SAMLログインを設定する

SAMLオプションプランでSAML SSOでのログインが可能なプロダクト

freeeアカウントを利用する全プロダクトでSAML SSOによるログインができます。

freeeログイン画面に［SAML SSOでログイン］のボタンが存在しないプロダクトにSAML SSOでログインする場合は、一度別プロダクトにSAML SSOでログインし、プロダクトを切り替えます。

SAMLオプションプランを契約・解約する

営業担当者にお問い合わせください。

IDプロバイダ（IdP）でSAMLログインするアプリを作成する

Okta、OneLoginを始めとするIDプロバイダ（IdP）でSAMLログインするアプリケーションを作成します。

freeeのSAML設定画面から設定を確認する

freeeアカウント管理画面から、SAML設定に必要な情報を確認します。

freeeアカウント管理の［事業所管理］メニュー →［セキュリティ］を開き、［SAML SSO］のセクションからSAMLの設定を行います。

1. ［SAML SSOを設定する］ボタンをクリックします。

2. 画面中央のサービスプロバイダー情報を確認します。
   

   Entity ID、 ACS URLは事業所ごとに異なります。

IDプロバイダ（IdP）でアプリを作成する

IDプロバイダ（IdP）でアプリを作成します。

上述「freeeのSAML設定画面から設定を確認する」で確認したfreeeの「Entity ID」、「ACS URL」、 「NameID Format」を利用して設定を行います。

Oktaの場合

Okta上でSAMLログインするアプリケーションを作成します。現在はカスタム統合のみをサポートしています。詳しくはOktaのヘルプページ「SAMLアプリ統合を作成する」をご確認ください。

以下の必須パラメータのみ設定いただければ動作します。

OneLoginの場合

OneLogin上でSAMLのカスタムコネクタのみをサポートしています。詳しくは「OneLoginのヘルプページ」をご確認ください。また、OneLoginのアプリケーションの各パラメータには以下の値を入れてください。

Microsoft Entra ID（旧：Azure Active Directory）の場合

SAMLの設定から設定することができます。Microsoft Entra 管理センターからアプリケーション →「エンタープライズアプリケーション」を作成してください。

その後、「シングルサインオンの設定」から以下の項目を設定してください。

IDプロバイダ（IdP）からメタデータXMLをダウンロードする

freeeでSAML設定に利用するメタデータをIDプロバイダ（IdP）からダウンロードします。ここではいくつかのIDプロバイダ（IdP）におけるダウンロード方法について紹介します。

Oktaの場合

OktaからSAML設定を行うメタデータをダウンロードします。詳しくは「Oktaのヘルプページ」をご確認ください。

OneLoginの場合

OneLoginからSAML設定を行うメタデータをダウンロードします。［More Action］→［SAML Metadata］をクリックしてメタデータをダウンロードしてください。

Microsoft Entra ID（旧：Azure Active Directory）の場合

［SAML署名証明書］→［フェデレーションメタデータXML］の［ダウンロード］からダウンロードしてください。

freeeにIDプロバイダ（IdP）からメタデータをアップロードする

IDプロバイダ（IdP）からダウンロードしたSAMLのメタデータをアップロードします。

1. ［SAML SSO設定］を開きます。
2. ［IDプロバイダ（IdP）の設定］→ ［メタデータをアップロード］からメタデータをアップロードします。
   

3. ［保存する］ボタンをクリックします。

   この段階ではSAML設定は有効になりません。

   後述の「接続テストを行ってSAMLを有効にする（SP Initiated対応IdPのみ）」の手順を実行して、SAMLの設定を有効にしてください。

   設定を更新する場合は［保存する］ボタンをクリックするまではSAML接続の設定は更新されません。

接続テストを行ってSAMLを有効にする（SP Initiated対応IdPのみ）

IdPがSP Initiatedに対応している場合は接続テストを実行して、設定が有効になっていることを確認できます。

【事前準備】IdPのアプリに接続テスト実行するユーザーを追加する

freeeのSAML 接続テストは実際にSAMLの通信を行って接続テストを行います。そのため、接続テストの前にIdPのアプリに接続テストを実行するユーザーを追加した状態にすることが必要です。

