Entra ID と Google Workspace の SAML/SCIM連携手順

前提条件と必要な権限

Entra ID と Google Workspace を SAML/SCIM で連携させるには、両システムの管理権限が必須です。本セクションでは、作業に最低限必要となるロールと、実装を円滑に進めるための環境要件をまとめます。権限が不足していると設定途中でエラーになるだけでなく、後続のプロビジョニングや条件付きアクセスポリシーまで手が付けられません。

対象者とロール

※ロールはテナント単位で付与されます。権限が不足している場合は、組織の上長や IT 部門に事前相談してください。

環境要件

Entra ID 側の SAML アプリケーション作成手順

このセクションでは、Azure ポータル上で「非ギャラリー」アプリとして Google Workspace 用の SAML 設定を行う流れを解説します。正しい構成情報（Identifier と Reply URL）を取得できれば、Google 側へのインポート作業がスムーズに進みます。

エンタープライズ アプリの新規作成

1. Azure ポータル https://entra.microsoft.com にテナント管理者としてサインインします。
2. 左メニューから 「エンタープライズアプリケーション」 を選択し、上部の 「+ 新規登録」 をクリック。
3. 「非ギャラリー アプリ」 を選び、名前を Google Workspace SAML と入力して 「作成」。
4. 作成完了画面で左ペインの 「シングルサインオン」 → 「SAML」 を選択し、構成ページへ遷移します。

Identifier (Entity ID) と Reply URL (ACS) の取得

• Identifier (Entity ID) は「基本的な SAML 構成」セクションに表示されます。例: https://sts.windows.net/<テナントID>/
• Reply URL (Assertion Consumer Service URL, ACS) も同セクションにあり、Google が要求するエンドポイントです。例: https://www.google.com/a/<ドメイン>/acs

※2026 年 UI のリニューアル情報は執筆時点で公式に未発表です（※情報が確定次第、本文を更新します）。UI が変わっても概念は従来と同じですので、項目名が多少異なる場合でも「Identifier」・「Reply URL」を探してください。

注意点

• 証明書の有効期限：デフォルトでは 1 年間有効です。期限切れになる前に Azure ポータルで再生成し、Google 側にも新しいメタデータを再インポートしてください。
• 属性マッピングは後述 の Google 設定で行うため、ここでは SAML の署名と暗号化設定だけに留めます。

Google 管理コンソールでのカスタム SAML アプリ設定

Google 側で Entra ID が発行したメタデータを取り込み、ユーザー属性のマッピングを行います。正しく構成できれば、Google のログイン画面から自動的に Entra ID 認証へ遷移します。

メタデータのインポート手順

1. Google Admin コンソール https://admin.google.com に管理者権限でサインイン。
2. 「セキュリティ」 → 「設定」 → 「シングルサインオン (SSO)」 を開く。
3. 「カスタム SAML アプリを追加」 をクリックし、アプリ名を Entra ID など任意で入力。
4. 「メタデータファイルのアップロード」で、Azure ポータルからダウンロードした SAML メタデータ XML を選択し、インポートする。

属性マッピング設定

• 手順：属性マッピング画面で 「属性の追加」 をクリックし、上表の通りに設定後 「保存」。
• カスタム属性（例: 部署）を追加したい場合は、Google 側でカスタムスキーマを作成し、extensionAttribute1 などとマッピングできます。

補足情報

• メタデータの再インポートが必要になるケース：Azure の証明書ローテーション、Identifier/Reply URL の変更、または Google 側で SSO 設定をリセットした場合。
• 属性マッピングに不備があると、Google のプロフィール画面に正しい情報が表示されないため、テストユーザーで必ず確認してください。

SCIM によるユーザープロビジョニングの有効化

SCIM を利用すると、Entra ID 上で行ったユーザー追加・変更・削除がリアルタイムで Google Workspace に反映されます。ここでは、必要な API 権限取得から Azure 側設定までをステップバイステップで示します。

