-
Qualtrics Platform -
Customer Journey Optimizer -
XM Discover -
Qualtrics Social Connect
記事テンプレート
SSOによるユーザーとブランドのマネージャーについて
シングルサインオン（SSO）により、ユーザーは組織内のログインシステムを使用してクアルトリクスを認証することができます。この3つの大きなメリットは、セキュリティの向上、ユーザーのシームレスなログイン体験、ブランド管理者のユーザー管理の簡素化です。
- セキュリティの向上：SSOによる認証に成功しない限り、ユーザーはクアルトリクスアカウントにアクセスできません。
- シームレスなログインエクスペリエンス：ユーザーは、クアルトリクス・プラットフォームにログインするために、複数のログイン認証情報を覚える必要がなくなります。代わりに、1つのポータルとログイン認証情報を使用して、組織のメインポータル、クアルトリクス、およびITチームがSSOに統合したその他のソフトウェアにアクセスすることができます。
- ユーザー管理の簡素化：SSOにより、組織のITシステムに保存されている情報を使用してクアルトリクスユーザーを管理できるため、大規模ライセンスの管理が容易になります。例えば、クアルトリクスは、ユーザーアカウントにユーザー名、姓、名、電子メールの値を割り当てるために、システムから渡されるユーザー属性を使用することができます。また、ユーザータイプ、部署、グループのマッピングにより、ユーザーアカウント権限を自動的に割り当て、更新することもできます。これらの機能は、アカウントが常に正しい権限を持ち、正しい管轄下にあることを保証するのに役立ちます。これにより、ブランド管理者がユーザーアカウント情報と権限を手動で管理する必要があった管理作業が軽減されます。
ユーザーの自動登録
クアルトリクスには、ユーザーが認証機能に成功したものの、まだクアルトリクスブランドにアカウントを持っていない場合に、ユーザーアカウントを作成する機能があります。ユーザーがSSO経由でクアルトリクスにログインすると、システムはユーザーのシステムから渡されたユーザー名の値を受け取り、クアルトリクスブランドで検索します。ユーザー名の値を持つアカウントが存在しない場合、クアルトリクスシステムはそのユーザーのアカウントを作成します。このプロセスは一般的に “ジャストインタイム・ユーザープロビジョニング “と呼ばれている。
自己登録でユーザーを作成する場合、クアルトリクスシステム内でユーザー名が複製される問題を防ぐため、クアルトリクスユーザー名の末尾に#brandIDというサフィックスが追加されます。サフィックスはブランドごとに異なり、ユーザーがいるクアルトリクスインスタンスのブランドIDを使用して形成されます。例えば、ブランドIDが “fakeenvironment “の場合、サフィックスは “#fakeenvironment “となります。
SSOが有効なブランドは、SSOまたは非SSOを問わず、すべてのユーザーが#brandIDサフィックスを持つようにすることをお勧めします。
例John Doeがクアルトリクスブランド「fakeenvironment」にSSOでログインしようとすると、次のようになります：
- ユーザーがSSO経由で認証機能に成功すると、システムはいくつかのユーザー属性を引き継ぎます。渡されるユーザー名は “johndoe@email.com “である。
- するとクアルトリクスは、fakeenvironmentブランドにユーザー名「johndoe@email.com#fakeenvironment」のアカウントがすでに存在するかどうかをチェックします。
- fakeenvironmentブランド内に以下のユーザー名（リスト順にチェック）を持つアカウントがある場合、ユーザーはそのアカウントにログインします：
- “johndoe@email.com#fakeenvironment”
- “johndoe@email.com”
- ステップ3でリストアップされたユーザー名のどちらかの値を持つアカウントが存在せず、ブランドに対して自己登録が有効になっている場合、クアルトリクスシステムは、ユーザーのEメールに渡された値を参照し、そのEメールのドメインが検証リストで説明されていることを確認します。ユーザーのメールに検証可能なドメインが含まれている場合、クアルトリクスシステムはユーザー名 “johndoe@email.com#fakeenvironment” でアカウントを作成します。
ユーザーの姓と名の値を渡すと、クアルトリクスシステムはそれらの値を使用して、ユーザーアカウントに関連付けられた姓と名を入力します。そうでない場合は、ユーザー名の値が姓と名のフィールドに入力されます。
