> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# カスタム OIDC

> Iru をクライアントとして登録し、クレームをユーザー属性にマッピングすることで、任意の OpenID Connect ID プロバイダーを Iru Identity に接続してフェデレーションサインインを行います。

ID プロバイダーが **OpenID Connect (OIDC)** 標準に対応しているものの、既製のテンプレートでカバーされていない場合は、**カスタム OIDC** 接続として接続します。Iru はプロバイダーの**クライアント**として登録されます。プロバイダーがユーザーを認証して ID 情報を Iru に返し、Iru はそれを使用してセッションを開始し、ユーザーを Iru ユーザーと照合します。

<Warning>
  カスタム OIDC 接続は**近日公開予定**です。Google Workspace、Microsoft Entra ID、およびカスタム SAML 接続は現在利用可能です。
</Warning>

<Info>
  Iru Identity を ID プロバイダーとして使用しているほとんどの組織では、ユーザーはパスキーまたは Iru Access アプリで直接サインインします。Iru Identity をプライマリ ID プロバイダーではなく Iru プラットフォームへの認証レイヤーとして使用する場合、または Iru Identity への移行を容易にする場合に OIDC プロバイダーを接続します。[フェデレーション認証](/ja/identity/connections/connections-overview)を参照してください。
</Info>

<Note>
  この接続を完了するには、Iru テナントの管理者アクセス権と OIDC ID プロバイダーの管理者アクセス権が必要です。
</Note>

## 始める前に

<Steps>
  <Step title="Iru をプロバイダーにアプリケーションとして登録する">
    OIDC プロバイダーで Iru 用のアプリケーション (クライアント) を作成します。通常は認可コードフローを使用する **web** または **confidential** クライアントです。Iru に入力する**クライアント ID** と**クライアントシークレット**が発行されます。具体的な手順はプロバイダーのコンソールにあるため、最新のドキュメントに従ってください。
  </Step>

  <Step title="Iru のリダイレクト URI を追加する">
    プロバイダーは、サインイン後にユーザーをどこに戻すかを知る必要があります。Iru がこの接続に表示する**リダイレクト URI** をコピーし、プロバイダーのアプリケーションで許可されたリダイレクト URI のリストに追加します。
  </Step>

  <Step title="必要なスコープを確認する">
    Iru は標準の OpenID Connect **スコープ** (`openid`、`profile`、`email`) を要求するため、プロバイダーはユーザーの基本プロファイルとメールアドレスを返します。照合に使用する予定のクレームをプロバイダーが提供するよう構成されていることを確認してください。
  </Step>

  <Step title="ユーザーが Iru に存在することを確認する">
    接続を通じたサインインは、既存の Iru ユーザーに解決されます。最初にユーザーを追加またはインポートしてください。[ユーザーのインポート](/ja/identity/directory/importing-users)または [Directory Sync](/ja/identity/directory/directory-sync) を参照してください。
  </Step>
</Steps>

## OIDC プロバイダーを接続する

<Steps>
  <Step title="接続を追加する">
    **Access → Authentication** で **authentication method** を追加し、**OIDC** を選択します。
  </Step>

  <Step title="クライアントの詳細を入力する">
    プロバイダーに登録したアプリケーションの**クライアント ID** と**クライアントシークレット**、および Iru がプロバイダーのサインインエンドポイントにアクセスするために必要な詳細を入力します。
  </Step>

  <Step title="ユーザー識別子クレームを選択する">
    プロバイダーの応答のどの**クレーム**がユーザーを識別するかを Iru に指定します。たとえば、subject、email、または preferred username クレームです。これは、Iru がサインインしたユーザーを認識するために読み取る値です。
  </Step>

  <Step title="ユーザーマッチングを設定する">
    そのクレームと照合する Iru ユーザーの値 (UPN、ユーザー名、外部 ID、またはカスタム属性) を選択します。すべてのユーザーで一意かつ安定した値を選択してください。[ユーザーマッチング](/ja/identity/connections/connections-overview#what-you-configure-on-every-identity-provider-connection)を参照してください。
  </Step>

  <Step title="接続の用途を選択する">
    接続の**ユースケース**として、**エンドユーザーのサインイン**、**デバイス登録**、またはその両方を選択します。
  </Step>

  <Step title="ドメインを制限する">
    特定のメールドメインのユーザーのみにこの接続を使用させたい場合は、**ドメイン制限**を有効にしてそれらのドメインを追加します。
  </Step>

  <Step title="保存してテストする">
    接続を保存し、テストユーザーとしてサインインして引き渡しを確認します。プロバイダーがユーザーを認証して識別クレームを返し、Iru がそのユーザーを正しいユーザーと照合します。
  </Step>
</Steps>

<Tip>
  **ユーザー識別子クレーム**と**ユーザーマッチング**の選択は連携して機能します。クレームはプロバイダーが送信する値で、マッチングはそれが一致すべき Iru ユーザーフィールドを決定します。プロバイダーがすべてのユーザーに設定し、照合する Iru の値と一致するクレームを選択してください。
</Tip>

## 接続後のサインインの仕組み

ユーザーがサインインすると、Iru はサインインを OIDC プロバイダーに引き渡します。プロバイダーがユーザーを認証して ID クレームを返し、Iru がそれを Iru ユーザーと照合して、セッションが続行されます。その後、Iru はアクセスを許可する前にアプリの[認証ポリシー](/ja/identity/authentication/authentication-policies)を評価します。全体像については、[システムアーキテクチャ](/ja/identity/getting-started/system-architecture)を参照してください。

## 関連情報

<CardGroup cols={2}>
  <Card title="フェデレーション認証" icon="plug" href="/ja/identity/connections/connections-overview">
    ユースケース、ドメイン制限、ユーザーマッチングを 1 か所で説明します。
  </Card>

  <Card title="カスタム SAML" icon="shield-halved" href="/ja/identity/connections/custom-saml">
    OpenID Connect の代わりに SAML を使用する ID プロバイダーを接続します。
  </Card>

  <Card title="Google Workspace" icon="google" href="/ja/identity/connections/google-workspace">
    既製のテンプレートを使用して Google Workspace を接続します。
  </Card>

  <Card title="Microsoft Entra ID" icon="microsoft" href="/ja/identity/connections/microsoft-entra-id">
    既製のテンプレートを使用して Microsoft Entra ID を接続します。
  </Card>
</CardGroup>