必要な API 権限と管理者同意手続き

1. Azure ポータルの 「エンタープライズアプリケーション」 → 作成した Google Workspace SAML アプリを開く。
2. 左メニューの 「プロビジョニング」 → 「属性マッピング」 画面で、上部の 「権限」 タブに移動。
3. 「API 権限」 に以下を追加し、管理者同意 を求める。
4. Directory.ReadWrite.All（テナント全体のディレクトリ操作）
5. User.ReadWrite.All（ユーザー属性の読み書き）

同意画面が表示されたら、組織内の Azure AD 管理者が承認する必要があります。

SCIM エンドポイント URL とベアラートークン取得手順

Azure 側でのプロビジョニング設定

1. 「プロビジョニング」 タブ → 「SCIM 設定」 を選択。
2. 「SCIM エンドポイント URL」に上記ユーザーエンドポイント（例：https://www.googleapis.com/scim/v2/Users）を入力。
3. 「ベアラートークン」欄に ステップ 5 で取得したクライアントシークレット を貼り付け、「保存」。
4. 「テスト接続」 ボタンで通信が成功すれば、「自動プロビジョニング開始」 スイッチをオンにします。

接続テストと同期の確認

• Azure の 「属性マッピング」 画面で、Google 側に送信する属性（userName, emails, name.givenName など）を必要に応じて調整。
• テストユーザーを Entra ID に追加し、数分後に Google Admin コンソールの 「ディレクトリ」→「ユーザー」 に反映されるか確認します。

条件付きアクセスと MFA のベストプラクティス

SSO の利便性だけでなく、セキュリティ面でも適切なガードレーンを設けることが重要です。ここでは、Entra ID の条件付きアクセスポリシーと Microsoft Authenticator / FIDO2 キーによる MFA の設定例を示します。

基本的なポリシー例

ポリシー作成手順

1. Azure ポータル → 「条件付きアクセス」 → 「+ 新しいポリシー」 をクリック。
2. 対象ユーザー/グループ に全員、または特定のロール（例: Google Workspace Users）を指定。
3. クラウド アプリ で先ほど作成した Google Workspace SAML を選択。
4. 条件 → 「場所」 で「信頼できる IP アドレス」以外を除外し、「アクセス制御」 → 「多要素認証を要求」 にチェック。
5. 有効化 を忘れずに行い、ポリシーの状態が 「オン」 になることを確認。

推奨 MFA 方法

• 登録手順：ユーザーは Azure AD の 「認証方法」 ページから MFA デバイスを追加。
• ロールアウト戦略：まず管理者グループでパイロット運用し、問題がなければ全社展開するのが安全です。

テスト・トラブルシューティング と運用チェックリスト

設定完了後は必ずエンドツーエンドのテストを実施し、想定外のエラーに備える必要があります。また、定期的な監査で設定 drift（設定漂流）を防止します。

エンドツーエンドテストフロー

1. 任意のブラウザで https://mail.google.com にアクセス。
2. Google のログイン画面が表示されたら 「組織アカウントでサインイン」 を選択し、Entra ID の認証ページへリダイレクトされることを確認。
3. Entra ID でユーザー名・パスワード（＋MFA）を入力し、正常に Gmail の受信トレイが表示されたら成功です。

主なエラーコードと対処法

定期的な運用・監査項目

• サインインレポート：Entra ID の「サインイン」レポートで SAML 認証成功率を月次で確認。
• 属性同期ステータス：Google Admin コンソールの SCIM 同期ログを週1回チェックし、エラーが出ていないか確認。
• 証明書ローテーション：SAML 証明書は 12 ヶ月ごとに更新し、両側のメタデータを同時に差し替える。
• MFA 利用率：Azure AD の「認証方法」レポートで Microsoft Authenticator と FIDO2 キーの採用率を把握し、未導入ユーザーへ周知促進。

まとめ（要点整理）

上記手順とベストプラクティスに沿って実装すれば、Entra ID と Google Workspace のシングルサインオン環境を安全かつ自動化された形で構築できます。今後 UI が変更されたり新機能が追加された場合は、本稿を都度更新し、最新情報へ適合させてください。