ログインポータルのカスタマイズ
クアルトリクスには、ユーザーがLDAP SSO経由でログインする際に、ログインページの説明を表示する機能があります。ブランド管理者は、管理者ページの組織設定タブに表示されるテキストを編集することができます。
ユーザー権限の割り当て
ユーザータイプ、部署、グループマッピング
ユーザーがSSO経由でクアルトリクスにログインする際、ユーザー属性を通じてユーザーに関する追加情報を組織システムから渡すことができます。クアルトリクスは、この情報を使用して、ユーザーのユーザータイプ、部署、グループを割り当て、更新することができます。これは一般的にマッピングと呼ばれている。SSOの実装を購入された場合、このユーザータイプ、部署、グループのマッピングは、クアルトリクスのSSOチームがお客様やお客様のITチームと密接に連携しながら、希望の属性が含まれるように実装します。SSOを独自に設定する場合は、接続を設定する際にこれらの属性のマッピングを設定できます。
SSO設定によっては、ユーザー属性がログインごとに更新される場合があります。つまり、ブランド管理者が行ったユーザーのユーザータイプまたは部署への変更は、ユーザーの次回のログインで上書きされます。これは以下のいずれかの方法で防ぐことができる：
- 組織のITチームは、User Typeまたは部署属性内のユーザーに渡される値を更新する。
- ブランド管理者は、ユーザータイプや部署を変更するのではなく、ユーザーレベルでユーザーの権限を管理します。
- ログインごとにユーザー属性を更新する SSO設定を無効にする。
ユーザーは一度に複数のグループに属することができるため、ユーザータイプや部署をマッピングするのとは異なり、グループをマッピングしても、ブランド管理者がユーザーのグループに加えた変更が上書きされることはありません。
クアルトリクスが参照できる属性は、ユーザー属性、部署属性、グループマッピングのそれぞれ1属性のみです。どのユーザータイプまたは部署にユーザーを割り当てるべきかを示す値は、すべてのユーザーに対して同じ属性内で渡されなければなりません。クアルトリクスでは、最大50のグループマッピング条件を設定でき、それぞれがRegExを使用できるため、柔軟性があります。
例以下は、”department “属性に基づくユーザー・タイプのマッピング条件の例です：
- 部門がHRの場合、ユーザー・タイプは標準ユーザー・タイプとなります。
- 部門がHRまたはアカウントに等しい場合、ユーザータイプは標準ユーザータイプになります。
- 部門にHRが含まれる場合、ユーザー・タイプは標準ユーザー・タイプとなります。
- 部署がHRでない場合、User TypeはLimited User Typeとなります。
- 部署がHRでもアカウントでもない場合、User TypeはLimited User Typeとなります。
クアルトリクスは、クアルトリクス内のユーザータイプと部署のマッピング条件に基づき、ユーザータイプと部署のマッピングを順番に適用します。つまり、ユーザーを特定のユーザータイプや部署に割り当てる際に、システムが考慮する条件を複数設定した場合、クアルトリクスは一番上の条件から順に下に向かって設定します。
例心理学部門のすべてのユーザーを標準ユーザー・タイプに、ビジネス部門のすべてのユーザーを限定ユーザー・タイプに割り当てるために、ユーザー・タイプのマッピングが設定されているとします。もし新規ユーザーがSSO経由でクアルトリクスにログインし、所属する学部が「心理学」と「ビジネス」の両方であった場合、おそらく彼は両方の分野で講義を担当しているため、システムはマッピングでアウトライン化されたユーザータイプに彼を割り当てます。フォローアップの結果、ユーザーには自動的に「標準ユーザー・タイプ」が割り当てられます：
- 部門が心理学に等しい場合、ユーザー・タイプは標準ユーザー・タイプになります。
- 部門がBusinessの場合、ユーザータイプはLimited User Typeとなります。
クアルトリクスは、SAML回答内のユーザー属性値に基づいて、グループマッピングを順番に適用します。つまり、あるグループにユーザーを割り当てる際に、システムが考慮する条件を複数設定した場合、システムは一番上の条件から始めて、下に降りていきます。
例心理学部門のすべてのユーザーを心理学グループに、ビジネス部門のすべてのユーザーをビジネスグループに割り当てるために、グループマッピングが設定されているとします。新規ユーザーがSSO経由でクアルトリクスにログインし、おそらく両方の分野のコースを教えているため、所属部署に「心理学」と「ビジネス」の両方を回答した場合、システムはSAML回答に概要が記載されている方のグループに最初に割り当てます。SAML 回答が以下を通過した場合、ユーザは自動的に Psychology Group に割り当てられる：
