このブラウザーはサポートされなくなりました。
Microsoft Edge にアップグレードすると、最新の機能、セキュリティ更新プログラム、およびテクニカル サポートを利用できます。
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(48, 5%, 14%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EM%3C/text%3E%3C/svg%3E)
Microsoft Entra IDのエンタープライズアプリケーションにおいて、「Google Cloud / G Suite Connector by Microsoft」を利用したSSO連携を設定しています。
【前提条件】
【設定状況】
ユーザーの識別子として、＠マークのない純粋な社員番号（例：12345abc）をそのまま送信したいと考えており、属性とクレーム（NameID）の設定を以下のように構成しました。
名前識別子の形式：指定なし (Unspecified)
【結果】
実際のSAMLトークンをテストしたところ、Formatが「emailAddress」に強制上書きされ、値がユーザーのUPN（メールアドレス）にフォールバック（すり替え）して送信されてしまいます。
ログとしては「成功」となっています。
【質問】
従業員IDに入力した「＠マークのない生の文字列」をそのままNameIDとしてGoogle側に送信するための具体的な回避策や、フォールバックを無効化する設定方法はありますでしょうか？
Azure アプリ構成用のホスト型ユニバーサル ストレージを提供する Azure サービス。
Microsoft Entra ID は日本語フォーラムではサポートされていない製品分類なので、回答を求めるのであれば英語フォーラム（Microsoft Security Microsoft Entra Microsoft Entra ID - Microsoft Q&A）で質問されることをお勧めします。
または適切なサポート プラン（Standard 以上）を契約して Azure サポートにサポートリクエストを行ってください。
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(304, 43%, 39%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EA%3C/text%3E%3C/svg%3E)
チャブーンです。
この件ですが、まずは切り分けを行ってみてはどうでしょうか？employeeidではなくonpremisessamaccountnameでやってみるといいかなと。onpremisessamaccountnameは一意であることが保証されていますが、employeeidは一意が保証されていません(運用の話しではなく仕様の話しです)。なので切り分けができるかなと思います。
AzureADでSAML連携時にNameIDをSAMアカウント名を使用する
念のためですが、上記の資料にある「SP側のNamedIDフォーマット」も確認された方がいいかと思います。
チャブーン 様
コメントいただきありがとうございます。
onpremisessamaccountnameは一意であることが保証されていますが、employeeidは一意が保証されていません(運用の話しではなく仕様の話しです)
＞onpremisessamaccountnameでも試しましたが、同様の挙動でした。「指定なし」が「emailAddress」に強制上書きされ、値がユーザーのUPN（メールアドレス）にフォールバック（すり替え）して送信されてしまいます。
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(19.2, 14.000000000000002%, 11%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ESD%3C/text%3E%3C/svg%3E)
こんにちは、@Mayuri Microsoft Q&Aにお問い合わせいただきありがとうございます。 Google WorkspaceとEntra IDの名前識別子：指定なしでSSO認証を実現したい Microsoft Entra IDエンタープライズアプリケーションでは、「Google Cloud / G Suite Connector by Microsoft」を使用してSSO統合が設定されています。 [前提条件] Google Workspace（以下、GWS）とEntraIDは異なるドメインを使用しています。 GWSでは、ユーザー名は以下のように命名されます。 <従業員ID>@ GWSサポートからの回答によると、GWSテナントが単一ドメインとして構成されている場合、ユーザー名文字列のみを使用してユーザー認証を実行できます。 EntraIDでSAMLを使用する場合、onPremisesSamAccountName属性に含まれる従業員番号がユーザー名として入力されます。 以下の設定では、代替としてuser.employeeid属性に従業員番号が含まれ、GWSに送信されます。 [設定] @マークのない純粋な従業員番号 (例: 12345abc) をユーザー識別子として送信したいため、属性とクレーム (NameID) の設定を次のように構成しました。 名前識別子の形式: 未指定 ソース属性: user.employeeid 対象ユーザーの従業員IDの入力値: 12345abc [結果] 実際の SAML トークンをテストすると、形式が「emailAddress」に強制的に上書きされ、値が送信前にユーザーの UPN (電子メール アドレス) にフォールバック (スワップ) されました。 ログには「成功」とマークされます。 [質問] 従業員 ID に入力された「@マークのない生の文字列」を NameID として Google に直接送信する具体的な回避策、またはフォールバックを無効にする方法はありますか?