本記事では、OneLogin のシングルサインオン（SSO）機能に不具合が発生した場合に、SAML SSOを一時的に無効化する手順をご案内します。
目次
SSO障害時の対応フロー
このフローでは、OneLoginなどのSSOサービスに障害が発生した際に、SP（サービスプロバイダー）側でユーザーがログインできるようにする手順を示しています。
-
SP側アプリケーションのユーザーID/PWの事前登録: SPにユーザーIDとパスワードを事前登録しておくことで、SSOが利用できない場合においても、ログイン可能な状態を確保します
-
SP管理者アカウントでSP側アプリケーションへログイン: SSO障害発生後、管理者がSPの管理画面に直接ログインし、必要な設定変更を行います
- SP管理者アカウントによるSAML SSOの無効化: 管理者は、ユーザーがIDとパスワードを使用してSPにログインできるように、SAML SSOを一時的に無効化します
1. SP側のユーザーPWの事前登録
SAML 2.0 認証連携を解除すると、エンドユーザーはSP（サービスプロバイダー）へ ID/パスワードを使用してログインする必要があります。この際、IDはメールアドレスまたは専用のユーザーID となりますが、パスワードはSPの仕様によって新規作成が求められる場合があります。
本記事では、各SPの公式手順書を紹介し、パスワードの新規設定方法を案内します。
a. Google Workspace
Google Workspaceでは、ユーザーディレクトリ権限または特権管理者権限を持つユーザーが、ユーザー管理画面からパスワードを作成・変更することが可能です。
また、Google Workspaceでは、SAML認証を解除すると、エンドユーザーは以前設定されていた Google アカウントのパスワードでログインできます。
-
個別に設定する場合: Google 管理コンソールにログインし、各ユーザー個別のパスワードを再設定します
-
一括で設定する場合: 緊急時にCSVファイルを使用して、複数のユーザーのパスワードを一括で設定できます。
b. Salesforce
Salesforceの管理者はユーザーのパスワードをリセットすることは可能ですが、管理者が特定ユーザーのパスワードを手動で設定することはできません。そのため、エンドユーザーのパスワードリセットを実施し、パスワードを新規登録するようお願いします。既にSalesforceのパスワードが設定されている場合、本操作は不要です。
-
個別ユーザーのパスワードリセット
-
全ユーザーのパスワードリセット
2. SPへの管理者ログイン
OneLoginの障害発生時、通常のSSO経由ではログインできなくなります。しかし、事前に管理者アカウントでSSOを使用せずにログインできる設定を行っておくことで、障害時でもアクセスが可能になります。
本記事では、Google WorkspaceやSalesforceなどの主要SPにおいて、SSOを使用せずに管理者としてログインする設定方法を解説します。
a. Google Workspace
Google Workspaceの管理者ロールが「特権管理者」の場合、デフォルトでSSOを介さずにID/パスワードのみでログインすることが可能です。
b. Salesforce
Salesforceでは、特定のURLの末尾に ?login を追加することで、SSOをスキップして標準のログインページを表示できます。https://{your-domain}.my.salesforce.com/?login
この方法を利用するには、SAML強制化の権限セット を管理者に割り当てないことが必要です。そのため、管理者アカウントには SAML強制化の権限セットを割り当てず、標準ユーザーなどには SAML強制化の権限セットを割り当てることを推奨します。詳細は Salesforce - SAML認証の強制化 をご参照ください。
Salesforce では、システム管理者アカウントにも SSO を適用することは可能ですが、SSO 障害時の緊急ログイン手段を確保するため、管理者アカウントには SAML強制化の権限セットを適用しないことが推奨されます。これにより、管理者は /?login パラメータを用いて、標準のログインページから直接ログインすることができます。
3. SP側のSAML SSOの無効化
OneLoginの障害発生時、SP側の管理者あカウントでログインし、SAML2.0認証連携を解除する手順を紹介します。OneLoginの障害解消後はSAML連携設定を戻すことをお勧めします。
a. Google Workspace
Google Workspace - SAML SSOの無効化 をご参照ください。
b. Salesforce
Salesforce - SAML SSOの無効化 をご参照ください。