグループには、人を直接入れておきます。

Microsoft Entra のライセンスのページには、P1 は Microsoft 365 Business Premium にも含まれると書かれています（Microsoft Entra のライセンス）。グループで割り当てたいなら、自社のプランに P1 か P2 が含まれるかを先に確かめてください。プランごとの違いはBusiness Standard と Business Premium の違いの記事で比べています。後でプロビジョニングも使うなら、割り当てるグループはセキュリティが有効なもの（プロパティの SecurityEnabled が True）にしておきます（プロビジョニングのしくみ）。

アプリのプロパティにある「割り当てが必要」（Learn の見出しの表記は「割り当てが必要です」。当社は画面の表記を確かめていません）を「はい」にすると、割り当てた人だけがそのアプリに入るためのトークンを受け取れます。「いいえ」にすると、組織に招いた外部ユーザーを含め、すべてのユーザーがサインインできます。この設定が効くのは、SAML・OpenID Connect・OAuth 2.0・WS-Federation で設定したアプリなどで、ほかのシングル サインオンの方式で設定したアプリでは、入れる人は変わりません。また、グローバル管理者は、この設定に関係なくサインインできます（エンタープライズ アプリケーションのプロパティ）。割り当てられていない人は、Box の場合、Entra のサインイン画面でエラーになり、Box に入れません（Box の自動ユーザー プロビジョニングの構成）。Box のパネルでは［シングル サインオン モード］に「パスワード ベースのサインオン」「リンクされたサインオン」も並んでいたので、Box を SAML で設定するかどうかが、ここに効きます。

Box でプロビジョニングを使うときは、割り当てで既定のロール（Box の手順の表記では「既定のAccess」）ではなく、Box の有効なロールを選ぶ必要があります（Box の自動ユーザー プロビジョニングの構成）。そのうえで当社は、SaaS ごとにグループを作って割り当て、「割り当てが必要」を「はい」にすることを勧めます。異動や退職のときにグループから外せば、その SaaS の割り当ても外れます。後で書くプロビジョニングを設定していれば、グループから外れたことも SaaS の側に届きます。

退職したとき、Entra でサインインを止めると何が止まるか

退職した人の［ユーザー］を開き、［アカウントの状態］の［編集］で［アカウントを有効にする］のチェックを外して保存し、ユーザーの［概要］で［セッションの取り消し］を選びます。これで、その人は Entra ID につながったアプリの新しいトークンを受け取れなくなります（Microsoft Entra ID でユーザー アクセスを取り消す）。Microsoft 365 の側で、メールや OneDrive をどの順に片付けるかは、Microsoft 365 の退職者のアカウントの処理に書きました。

ただし、新しいトークンが出なくなることと、SaaS に入れなくなることは同じではありません。取り消してからアクセスを失うまでの時間は、アプリがどうやってアクセスを許しているかで変わります。既に出ているアクセス トークンは、既定で1時間有効です。ブラウザーで使う SaaS は、Entra ID とは別に SaaS 自身のセッションを持ちます。そのセッションが有効な間は、SaaS がユーザーを Entra ID に戻さないことがあり、SaaS が発行したセッションを Entra ID から直接取り消すことはできません（Microsoft Entra ID でユーザー アクセスを取り消す）。退職の当日のうちに SaaS に入れなくしたいなら、Entra の操作に加えて、SaaS の側でセッションを切る手順が要ります。

もう一つ残るのは、SaaS 側のアカウントそのものです。Entra ID のトークンを使わずに直接サインインできるアプリでは、SaaS からアカウントを外すことが、アクセスを止める効果的な方法とされています（Microsoft Entra ID でユーザー アクセスを取り消す）。当社は、SaaS ごとに、SaaS 側のパスワードで入れる設定が残っていないかを確かめておくことを勧めます。

SaaS 側のアカウントまで止めたいときは、プロビジョニング（SCIM）を設定する

プロビジョニングは、SaaS 側のアカウントを Entra ID から作ったり、変えたり、止めたりする仕組みです。アカウントを作るだけでなく、状態や役割が変わったときの更新と削除までを含みます（Microsoft Entra ID でのアプリ プロビジョニングとは）。Entra ID は、SaaS の提供元が用意する SCIM（ユーザー管理の標準の方式）の窓口につないで、ユーザーを作成・更新・削除します（プロビジョニングのしくみ）。

