Google WorkspaceとEntra IDの名前識別子：指定なしのSSO認証を実現したい

こんにちは、@Mayuri Microsoft Q&Aにお問い合わせいただきありがとうございます。 Google WorkspaceとEntra IDの名前識別子：指定なしでSSO認証を実現したい Microsoft Entra IDエンタープライズアプリケーションでは、「Google Cloud / G Suite Connector by Microsoft」を使用してSSO統合が設定されています。 [前提条件] Google Workspace（以下、GWS）とEntraIDは異なるドメインを使用しています。 GWSでは、ユーザー名は以下のように命名されます。 <従業員ID>@ GWSサポートからの回答によると、GWSテナントが単一ドメインとして構成されている場合、ユーザー名文字列のみを使用してユーザー認証を実行できます。 EntraIDでSAMLを使用する場合、onPremisesSamAccountName属性に含まれる従業員番号がユーザー名として入力されます。 以下の設定では、代替としてuser.employeeid属性に従業員番号が含まれ、GWSに送信されます。 [設定] @マークのない純粋な従業員番号 (例: 12345abc) をユーザー識別子として送信したいため、属性とクレーム (NameID) の設定を次のように構成しました。 名前識別子の形式: 未指定 ソース属性: user.employeeid 対象ユーザーの従業員IDの入力値: 12345abc [結果] 実際の SAML トークンをテストすると、形式が「emailAddress」に強制的に上書きされ、値が送信前にユーザーの UPN (電子メール アドレス) にフォールバック (スワップ) されました。 ログには「成功」とマークされます。 [質問] 従業員 ID に入力された「@マークのない生の文字列」を NameID として Google に直接送信する具体的な回避策、またはフォールバックを無効にする方法はありますか?

チャブーンです。

この件ですが、まずは切り分けを行ってみてはどうでしょうか？employeeidではなくonpremisessamaccountnameでやってみるといいかなと。onpremisessamaccountnameは一意であることが保証されていますが、employeeidは一意が保証されていません(運用の話しではなく仕様の話しです)。なので切り分けができるかなと思います。

AzureADでSAML連携時にNameIDをSAMアカウント名を使用する

念のためですが、上記の資料にある「SP側のNamedIDフォーマット」も確認された方がいいかと思います。

Microsoft Entra ID は日本語フォーラムではサポートされていない製品分類なので、回答を求めるのであれば英語フォーラム（Microsoft Security Microsoft Entra Microsoft Entra ID - Microsoft Q&A）で質問されることをお勧めします。

または適切なサポート プラン（Standard 以上）を契約して Azure サポートにサポートリクエストを行ってください。