G-gen の三浦です。当記事では Google Workspace（Cloud Identity）を使用して、Slack にシングルサインオン（以下、SSO）を設定する方法を紹介します。

基礎知識

シングルサインオン（SSO）とは

シングルサインオン（SSO）とは、一度の認証で複数のアプリケーションやサービスを利用できるようにするための仕組みです。利用者が複数のサービスを利用するとき、通常はサービスごとに ID とパスワードを入力します。これを1度で済むようにする仕組みが SSO です。

SSO を実装することで、以下の効果が得られます。

SSO を実現するプロトコルの一つに SAML（Security Assertion Markup Language）があります。SAML は、認証情報を安全にやり取りするための標準規格です。現在では SAML 2.0 が標準とされています。

SAML による認証情報のやりとりを理解するためには、以下の2つの役割を理解する必要があります。

IdP（Identity Provider）
アイデンティティ（アカウント）を保存したり、管理する役割。SSO では認証を担う。当記事では Google Workspace が該当。
SP（Service Provider）
認証済みのユーザーが実際に利用するサービス。今回の例では Slack が該当。

Slack を例に取ると、ユーザーから見た認証の流れは以下のようになります。

Google Workspace を IdP として利用すれば、多くのクラウドサービスで SAML 認証を使用したシングルサインオンを実現できます。

例えば、以下のようなサービスが「統合対応 SAML アプリ」としてネイティブに対応しています。

またネイティブに対応していないサービスでも、SAML 2.0 規格に準拠していれば、「カスタム SAML アプリ」として SSO 設定が可能です。

Google Workspace を IdP として利用することで、SSO の効果をさらに高める以下の利点があります。

Google アカウントの統一管理
Google アカウントを認証基盤として使用するため、複数のアカウントやパスワードを管理する必要がなくなり、ユーザーの利便性が向上。
セキュリティ強化
多要素認証（Google Authenticator やセキュリティキーの利用）やコンテキストアウェアアクセス（IP アドレスやデバイスによるアクセス制御）を活用し、企業のセキュリティ要件やリスク管理方針に応じた柔軟な認証ポリシーを設定可能。
幅広いサービスとの連携
Google Workspace を通じて、Slack などの外部サービスだけでなく、Google Workspace 内部のサービス（Google Drive、Google Meet など）へのアクセスも一元管理。

2段階認証やコンテキストアウェアアクセスについては、以下の公式ドキュメントも参考にしてください。

Google Workspace では、Essentials Starter 以外の全エディションで、Google Workspace を IdP とした SSO を構成できます。

Cloud Identity でも同様に、Free と Premium の両エディションで、Cloud Identity を IdP とした SSO を構成できます。

以下の手順で SSO を設定し、動作を確認します。

順番	作業場所	作業名	内容
1	Google Workspace	カスタム SAML アプリの作成	Google Workspace 側で SAML 認証を設定
2	Google Workspace	カスタム SAML アプリのユーザー設定	アプリを利用する対象（組織、グループ）を設定
3	Slack	SAML 認証設定	Slack 側で SAML 認証を設定
4	Slack	Slack への直接アクセス確認	Google Workspace にログインしていない状態で、SAML 認証が正しく動作するかを確認
5	Google Workspace	Google Workspace アプリ経由の確認	Google Workspace のカスタム SAML アプリを利用して、SSO が正しく設定されているかを確認
6	Google Workspace	コンテキストアウェアアクセスの設定手順確認	アクセス制限（IP アドレスやデバイス制御）の設定手順を確認