ギャラリーの節で開いた Box のパネルの［プロビジョニング］の説明（ⓘ）は、ほとんどのアプリではサインインの前にアカウントが SaaS の中にある必要がある、と前置きしたうえで、Box については「Microsoft Entra ID が、これらのアカウントを自動的にプロビジョニングおよびプロビジョニング解除する機能をサポートしています。」と書いていました。ギャラリーのアプリは、自動か手動のどちらかです。自動は Entra ID のプロビジョニングのコネクタがあるアプリで、Box のパネルの「自動プロビジョニングがサポートされています」がこれに当たります。手動は、SaaS の管理画面で人を足したり、表を読み込ませたりして、自分で作る必要があるアプリです（Microsoft Entra ID でのアプリ プロビジョニングとは）。表の「自動プロビジョニング」の行は、このパネルの欄で控えます。

プロビジョニングの対象は、SSO と同じ割り当てで決まります。割り当てを外した人、Entra ID でサインインを止めた人や削除済みユーザーに入った人は、SaaS 側で無効になります。Entra ID から完全に削除された人は、SaaS 側でも削除されます。削除済みユーザーは30日後に完全に削除されるので、そのときに削除の要求が SaaS に送られます。SaaS の側が論理削除に対応していないときは、無効ではなく削除の要求が送られます（プロビジョニングのしくみ）。

同期は、最初の1回の後、40分間隔で動きます。割り当ての外にある、SaaS の管理画面で手で作ったアカウントには、プロビジョニングの解除は届きません（自動ユーザー プロビジョニングの構成）。当社は、プロビジョニングを始める前に、SaaS の管理画面にあるアカウントと Entra ID の割り当てを突き合わせておくことを勧めます。

アクセスの取り消しのページでは、同期は通常20〜40分ごととされています（Microsoft Entra ID でユーザー アクセスを取り消す）。エラーが続くと、プロビジョニングは「検疫」という状態になり、4週間を超えると止まります（プロビジョニングのしくみ）。［エンタープライズ アプリケーション］の左のメニューには［プロビジョニング ログ］があり、作成や無効化がどう送られたかはここで見ます。

ライセンスの表では、SaaS への自動のユーザー プロビジョニングは Free から、グループのプロビジョニング（SaaS にグループそのものを作る機能）は P1 からです（Microsoft Entra のライセンス）。Box の設定の手順（Microsoft）では、最初は1人だけ割り当てて試すことが勧められています（Box の自動ユーザー プロビジョニングの構成）。試した1人の分を［プロビジョニング ログ］で確かめてから、グループに広げます。

自動に対応していない SaaS は、手作業でアカウントを外す手順を決めておくことが勧められています（Microsoft Entra ID でユーザー アクセスを取り消す）。当社は、手動の SaaS を一覧にして、退職の手順の中に、どの SaaS を、だれが、どの画面で止めるかを書いておくことを勧めます。

この記事の確かめ方

画面は当社の検証用の環境の Entra 管理センターで、公式の説明は Microsoft Learn で、どちらも2026年10月30日に確かめました。アプリは追加していない（Box のパネルの［作成］は押していない）ので、追加した後の設定・割り当て・退職時の動きは、Learn の手順の言葉で書いています。「割り当てが必要」は画面の表記を確かめていません（Learn の見出しでは「割り当てが必要です」）。写真は、組織の名前と一覧の件数、一部の表示を伏せています。

次にやること

まず、会社で使っている SaaS を書き出し、ギャラリーで1つずつ検索して、アイコンとパネルの［シングル サインオン モード］［プロビジョニング］を、最初の6つの表に沿って控えてください。最初の1つは、自動プロビジョニングに対応している SaaS から始めると、SSO・割り当て・プロビジョニングを一度に試せます。SaaS に入るときに多要素認証を求めたい場合は、条件付きアクセスの記事の手順で、そのアプリをポリシーの対象にできます。

SaaS の一覧づくりや、退職の手順への組み込みから一緒に進めたい場合は、Microsoft 365 の導入支援でお手伝いしています。

Entra 管理センターの画面と Microsoft Learn の説明は更新が続いているため、設定の前に各ページの最新を確かめてください。