Microsoft Entra IDとOkta以外のIDプロバイダーでUnlock with SSOを設定する手順です。1Passwordの画面には、Google、Duo、OneLogin、JumpCloud、Ping Identity、Auth0の専用の選択肢と、それ以外に使うOtherが並びます。どれを選んでも、IDプロバイダー側でOpenID Connect（OIDC）のアプリケーションを作り、1Passwordとリダイレクトの値を交換する流れは同じです。違うのは入力欄の名前と、IDプロバイダー側でアプリケーションを作るときの選択肢です。このページでは、入力欄の違い、Google、JumpCloud、Auth0の手順、Duo、OneLogin、Ping Identityと一覧にないIDプロバイダーの手順、共通の仕上げを説明します。対象者と猶予期間の設定は導入前の確認とロールアウト設計で扱います。
1Password側の入力欄の違い
1Password.comのサイドバーでポリシーを選び、シングルサインオン（SSO）の管理を開きます。個人情報プロバイダを選択の画面でIDプロバイダーを選んで次へを選ぶと、詳細を入力の画面に進みます。接続の方法はどれも既定のAutomaticのままで構いません。入力欄は次の通りです。
| IDプロバイダー | 入力欄 |
|---|---|
Client ID、Well-known URL、Client secret (value) | |
| Duo | Client ID、Discovery URL |
| OneLogin、JumpCloud、Ping Identity、Auth0 | Client ID、Well-known URL |
Other | IDプロバイダーの名前、Client ID、Well-known URL |
Googleだけがクライアントシークレットを求めます。ただし、Entra IDと違って有効期限の欄はなく、1Passwordから期限前の通知は届きません。
Otherでは、最初にIDプロバイダーの名前を入れます。ここに入れた名前が、社員のサインイン画面のボタンに「〜でサインイン」の形で表示されます。入力欄の見本には氏名と表示されますが、入れるのは人の名前ではなく、社員が見て分かるIDプロバイダーの名前です。
Google Workspaceで設定する
Google Cloudのコンソールで次の順に進めます。
- 1Password用のプロジェクトを新しく作り、そのプロジェクトに切り替えます。
APIs & ServicesのOAuth consent screenでアプリ名とサポート用のメールアドレスを入れ、利用者の種類にInternalを選びます。BrandingのAuthorized domainsに、1Passwordのアカウントのリージョンのドメイン（1password.comなど）を追加します。Data Accessで、auth/userinfo.email、auth/userinfo.profile、openidのスコープを追加して保存します。ClientsでCreate clientを選び、種類にWeb applicationを選んで作成します。表示されたクライアントIDとシークレットを控えます。
1PasswordではGoogleを選び、Client IDとシークレットを貼り付けます。Well-known URLにはhttps://accounts.google.com/.well-known/openid-configurationを入れます。次へで表示されたリダイレクトURIを、Google側のクライアントのAuthorized redirect URIsに追加して保存します。
JumpCloudで設定する
JumpCloudでは、リダイレクトURIを先にJumpCloud側へ入れます。
- JumpCloudの管理画面で
User AuthenticationのSSO Applicationsを開き、Add New ApplicationからCustom OIDC Appを選びます。 - 表示名を入れ、
SSOタブのRedirect URIsに2つのURIを登録します。1つはhttps://で始まるサインインアドレスに/sso/oidc/redirect/を付けたもの、もう1つはアプリ用のonepassword://sso/oidc/redirectです。 Client Authentication TypeにPublic (None PKCE)を選び、Login URLにサインインアドレスを入れます。Attribute MappingでEmailとProfileを選んで有効にし、表示されたクライアントIDを控えます。User Groupsで、SSOを使わせるグループを選びます。
1PasswordではJumpCloudを選び、Client IDを貼り付けます。Well-known URLは、米国のリージョンならhttps://oauth.id.jumpcloud.com/.well-known/openid-configuration、EUのリージョンならhttps://oauth.id.eu.jumpcloud.com/.well-known/openid-configurationです。リダイレクトURIは登録済みなので、リダイレクトの設定はそのまま次へで進みます。
Auth0で設定する
- Auth0のダッシュボードで
ApplicationsからCreate Applicationを選び、種類にNativeを選んで作成します。 - 1Passwordでは
Auth0を選び、Client IDを貼り付けます。Well-known URLは、Auth0のアプリケーションに表示されるドメインを使い、https://、ドメイン、/.well-known/openid-configurationの順につなげます。 次へで表示された2つのリダイレクトURI（ブラウザー用とアプリ用）を、Auth0のAllowed Callback URLsにカンマで区切って入れます。Allowed Web Originsにサインインアドレスを入れ、変更を保存します。
Duo、OneLogin、Ping Identity、一覧にないIDプロバイダー
これらは、IDプロバイダー側の作業を汎用のOIDCの手順で行います。1Password側では、専用の選択肢があるものはそれを選び、ないものはOtherを選びます。
IDプロバイダー側でOIDCのアプリケーションを作り、リダイレクトURIを求められた段階で1Passwordの画面に戻ります。1Password側で入力を済ませて次へを選び、表示されたリダイレクトURIをIDプロバイダー側に登録します。
IDプロバイダーは、sub、name、emailの3つのクレームを返す必要があります。1Passwordはemailで最初の照合を行い、その後はsubで同じ人かどうかを判定します。subは、IDプロバイダーの中で変わらない一意の値でなければなりません。1Passwordは、認証のリクエストでemail、profile、openidのスコープを要求します。
OIDCに準拠していないIDプロバイダーには接続できません。ADFSは、Entra IDを経由する場合だけ使えます。
【注意】 IDプロバイダーの移行などでユーザーを作り直すと、
subの値が変わることがあります。1Passwordは保存済みのsubで照合するため、値が変わった人はそのままではサインインの照合が合わなくなります。IDプロバイダー側でユーザーを作り直す運用がある場合は、subに何の値が入るかを先に確かめてから導入してください。
共通の仕上げ
テストの前に、作業する管理者自身をIDプロバイダーのアプリケーションに割り当てておきます。1Passwordの画面でテストの段階に進み、接続をテストしてから保存します。テストに成功するまで設定は保存されません。
JumpCloudでテストが失敗する場合は、JumpCloudの管理者アカウントではなく一般のユーザーとしてサインインしているか、メールアドレスが1Passwordと一致しているかを確かめます。