Unlock with SSOの問題は、設定を担当する管理者の側で起きるものと、切り替えた後の社員の側で起きるものに分かれます。社員の側の問題の多くは、紐づけた端末が手元にない、またはアカウントパスワードとSecret Keyが分からないという2つに行き着きます。どちらも最後は管理者の復旧で解決しますが、復旧に進む前に確かめることを決めておくと、不要な復旧を減らせます。このページでは、切り分けの順序、設定時の問題、社員がサインインできないとき、環境に起因する問題、端末をなくしたとき、IDプロバイダーやメールアドレスを変えるとき、MSPの技術者が設定するときの対応を説明します。
切り分けの順序
問い合わせを受けたら、次の順に確かめます。
- 設定の段階か、切り替えた後か。前者は管理者の問題で、後者は社員の問題です。
- 1Passwordのメールアドレスと、IDプロバイダーでサインインするメールアドレスが一致しているか。
- サインインアドレスが組織固有のものか。
my.1password.comではサインインできません。 - 紐づけた端末が何台あり、今どれが手元にあるか。
- アプリが最新か。更新しても直らなければ、端末を再起動します。
ここまでで解決しない場合に、復旧を検討します。
設定時の問題
管理者が接続を設定する段階で起きる問題です。
接続のテストに失敗する
作業している管理者自身が、IDプロバイダーのアプリケーションに割り当てられているかを確かめます。メールアドレスの一致も確かめます。OktaではアプリケーションのDomain Name、JumpCloudでは一般のユーザーとしてサインインしているかも確かめます。テストに成功するまで設定は保存されないので、失敗しても既存の設定は残っています。
400のエラーが出る
Entra IDとの接続のテストや、最初の端末の紐づけで400: invalid User Info endpoint or requestと表示される場合があります。Entra IDのユーザーの表示名、名、姓に、<>%"\;[]{}のいずれかの文字が含まれていないかを確かめ、含まれていれば取り除きます。
期限が切れて全員が入れない
Entra IDのクライアントシークレットの有効期限が切れると、SSOを使っている全員がアイテムにアクセスできなくなります。新しいシークレットを作り、構成の編集で登録し直します。手順はMicrosoft Entra IDでの設定で扱います。所有者はアカウントパスワードで入れるので、この作業は所有者が行えます。
社員がサインインできないとき
切り替えた後の社員から寄せられる代表的な問い合わせです。
アカウントパスワードとSecret Keyを求められる
切り替えの最初の一度は、この2つが必要です。分からない場合は管理者が復旧し、本人は復旧の途中でIDプロバイダーでのサインインに移ります。招待を受けて参加する途中で求められた場合は、30分ほど待ってからやり直してもらいます。
確認コードの表示が出ない
紐づけ済みの端末の側で、対象のアカウントのロックが解除されているかを確かめます。解除して数分待ち、新しい端末の手順をやり直してもらいます。確認コードの在りかは端末の紐づけと新しい端末での利用で扱います。
ブラウザーを閉じるとサインアウトされる
閲覧データを消すポリシーが原因のことが多く、サインインアドレスを対象外にします。どのブラウザーが紐づけたブラウザーか本人が分からない場合は、メールのリンクを開いて起動するブラウザーを確かめてもらいます。切り替えの案内をメールのリンクから開いているため、そのブラウザーである可能性が高いためです。Outlookを使っている場合は、既定でMicrosoft Edgeが開きます。
環境に起因する問題
1Password 7を使い続けている人は、SSOの対象グループに入れるとデータがアカウントと同期しなくなります。1Password 8へ更新してもらってください。1Password 7は2027年の早い時期に提供を終える予定です。
モバイルのMicrosoft EdgeをIntuneで管理している場合は、アプリ保護ポリシーで1PasswordのURLスキームを除外する必要があります。除外するアプリの名前に1Password、値にiOSではonepassword、Androidではcom.onepassword.androidを入れて保存し、管理対象の端末でSSOのサインインを試します。
1Password CLIでSSOのサインインができない場合は、CLIがデスクトップのアプリと接続されているかを確かめます。ブラウザー拡張機能にサインインできない場合も、デスクトップのアプリとの接続を確かめます。
端末をなくしたとき
SSOでサインインしていた端末をなくし、見つからない場合は、次の順で対応します。
- 本人のIDプロバイダーのパスワードをリセットします。
- 管理者が直ちに復旧を始めます。復旧すると、なくした端末を含む全ての端末のデバイスキーが無効になります。
- なくした端末の認証を取り消します。
- 復旧が済んだら、本人が手元の端末を紐づけ直します。
IDプロバイダーやメールアドレスを変えるとき
IDプロバイダーを別のものに移す場合は、シングルサインオン（SSO）の管理から構成の編集を選び、新しいIDプロバイダーの手順で設定し直します。接続できるのは1つだけなので、切り替えた時点で古い接続は使われなくなります。
自動プロビジョニングを併用している場合は、一時停止中の人のメールアドレスを変えないでください。IDプロバイダーによっては一時停止中の人の変更を同期せず、解除したときに新しい人として扱われ、SSOで入れなくなることがあります。手順はメールアドレスの変更で扱います。
MSPの技術者が設定するとき
MSPの技術者は、管理対象企業の中でUnlock with SSOを設定できません。設定するには、技術者が自分をチームメンバーとして招待し、そのアカウントを管理者グループに加えてから、そのアカウントでサインインして設定します。このアカウントはライセンス数に数えられます。
【運用のポイント】 復旧は、社員の端末の紐づけを全てやり直させる重い手続きです。ヘルプデスクでは、切り分けの順序の5点を確かめてから復旧に進むことを手順書に明記してください。