コンソール SSO
コンソール SSO を利用すると、チームメンバーが自社のアイデンティティプロバイダー (IdP)（Microsoft Entra ID、Okta、Google Workspace など）を使って Logto Cloud コンソール にサインインできます。メールドメインを検証したメンバーは、Logto Cloud へのサインイン時に自社の IdP へリダイレクトされます。
コンソール SSO は Logto Cloud そのものへのサインインのみを対象としています。自社アプリケーションに自社ユーザーが自社の IdP でサインインできるようにするには、テナントで エンタープライズシングルサインオン (SSO) を利用してください。
コンソール SSO の仕組み
- アカウント単位で管理されます（テナント単位ではありません）。 コンソール SSO コネクターは作成した Logto Cloud アカウントに紐づき、そのアカウントのみが管理できます。テナントプランの変更や削除は影響しません。
- テナントへのアクセス権は付与されません。 SSO でサインインしても本人確認のみであり、テナントを開くには招待またはメンバーシップが必要です。テナントメンバー管理 を参照してください。
- アカウント単位で課金されます。 コネクターごとにサブスクリプションで課金され、テナントプランとは別会計です。料金と請求 をご覧ください。
コンソール SSO の設定
コネクターの作成
- Logto Cloud コンソールで右上のユーザーメニューから シングルサインオン を選択します。コンソール SSO ページが新しいタブで開きます。
- コネクターを追加 をクリックし、アイデンティティプロバイダーを選択します。
- 初回のコネクター作成時は請求アカウントを選択し、Stripe Checkout で支払いを完了します。2つ目以降のコネクターは同じサブスクリプションに追加され、追加の決済は不要です。
- コネクターの設定ページが開きます。
接続の設定
接続 タブで IdP の設定値を入力します。入力項目はテナントの エンタープライズシングルサインオン (SSO) コネクター と同じです：
- OIDC：ページに表示される リダイレクト URI を IdP に登録し、発行者、クライアント ID、クライアントシークレットを入力します。
- SAML：ページに表示されるサービスプロバイダーのメタデータを IdP に渡し、IdP のメタデータを入力します。
SSO 体験 タブでは、サインインページに表示される名称を変更できます。
メールドメインの検証
コンソール SSO は、所有を証明したメールドメインのみに適用されます。
-
SSO 体験 タブで
example.comなどのドメインを入力し、ドメインを追加 をクリックします。 -
DNS プロバイダーに以下の TXT レコードを追加します：
種類 名前 値 TXT _logto-cloud-sso.example.comページに表示されるトークン -
ドメインのページを開いたままにしてください。Logto は 10 秒ごとにレコードを確認します。レコードが検出されると、そのドメインはコネクターに紐づき バインド済み と表示されます。その後、TXT レコードは削除できます。
1つのドメインは 1 つのコンソール SSO コネクターにしかバインドできません。バインド済みドメインを削除すると、そのドメインのメールアドレスでの SSO は停止します。再追加には再度検証が必要です。
このステップを待たずに課金が始まります。コネクターは作成された時点から課金され、接続設定やドメインの完了状況は問いません。
SSO でサインイン
Logto Cloud のサインインページで、メンバーは勤務先メールアドレスを入力します。そのドメインがコネクターにバインドされていれば、IdP へリダイレクトされサインインします。
料金と請求
各コネクターは 月額 128 米ドル（税別）です。アカウントごとに 1 つのコンソール SSO サブスクリプションがあり、その数量がコネクター数となります。
| 操作内容 | 発生すること |
|---|---|
| 初回コネクターを追加 | Stripe Checkout で初月分を支払い。支払日が毎月の請求日となります。 |
| 追加コネクターを追加 | すぐに追加されます。当月残り日数分の按分料金が次回請求に加算されます。 |
| コネクターを削除（他が残る場合） | 未使用期間分の按分クレジットが次回請求に充当されます。カードへの返金はありません。 |
