> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# macOS SSO 拡張機能のトラブルシューティング

> Apple の組み込みコマンドラインツールを使用して、macOS 上の Iru Access シングルサインオン拡張機能がサインインをインターセプトしない原因を診断します。

Iru Access は macOS の**シングルサインオン（SSO）拡張機能**をインストールします。これは Redirect タイプの
Extensible SSO 拡張機能で、Iru ドメインへのサインインをインターセプトし、ユーザーがデバイスに紐付けられた
資格情報でサインインできるようにします。機能させるには、macOS が拡張機能の**関連ドメインを承認**している
必要があります。通常、これは MDM が Iru Access 構成プロファイルの一部としてプッシュします。

Mac でのサインインが Iru Access によってインターセプトされない場合は、以下のチェックで、拡張機能が
**インストール**されていること、**読み込まれている**こと、および**関連ドメインが承認されている**ことを
順に確認します。これらは Apple 独自のコマンドラインツールを使用しており、登録済みの Mac で安全に実行できます。

<Note>
  既存の展開の診断専用です。構成プロファイル、アプリ、登録のセットアップについては、
  [Iru Access の展開](/ja/identity/authentication/deploy-iru-access)を参照してください。
</Note>

<Info>
  **以下で使用する値。** `N5M3B34269` は Iru の Apple Team ID で、Iru Access MDM プロファイル内の値と同じです。
  そのため、Iru Access の App ID は常に `N5M3B34269.com.iru.Access` です。`yourcompany.id.iru.com` は
  組織の Iru サインインドメインの代わりです。実際の出力には実際のドメインが表示されます。
</Info>

<Steps>
  <Step title="関連ドメインが承認されていることを確認する">
    SSO 拡張機能が機能しない最も一般的な原因は、macOS が**関連ドメイン**を承認していないことです。
    Mac 上のすべての関連ドメインの承認を一覧表示します。

    ```bash theme={null}
    sudo swcutil show
    ```

    **Service `authsrv`**、Iru Access の **App ID** `N5M3B34269.com.iru.Access`、および Iru サインインドメインを
    含むエントリを探します（接続が使用するドメインごとに 1 つのエントリ）。

    ```
    --------------------------------------------------------------------------------
    Service:              authsrv
    App ID:               N5M3B34269.com.iru.Access
    Domain:               yourcompany.id.iru.com
    User Approval:        unspecified
    Site/Fmwk Approval:   approved
    Flags:                enterpriseManaged
    Last Checked:         2026-05-24 21:27:52 +0000
    Next Check:           2026-05-29 20:38:54 +0000
    --------------------------------------------------------------------------------
    ```

    確認すべき点：

    <Warning>
      重要なのは **`Site/Fmwk Approval: approved`** の行です。これは、Apple が拡張機能のドメインの関連付けを
      検証したことを意味します。`denied` またはエントリが存在しない場合は、関連付けがまだ検証されていないことを
      意味します。
    </Warning>

    * **`Flags: enterpriseManaged`** は、管理対象の展開で想定されるとおり、ドメインが MDM によってプッシュされた
      ことを示します。これがない場合は、Associated Domains ペイロードを含む構成プロファイルがこの Mac に
      届いていない可能性があります。
    * 接続が使用する **Iru ドメインごとに 1 つのエントリ**があるはずです（接続には複数のドメインが含まれる場合が
      あります）。ドメインが欠けている場合は、プロファイルが不完全であることを示しています。
  </Step>

  <Step title="拡張機能がインストールされていることを確認する">
    macOS に登録されている Iru Access アプリの拡張機能を一覧表示します。

    ```bash theme={null}
    pluginkit -v -m
    ```

    SSO 拡張機能が一覧に表示されるはずです。例：

    ```
        com.iru.Access.SSOExtension(1.0)    8ACDABA9-0000-0000-0000-4E99DCF7F39D    /Applications/Iru Access.app/Contents/PlugIns/SSOExtension.appex
    ```

    確認すべき点：

    * `com.iru.Access.SSOExtension` の行がある場合は、拡張機能が登録されています。
    * 行がまったくない場合は、Iru Access アプリがインストールされていないか、拡張機能がまだ登録されていません。
      アプリが展開され、一度起動されていることを確認してください。
  </Step>

  <Step title="システムが拡張機能を読み込んだことを確認する">
    システムの SSO 拡張機能マネージャーをストリーミングし、Iru Access が読み込まれていることを確認します。