事前準備が終わった状態のイメージ

• 前提：freee上でSAMLを設定するユーザーのメールアドレス「freee-saml-sample@example.com」
  • 「freee-saml-sample@example.com」のユーザーはIdPに招待されている
  • 「freee-saml-sample@example.com」のユーザーはIdP上で作成される freeeのSAMLコネクターアプリに追加する

事前準備の手順

1. 前述の手順までを実行して、メタデータをアップロードできる状態にします。
2. 接続テストを実行するユーザーのIdPのUserを、IdPのアプリに追加します。
   • Oktaの場合：
     Oktaのヘルプページ「ユーザーにアプリの統合を割り当てる」の手順をご参考ください。
   • OneLoginの場合：
     「OneLoginのヘルプページ」の手順をご参考にマニュアルで追加してください。
3. ［接続テスト（外部サイトに移動）］のボタンをクリックして、接続テストを実行します。
   

4. 接続テストに失敗した場合はエラーメッセージを確認し、設定を再確認します。
   

   よくある設定ミスやエラー解消方法

   • エラー内容：
     NameIDが未設定、または255文字を超えています。
     • 対応方法：NameID formatが emailAddress以外を指定しているため、 Emailアドレスを指定してください。
     • （IdPの仕様に依ります）IdPのusernameがemailアドレスになっていない → IdPのusernameにemailアドレスを入れてください。
   • エラー内容：
     IdP 側で HTTP Post Binding または HTTP Redirect Binding がサポートされていません。
     • 対応方法： 接続テストはSP initiatedで行っており、認証要求をHTTP Redirect Bindingで行い、レスポンスを受け取るので現状のmetadataに追加で以下が必要です。
     • <md:SingleSignOnService Binding=""urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"" Location=""<sso_url>"">
5. 接続テストに成功した場合は次の手順に進みます。
   接続テストに成功すると、「接続テストに成功しました。」のメッセージが表示されます。
   

6. ［有効にする］ボタンをクリックしてください。これでSAML接続が有効になります。有効化に成功すると「SAML SSOを始める準備ができました」のメッセージが表示されます。
   

   IdPがSP Initiatedに対応していない場合は接続テストができません。

freeeで人単位でSAML ログインを有効にする

freeeではSAMLログインを有効にする従業員を選択することができます。
ここではfreeeにSAMLログインする人を選択し、その人にSAMLログインを利用してもらう手順を示します。

なお、本セクションの操作は毎月の従業員入社に伴って、SAMLログインを有効にする際に毎月行う操作になります。

1. ［事業所管理］メニュー →［メンバー］をクリックします。
2. ［一括操作］→［SAML SSOの一括有効設定］をクリックします。
   
3. SAMLログインの対象にしたい人を選択し、［有効にする］ボタンをクリックします。
   ※ 本画面はSAMLの設定からも開くことができます。詳しくは後述の「Tips」部分をご確認ください。
   
4. 注意事項が表示されます。注意事項に問題なければ［有効にする］ボタンをクリックします。
   
5. メンバーがSAMLログイン可能になります。クリック後、有効にしたメンバーが一覧で表示されます。
   

6. SAMLログインが有効になったメンバーは、以下の方法でログインが可能になります。

   • お使いのIDプロバイダ（IdP）からログイン
   • freeeログイン画面の「SAML SSOでログイン」からログイン
   • freeeログイン画面からのSAMLログインは、「ログイン一覧」のリンク先のものをご活用ください。
   • SAML SSOを有効にしたメンバーはSAMLによるログインのみが利用できます。以下のログイン手段は利用できなくなります。
     • メールアドレスとパスワード
     • ソーシャルログイン
     • 二要素認証
     • パスキー
   • メンバーが複数の事業所に所属している場合、上記の制限はSAML SSOが有効になっている事業所への認証にのみ適用されます。同じメンバーが他の事業所にも所属しており、そちらの事業所でSAML SSOが無効である場合は、その事業所では従来どおりパスワード認証等の手段が利用できます。
   • 以下のアカウントはSAML ログインを有効にできません。
     • メールアドレスではなく、ログインIDでログインしているメンバー
       ※ ログインIDの詳細は「ログインIDで従業員を招待する」のヘルプページをご確認ください。
     • メール認証中のメンバー
     • アドバイザーとして顧問先事業所に所属しているメンバー（顧問先事業所において有効化不可。アドバイザー事業所で有効化可能）
   • また、SAML SSOを有効にしたメンバーは事業所作成をすることはできません。