| 最後のコネクターを削除 | サブスクリプションが即時キャンセルされます。既に支払い済みの場合、未使用期間分は支払方法に返金されます。 |
| キャンセル後にコネクターを追加 | Stripe Checkout で新規サブスクリプションが開始され、新たな請求日となります。 |
コネクターの設定やドメインを編集しても、料金は変わりません。
請求書の例
以下は 30 日月・税抜きでの例です。実際の按分は秒単位で計算されます。
| 日付 | 操作内容 | コネクター数 | 請求内容 |
|---|---|---|---|
| 11/1 | 初回コネクター追加 | 1 | チェックアウト時に $128.00 支払い。請求日は毎月 1 日 |
| 11/16 | 2つ目のコネクター追加（残り 15 日） | 2 | +64.00 が次回請求に加算 |
| 11/25 | コネクター削除（残り 6 日） | 1 | −25.60 が次回請求に充当 |
| 12/1 | 月次請求 | 1 | 12 月分 64.00 − 166.40** |
| 12/16 | 最後のコネクター削除（残り 15 日） | 0 | サブスクリプション即時キャンセル、$64.00 返金 |
サブスクリプションと請求履歴
コンソール上部バーの サブスクリプション を開くと、選択中のテナントに関わらずアカウントのサブスクリプションが表示されます。
- サブスクリプション には現在のサブスクリプション、料金、次回請求額、請求日が表示されます。支払い方法の管理 から支払い方法の更新や未払い請求書の支払いが可能です。
- 請求履歴 にはキャンセル済みも含めた請求書が一覧表示されます。請求書を選択すると、内容の確認や請求書・領収書のダウンロードができます。
支払い遅延について
支払いが失敗すると Stripe が再試行し、サブスクリプションは 期限切れ となります。コネクターは動作し続けますが、支払い方法の管理 から支払い方法を更新してください。
3 か月連続で未払い かつ再試行も失敗した場合、Logto はサブスクリプションを一時停止し、すべてのコネクターを削除 します。他のユーザーのコネクターやテナントには影響しません。請求書は請求履歴に残ります。
未払い請求書を後から支払っても、削除されたコネクターは復元されません。再度コンソール SSO を利用するには、お問い合わせ いただき一時停止サブスクリプションを精算後、新たにコネクターを追加してください。
コネクターやアカウントの削除
コネクターを削除するには、コンソール SSO ページから該当コネクターを開き、メニューから削除します。最後のコネクターを削除すると、上記の通りサブスクリプションがキャンセルされます。サブスクリプションが期限切れの場合は、未払い請求書を先に支払ってください。
Logto Cloud アカウントを削除する前に：
- すべてのコンソール SSO コネクターを削除してください。
- サブスクリプションがキャンセルされていることを確認してください。
- 未払い請求書がないことを確認してください。
トラブルシューティング
支払い済みなのにコネクターが表示されません
コネクターは Stripe からの決済確認を Logto が受け取った時点で作成されます（通常数秒以内）。コンソール SSO ページをリロードしてください。数分経っても表示されない場合は お問い合わせ ください。再度支払う必要はありません。コネクターが作成できない場合、Logto はサブスクリプションをキャンセルし自動で返金します。
コネクター追加時に「現在のサブスクリプションを解決してください」と表示される
既存のコンソール SSO サブスクリプションが新規コネクターの資金源にならない場合（多くは支払い遅延による一時停止）、お問い合わせ いただき、解決後にコネクターを追加してください。
コネクター作成が途中で失敗しました
同じページから再試行してください。Logto は新規作成ではなく同じコネクターの続きとして処理します。未完了コネクターを破棄するには やり直す を選択してください。作成失敗でサブスクリプションがキャンセルされたり課金されることはありません。
ドメインが検証済みになりません
TXT レコード名が _logto-cloud-sso. + ドメイン名となっているか、値がページのトークンと一致しているか確認してください。DNS 反映には時間がかかる場合があります。既に他のコネクターにバインド済みと表示される場合は、先にそちらから削除してください。