    ```bash theme={null}
    log stream --debug --predicate 'category contains "SOExtensionManager"'
    ```

    正常なシステムでは、Iru 拡張機能が読み込まれたことがログに記録されます（次のような出力）。

    ```
    AppSSOAgent: (AppSSO) [SOExtensionManager] loadedExtensionWithBundleIdentifer:
      com.iru.Access.SSOExtension => <SOExtension bundleID=com.iru.Access.SSOExtension,
      path=/Applications/Iru Access.app/Contents/PlugIns/SSOExtension.appex>
    ```

    Mac にインストールされている他のシングルサインオン拡張機能も同じリストに表示されます。ここで重要なのは
    `com.iru.Access.SSOExtension` です。
  </Step>

  <Step title="承認とサインインのアクティビティをライブで監視する">
    承認の反映が遅い場合や、サインインがインターセプトされない場合は、2 つのライブストリームが役立ちます。

    **関連ドメインのチェック：** macOS がドメインの承認をスケジュールして記録する様子を監視します。

    ```bash theme={null}
    sudo swcutil watch --verbose
    ```

    **SSO エージェント：** サインイン中に拡張機能を実行するプロセスを監視します。

    ```bash theme={null}
    sudo log stream --debug --process AppSSOAgent
    ```

    関連ドメインがまだ承認されて**いない**場合、エージェントは次のようなメッセージをログに記録し、
    原因を直接示します。

    ```
    com.iru.Access.SSOExtension hasAssociatedDomainsApproved = 0

    Associated domain: validation failed for the SSO extension
    com.iru.Access.SSOExtension because it has no approved associated domains; it will
    be checked again when the extension is next used.
    ```

    `hasAssociatedDomainsApproved = 0` は、ドメインがまだ承認されていないことを意味します。承認が反映されると、
    これらのエラーは停止し、Iru ドメインへのサインインが Iru Access によってインターセプトされます。
  </Step>
</Steps>

## 一般的な原因と対処法

| 症状 | 考えられる原因 | 対処法 |
| - | - | - |
| `swcutil show` に `authsrv` エントリがない | Associated Domains ペイロードが Mac に届いていない | MDM から Iru Access 構成プロファイルを再展開し、デバイスがスコープに含まれていることを確認します。 |
| エントリはあるが `Site/Fmwk Approval` が `approved` ではない | macOS がドメインの関連付けを検証していない、またはドメインが間違っている | ドメインが Iru ドメインと完全に一致することを確認し、Mac がネットワーク経由でアクセスできることを確認してから、サインインをトリガーして再確認します。 |
| `Flags` に `enterpriseManaged` がない | ドメインが MDM によってプッシュされていない | 手動で作成したプロファイルではなく、MDM で配信されるプロファイル（管理対象の展開）を使用します。 |
| AppSSOAgent に `hasAssociatedDomainsApproved = 0` | ドメインが承認されていない | 上記の関連ドメインの承認を解決します。macOS は定期的に、および次回拡張機能が使用されたときに再チェックします。 |
| `pluginkit -v -m` に拡張機能がない | Iru Access がインストールされていない、または一度も起動されていない | アプリを展開し、拡張機能が登録されるよう一度起動します。 |

<Tip>
  プロファイルを修正した後、承認がすぐに更新されるとは限りません。Iru ドメインのいずれかへのサインインを
  トリガーして macOS に再チェックを促し、`sudo swcutil show` を再実行してください。
</Tip>

## 次のステップ

<CardGroup cols={2}>
  <Card title="Iru Access の展開" icon="arrow-up-from-bracket" href="/ja/identity/authentication/deploy-iru-access">
    構成プロファイル、アプリ、登録をセットアップします。
  </Card>

  <Card title="MDM 接続" icon="tower-broadcast" href="/ja/identity/authentication/mdm-connections">
    プロファイルをプッシュし、デバイスを管理対象として扱うための接続。
  </Card>

  <Card title="デバイストラスト" icon="laptop" href="/ja/identity/authentication/device-trust">
    アクセスの条件として、管理対象の正常なデバイスを要求します。
  </Card>

  <Card title="認証システム" icon="key" href="/ja/identity/authentication/authenticators">
    認証システムとしてパスキーと並ぶ Iru Access の位置付け。
  </Card>
</CardGroup>