   パスワードリセットを行うことで、事業所作成者はパスワードログインも利用可能です。
   事業所を作成した管理者ユーザーは例外として、SAML SSOが有効な事業所でもパスワードログインを併用できます。これはIdP障害時等の復旧手段を確保するための仕様です。

アドバイザー事業所での設定について

アドバイザー事業所でも、上記と同じ手順でSAML SSOの設定および人単位での有効化を行えます。設定方法に一般事業所との差はありません。

アドバイザー事業所のメンバーがログインする場合や、顧問先事業所への切り替えを行う場合の動作は、それぞれ次章以降をご覧ください。

SAMLログインを行う

SAML SSOが有効になったメンバーは、以下のいずれかの方法でログインできます。

お使いのIDプロバイダ（IdP）からログイン（IdP Initiated）

お使いのIDプロバイダ（IdP）にログイン後、freee用のアプリケーションをクリックして、対象のfreee事業所にログインします。事業所ごとにIdPアプリを作成いただいている場合は、ログインしたい事業所のアプリを選択してください。

freeeログイン画面の「SAML SSOでログイン」からログイン（SP Initiated）

1. freeeログイン画面の〔SAML SSOでログイン〕をクリックします。
2. メールアドレスを入力します。
3. 以降の流れは、所属するSAML有効事業所の数によって異なります（詳細は次節）。

複数の事業所に所属するメンバーのログイン

SAML有効事業所が1つの場合

メールアドレスを入力すると、そのまま対象のIDプロバイダ（IdP）へリダイレクトされ、認証後にログインが完了します。

SAML有効事業所が複数ある場合

初回ログイン時

1. メールアドレスを入力します。
2. 本人確認のため、入力したメールアドレス宛に確認コードが送信されます（所属する事業所一覧が第三者に表示されないようにするためのステップです）。
3. 確認コードをログイン画面に入力します。
4. SAMLログイン可能な事業所の一覧が表示されます。
5. ログインしたい事業所を選択すると、その事業所に連携されたIDプロバイダ（IdP）での認証画面に進みます。

2回目以降のログイン時

同じブラウザを使用している間はCookieが保持されるため、確認コードの入力は省略されます。メールアドレスを入力するとすぐに事業所一覧の選択画面に進みます。

アドバイザー事業所のメンバーがログインする場合

アドバイザー事業所がSAML SSO有効の場合、アドバイザーは原則としてアドバイザー事業所のIDプロバイダ（IdP）で認証してからfreeeにアクセスする仕様となります。

連携先の顧問先事業所への直接ログインは行えません（顧問先事業所へのアクセス方法は次章「SAMLログインを利用するユーザーが事業所切替を行う」をご覧ください）。

SAMLログインを利用するユーザーが事業所切替を行う

複数の事業所に所属するメンバーが、ログイン後に別の事業所に切り替えるときの動作について説明します。

事業所切替時の再認証

セキュリティ確保のため、切替元または切替先のいずれかがSAML SSO有効事業所の場合は、原則として切替時に再認証が必要です。

推奨される切り替え経路

事業所の切り替えは、以下のいずれかの画面から行うことを推奨します。

• 共通メニューバー（画面ヘッダー部分）の事業所切替
• freeeアカウント管理画面の事業所切替
• freee顧問先管理画面（アドバイザー事業所の場合）

これらの経路から切り替えると、再認証が必要な場合でも自然な画面遷移となります。

• 切替先がSAML事業所の場合：その事業所のIDプロバイダー（IdP）ログイン画面が直接表示されます。
• 切替先がSAML以外の事業所の場合：freee共通ログイン画面が表示されます。

上記以外の経路から事業所切替を実行すると、ログアウトに近い動作となり、SAML事業所への切り替え時はSAML事業所一覧から事業所を選び直すステップが追加で挟まる場合があります。スムーズに切り替えるために、推奨経路からの操作をおすすめします。

アドバイザー事業所から顧問先事業所への切り替え

アドバイザー事業所でSAML SSOが有効なメンバーが、アドバイザー事業所から連携済みの顧問先事業所に切り替える場合、再認証は不要です。アドバイザー事業所での認証が引き継がれ、追加の操作なしで顧問先事業所にアクセスできます。

