> ## Documentation Index
> Fetch the complete documentation index at: https://docs.thunderphone.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Enterprise SSO

> JITプロビジョニングと組織全体のセキュリティポリシーにより、チームがIDプロバイダー経由でログインできるようにします。

Enterprise SSO は **設定 → 組織**（一般タブ）の **Enterprise SSO** カードにあります。**シングルサインオン** スイッチをオンにすると、設定が表示されます。これらの設定を表示または変更できるのは、組織の **管理者** と **オーナー** のみです。

## セキュリティポリシー

組織全体に適用される3つのスイッチを、**ポリシーを保存** でまとめて保存します。

* **ログイン時にSSOを必須にする** — メンバーはIDプロバイダーを通じて認証する必要があります。
* **管理者の緊急用パスワードログインを許可する** — SSOが強制されている間、管理者向けに緊急時のパスワードログイン経路を提供します（強制がオンの場合にのみ設定できます）。
* **組織へのアクセスにパスキーを必須にする** — すべてのメンバーは [パスキー](/ja/guides/account-and-security) を登録し、ログイン後のパスキー確認を通過する必要があります。パスキーを持たないメンバーには、設定のための **3日間の猶予期間** が与えられます。ポリシーパネルには、まだパスキーが必要なメンバー数が表示されます。

<Note>
  **組織の [APIキー](/ja/guides/api-keys) はこの要件の対象外です。**
  パスキーはログインセッションに紐付く人間向けの2FA確認です。一方、サーバーAPIキー（`sk_live_...`）はパスキー確認を紐付けるセッションを持たないマシン認証情報です。そのため、このポリシーがオンでも認証を継続します。これは意図的な仕様であり、見落としではありません。要件が有効で、組織に有効なAPIキーがある場合、ポリシーパネルには対象外のキー数と、管理者が不要になったキーを監査または取り消せる **組織 → キー** へのリンクが表示されます。
</Note>

## SSO接続

ThunderPhone のSSOはStytchを基盤としています。**接続を追加** すると、次の項目を含む接続が作成されます。

| フィールド                 | 説明                                                                    |
| --------------------- | --------------------------------------------------------------------- |
| **接続名**               | 例：「Acme Workspace SSO」のようなラベル。                                        |
| **新規ユーザーのデフォルトロール**   | SSO経由で作成されたアカウントに割り当てるメンバー、管理者、またはオーナー。                               |
| **Stytch組織スラッグ / ID** | 接続の基盤となるStytch組織を識別します。                                               |
| **許可するメールドメイン**       | この接続を通じたログインを許可する、カンマ区切りのドメイン。                                        |
| **グループからロールへのマッピング**  | IdPグループをロールにマッピングするJSON配列。例：`[{"group":"it-admins","role":"admin"}]`。 |
| **JITプロビジョニングを有効にする** | 初回のSSOログイン時にThunderPhoneアカウントを自動作成します。                                |
| **接続を有効にする**          | 削除せずに無効化します。                                                          |

接続を削除すると完全に削除されます。この接続を通じてログインしたユーザーは、以後その接続を使用できなくなります。

<Note>
  IDプロバイダー側の設定にはStytch組織が必要です。これらの識別子がない場合は、組織のプロビジョニングについて [サポート](mailto:support@thunderphone.com) にお問い合わせください。
</Note>

## 次のステップ

<CardGroup cols={2}>
  <Card title="チームを招待" icon="user-plus" href="/ja/guides/invite-your-team">
    SSO以外で参加するメンバーのロールと招待について説明します。
  </Card>

  <Card title="アカウントとセキュリティ" icon="shield" href="/ja/guides/account-and-security">
    各メンバーにおけるパスキー要件の表示方法を説明します。
  </Card>
</CardGroup>