組織レベルの SSO招待のみ
組織内のすべてのアカウントのシングルサインオン (SSO) を管理できます。
ビジネスが複数の Stripe アカウントで運営されていて、ユーザーの認証にシングルサインオン (SSO) を使用している場合は、 Stripe 組織で SSO を一元的に設定できます。すでに SSO が組織に設定されているアカウントを追加することも、組織の作成後にすべてのアカウントに SSO を設定することもできます。
SSO を使用して設定したアカウントを組織に追加する![](https://b.stripecdn.com/docs-statics-srv/assets/fcc3a1c24df6fcffface6110ca4963de.svg)
すでに複数のアカウントで SSO を設定している場合は、組織に追加する前に、アカウントで同じ SSO 設定を共有する必要があります。そのためには、Stripe アカウントごとに別々のアイデンティティープロバイダー (IdP) アプリと SSO システムを、IdP ごとに 1 つのシステムに統合する必要があります。既存の Stripe アカウントの SSO システムを統合する方法をご覧ください。
組織を作成すると、Stripe は、組織のユーザー認証設定にアカウントの SSO 設定を統合します。このアクションにより、個々のアカウントの読み取り専用の SSO 設定が変更されます。アカウントのユーザーは、引き続き、SSO を使用せずにアカウントにサインインできます。ただし、編集できるのは、確認済みドメインと適用などの組織レベルでの特定の設定のみです。
組織全体で SSO を設定する![](https://b.stripecdn.com/docs-statics-srv/assets/fcc3a1c24df6fcffface6110ca4963de.svg)
各アカウントで個別に SSO を設定するのではなく、組織のすべてのアカウント全体で SSO を一元的に設定できます。組織レベルで確認済みのドメインまたは SSO 設定は、組織内のすべてのアカウントに適用されます。
各ドメインの SSO 設定![](https://b.stripecdn.com/docs-statics-srv/assets/fcc3a1c24df6fcffface6110ca4963de.svg)
確認済みのドメインごとに個別の SSO 設定を行うことも、同じ SSO 設定を複数のドメインに再利用することもできます。たとえば、同じ組織内で、1 つのドメインで SSO を必須にし、別のドメインでは SSO を任意に設定したり、全体的に無効にしてメールアドレスとパスワードによるログインを有効にしたりすることができます。
複数のアイデンティティープロバイダー![](https://b.stripecdn.com/docs-statics-srv/assets/fcc3a1c24df6fcffface6110ca4963de.svg)
Stripe では、確認済みドメインごとの IdP が 1 つのみである場合に複数の IdP を使用できます。たとえば、rocketrides.
メールアドレスを使用するユーザーが Okta で認証するように設定したり、rocketdelivery.
メールアドレスを使用するユーザーが AzureAD で認証するように設定できます。
アカウントレベルの役割と組織レベルの役割を割り当てる![](https://b.stripecdn.com/docs-statics-srv/assets/fcc3a1c24df6fcffface6110ca4963de.svg)
組織レベルの SSO は、1 つのアカウント内の SSO と同様に動作します。Stripe は IdP から SAML アサーションを受け取ると、その SAML アサーション内で指定されたアカウントと役割を調べます。この情報に基づいて、Stripe はユーザーに役割を割り当てます。単一のアカウントレベルの役割、単一の組織レベルの役割、またはアカウントレベルと組織レベルの両方の役割の組み合わせを割り当てることができます。
これらの役割を割り当てる際は、アカウント ID には Stripe-Role-{accountID}
、組織 ID には Stripe-Role-{org-id}
のプレフィックスを使用します。アカウントレベルのアカウント ID を含むクレームと、組織レベルの組織 ID を含むクレームを割り当てます。アカウントレベルと組織レベルの役割の詳細をご確認ください。
以下の SAML アサーションのスニペットでは、ユーザーに対して 3 つのクレームが行われています。
acct_
では、ユーザーにONE developer
役割が割り当てられますacct_
では、ユーザーにTWO developer
役割が割り当てられますorg_
では、ユーザーにALPHA view-only
役割が割り当てられます
これらのアサーションの結果として、Stripe はこのユーザーに、acct_
アカウントと acct_
アカウントで developer
の役割のセッションを許可します。さらに、org-ALPHA
組織とその組織内のすべてのアカウントで view-only
の役割を割り当ます。
<saml2:Attribute Name="Stripe-Role-acct_ONE" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified"> <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">developer</saml2:AttributeValue> </saml2:Attribute> <saml2:Attribute Name="Stripe-Role-acct_TWO" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified"> <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">developer</saml2:AttributeValue> <saml2:Attribute Name="Stripe-Role-org_ALPHA" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified"> <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">view_only</saml2:AttributeValue>