モバイルアプリでの利用にあたっての制約

切り替え元または切り替え先がSAML有効事業所の場合、事業所を切り替えるときに発生する再認証は、モバイルアプリ単体では完了できません。

複数の事業所間で切り替えたい場合は、いったんWebブラウザでログインし、Web上で事業所を切り替えてから、モバイルアプリに戻ってご利用ください。

SAMLログインを無効にして、パスワードログインをできるようにする

この手順では特定のメンバーに対してSAMLログインを無効にして、パスワードログインできる方法を説明します。

1. freeeアカウント管理の［事業所管理］メニュー →［メンバー］を開きます。
2. 画面右上の［セキュリティ］を選択します。
3. 画面右上の［一括操作］リストから、［SAML SSOの一括無効設定］をクリックします。
   
4. 無効にするメンバーを選択し、［無効にする］ボタンをクリックします。
   この画面にはSAML SSOの設定セクションからも移動することができます。詳しくは後述の「Tips」部分をご確認ください。
   
5. 選択している人数を確認して、再度［無効にする］ボタンをクリックします。
   

6. SAMLログインを無効化したメンバーにパスワード再設定を依頼してください。

   パスワードを再設定するまではパスワードログインは利用できません。

   SAML SSOを無効にしたタイミングでfreeeからパスワードリセット依頼メールがfreeeから送信されます。
   このメールに従ってパスワードリセットを行うことをメンバーに依頼してください。

SAMLログインが有効なメンバーを確認する

ここではSAMLログインが有効なメンバーを確認します。

1. freeeアカウント管理の［事業所管理］メニュー →［メンバー］を開きます。
2. 画面右上の［セキュリティ］を選択します。
3. SAML SSOの列にチェックが入っている人がSAML SSOが有効なメンバーです。
   

SAMLログインが有効なメンバー数を確認する

ここではSAMLログインが有効なメンバーの数を確認します。

1. freeeアカウント管理の［事業所管理］メニュー →［メンバー］を開きます。
2. 画面右上の［一括操作］リストから、［SAML SSOの一括無効設定］をクリックします。
   
3. 一覧に表示される人がSAML SSOが有効なメンバーになります。こちらの数を数えて、SAML SSOが有効なメンバー数を確認ください。
   

よくある質問

Q：SAMLのバージョンを教えてください。

A：SAML2.0です。

Q：プロビジョニング（SCIM）に対応していますか？

A：現在はSCIMプロトコルによるプロビジョニングには対応していません。

Q：認証フローはIdP Initiated, SP Initiatedのどちらに対応していますか？

A：IdP Initiated、SP Initiatedいずれも対応しています。SP InitiatedでSAMLログインをご利用の場合、「ログイン一覧」のリンク先のログイン画面をご活用ください。

Q：SSOのURLはどうなるでしょうか？

A：ログイン用の専用URLは発行されません。ご利用のIdPのアプリポータル、もしくは「ログイン一覧」リンク先のログイン画面からfreeeにログインしてください。

Q：SAMLログインをする際にログインURLは変わりますか？

A：ご利用のIdPのアプリポータル、もしくは「ログイン一覧」リンク先のログイン画面からfreeeにログインしてください。

Q：SAMLログインが有効な人は他のログイン手段は利用できますか？

A：利用できません。SAMLログインを有効にした時点で、パスワード、ソーシャルログイン、パスキーの機能は利用できなくなります。SAMLを有効にする際の確認モーダルにも記載があります。詳しくは、本ページ「freeeで人単位でSAML ログインを有効にする」の手順④をご確認ください。

Q：SAMLログインする人でもfreee側で二要素認証を求められますか？

A：求められません。SAMLログインの場合はfreee側の二要素認証はスキップされます。

Q：SAMLログインが有効になっていない人はどうなりますか？

A：これまで通り、IDとパスワードによる認証となります。

Q：SAMLログインを有効にしたときにSAMLログインが強制されないプロダクトはなんですか？

A：freeeアカウントを利用しないログイン方法ではSAMLログインが強制されません。freeeアカウントを利用しないログイン方法を提供しているプロダクトは以下になります。