<AttributeStatement>
<属性名="department">
<AttributeValue>;心理学<</AttributeValue>
</Attribute>
;
<AttributeValue>属性</AttributeValue>
</Attribute>
</AttributeStatement>
ビジネスユーザーがユーザータイプのマッピング条件にない値を渡した場合、ブランド管理者がそのブランドに設定したSelf-Enrollment(デフォルト)ユーザータイプに自動的に割り当てられます。
もしユーザーが部署やグループのマッピング条件にない値を渡した場合、そのユーザーは部署やグループにアサインされません。ユーザーは部署に追加するか、ブランド管理者がグループに追加する必要があります。
CXダッシュボード 自動ロール登録
ユーザーがSSOでクアルトリクスにログインすると、お客様のシステムからアカウントに関する追加情報を送信することができます。クアルトリクスは、この情報を使用して、自動ロール登録によってアカウントのCXダッシュボードのロールを割り当て、更新することができます。
Cxダッシュボードのメタデータとしてのユーザー情報の保存
ユーザーがSSOでクアルトリクスにログインすると、クアルトリクスのアカウントに関する追加情報をお客様のシステムから送信することができます。クアルトリクスには、この情報をCXダッシュボードに渡して更新し、メタデータとして保存する機能があります。クアルトリクスに引き継ぎたい属性については、ITチームとクアルトリクスSSOチームの間で必ず調整してください。
ユーザーアクセスの制限
検証メールドメイン
Just-in-Time User Provisioningが有効になっている場合、またはGoogle OAuth 2.0 SSOが使用されている場合、クアルトリクスはユーザー認証時にクアルトリクスブランドにリストされているValid Email Domainsを参照します。ユーザーがSSO認証に成功した後、クアルトリクスがそのユーザーの新しいアカウントを作成する前に、ユーザーのメールアドレスを調べて、そのメールのドメインがブランドの「検証可能なメールドメイン」のリストに含まれているかどうかを確認します。ユーザーのEメールが検証可能なドメインである場合、クアルトリクスシステムはあなたのブランドでユーザーのアカウントを作成します。ユーザーのEメールに有効なドメインがない場合、クアルトリクスシステムはユーザーのプラットフォームへのアクセスを拒否します。
クアルトリクスサポート担当者に、お客様のブランドの検証リスト（Valid Email Domains）を設定するよう依頼する場合、ワイルドカード（*）を使用するか、特定のEメールドメインを指定することができます。ワイルドカードを使用することで、SSOで自分らしくいられること認証に成功した人は誰でもクアルトリクスブランド内でアカウントを作成することができますが、特定のメールドメインを指定することで、クアルトリクスブランド内でアカウントを作成できる人を制限することができます。クアルトリクスブランド内でアカウントを作成するには、SSOによる認証に成功し、かつValid Email Domainをパスする必要があります。
クアルトリクスにアクセビリティを持つべき特定のEメールドメインを持つ少数のユーザーがいて、このドメインを持つすべてのユーザーが自己登録できるようにしたくない場合、ブランド管理者がこれらのユーザーのアカウントを手動で作成することができます。
有効なメールドメインのブランドリストに対する検証は、アカウント作成時にのみ行われ、ログインごとに行われるわけではありません。
ユーザータイプの検証
クアルトリクスには、ユーザータイプのマッピング属性に渡された値を検証する機能があります。この場合、ユーザーがSSO経由でクアルトリクスにログインしようとするたびにシステムが属性に渡された値を評価して、1つ以上の値がユーザータイプのマッピング条件に含まれているかを確認します。
例以下のようなユーザータイプのマッピング条件がセットされているとする：
- 部門が心理学の場合、ユーザータイプは心理学です。
- departmentがBusinessの場合、User TypeはBusinessになります。
SSO経由でクアルトリクスにログインしようとしたユーザーが、所属部署に「心理学」も「ビジネス」もパスしなかった場合、クアルトリクスはそのユーザーのアクセスを拒否します。