• freee受取請求書
• freeeサイン

※ ここではfreeeサインのログイン画面でご説明します。

• メールアドレス/パスワード：SAMLログインを強制できません。
• freeeアカウントでログイン：SAMLログインを強制できます。
  

Q：SAMLログインを適応している従業員がPublic APIの認証画面のログイン画面から認証できません。どうしたら良いですか？

A：一度SAMLログインを行ってから、Public APIの認可フローを行ってください。認証画面をスキップして、認可画面に遷移することができます。

Q：SAML SSO をやめる際に送信されるパスワードリセットメールの期限が切れてしまいました。対応方法を教えてください。

A：メンバーにログイン画面からパスワードリセットメールを再送することができます。
「メールアドレス・パスワードを変更・再発行する - メールアドレスでログインしている場合」のヘルプページをご確認ください。

Q：IdPを切り替えたいです。どうすればよいですか？

A：メタデータを再アップロードした後、設定を保存してください。
設定手順は、本ページの「freeeにIDプロバイダ（IdP）からメタデータをアップロードする」のセクションを確認してください。

Q：複数の事業所でSAMLを利用するときも、IdP側の設定は1回でよいですか？ 

A：事業所ごとに個別のSAMLアプリケーション設定（ACS URL、Entity ID等）をIdP側に作成する必要があります。freee側のSAML設定も事業所単位での連携です。

Q：ログイン時に届く確認コードが届きません。 

A：以下をご確認ください。

• 迷惑メールフォルダに振り分けられていないか
• 入力したメールアドレスに誤りがないか
• 一定時間経過後にログイン画面の〔再送する〕ボタンから再送をお試しください

Q：事業所を切り替えるたびに再認証が必要ですか？

A：切替元または切替先のいずれかがSAML SSO有効事業所の場合、原則として再認証が必要です。

ただし、同じIDプロバイダー（IdP）を利用している事業所間の切り替えは、IdPセッションが有効であればユーザーの追加入力なしで完了します。詳細は「 SAMLログインを利用するユーザーが事業所切替を行う」をご覧ください。

Q：同じIdPを使う事業所間でも、事業所切替時にIdPのログイン画面が表示されますか？ 

A：システム内部では切替時にSAML認証リクエストが発行されますが、IdP側のセッションが有効であれば、IdPのログイン画面は表示されずにそのまま切り替わります。

Q：顧問先事業所に直接SAMLでログインできますか？

A：アドバイザー事業所がSAML SSOを利用している場合、アドバイザー事業所のメンバーは必ずアドバイザー事業所を経由して顧問先事業所にアクセスする仕様となります。

顧問先事業所に直接ログインすることはできません。

Q：顧問先事業所の管理者がアドバイザーのSAMLログインを有効化しようとしても、対象者が表示されない・有効化できません。

A：アドバイザーとして顧問先事業所に所属しているメンバーは、顧問先事業所でのSAMLログイン有効化の対象外となります。

Q：別のアドバイザー事業所が担当する顧問先に切り替えようとするとエラーになります。

A：現在ログイン中のアドバイザー事業所ないしはその顧問先事業所から、異なるアドバイザー事業所が担当する顧問先への直接切り替えはできません。対象の顧問先を担当するアドバイザー事業所に切り替えてから、顧問先事業所にアクセスしてください。

Q：モバイルアプリで事業所を切り替えようとしたら、画面が進みません。

A：切り替え元または切り替え先がSAML有効事業所の場合、事業所切り替え時の再認証はモバイルアプリ単体では完了できません。Webブラウザで事業所を切り替えてからモバイルアプリをご利用ください。

Q：事業所作成者がパスワードリセットすると、SAML設定はどうなりますか？

A：リセットを実行したユーザーが事業所作成者である事業所のSAML設定が解除されます。詳細は「SAMLログインを無効にして、パスワードログインをできるようにする」をご覧ください。

Q：SAMLログインによって課金を停止したいです。どうすればよいですか？

A：契約が従量課金の場合は、本ページの「SAMLログインを無効にして、パスワードログインをできるようにする」の手順に従って、メンバーのSAMLログインを無効化してください。この作業で請求金額を0円にすることができます。その後、営業担当者にご連絡いただき、契約を解除してください。
契約が従量課金ではない場合は営業担当者にご確認ください。

Q：HENNGE ONEで設定したいのですがどうすればよいですか？

A：詳しくはHENNGE ONEのヘルプページ「freeeのシングルサインオン設定」をご確認ください。