Entra ID（旧Azure AD）を使った社内SaaS統合：Google Workspace連携手順
TL;DR: SAMLフェデレーション自体はEntra ID Freeで動作します。Conditional Accessが必要な場合のみP1ライセンス（2026年7月時点で$7.00/ユーザー/月）が必要です。設定を進めるうえで事前に押さえておきたい核心は3点——①属性マッピングをデフォルトのまま進めるとSSOが動かない、②Google側で発行されるSP DetailsをEntra側に書き戻す手順がMicrosoftの公式チュートリアルに記載されていない、③EntraアプリのAutomatic Provisioningでは退職者のGoogleアカウントが無効化されない——この3点を知った状態で作業に入れば、残りの設定は手順通りに進められます。
なぜEntra IDをIdPにするのか
M365とGoogle Workspaceを並行運用している環境では、ID管理の二重管理が構造的に発生します。Entra IDでユーザーを一元管理しながら、外部ベンダーとの連携やGmailアドレスが業務上必要なためにGoogle Workspaceアカウントを別途発行している、というケースは珍しくありません。
この状態を放置すると、退職者対応時に抜け漏れが起きます。Entra ID側でアカウントを無効化しても、Google Workspace側のアカウントは独立して生き続けます。退職者がGmailやGoogleドライブにアクセスできる状態が残り、アカウント数が増えるほど管理が難しくなります。
EntraをIdP（Identity Provider：認証の発行元）、Google WorkspaceをSP（Service Provider：サービス提供側）とするSSOを構成すると、Entraでユーザーをブロックした瞬間にGoogle Workspaceへのアクセスも失効させることができます。IDの一元化がインシデント対応の時間を縮める、というのがこの設定の実務的な意義です。
ライセンスと前提条件
SAMLフェデレーションはEntra ID Free版で動作する
EntraのエンタープライズアプリとしてGoogleのコネクタを追加し、SAMLベースのSSOを構成すること自体は、Entra ID Freeの機能範囲内です。
追加ライセンスが必要になるのは、Conditional Access（条件付きアクセス）を組み合わせる場合です。社外IPからのアクセスにはMFAを強制する、マネージドデバイス以外からのSSOをブロックする、といったポリシーを追加するにはEntra ID P1が必要です。Microsoft Learnの公式ドキュメントでは「この機能にはMicrosoft Entra ID P1ライセンスが必要」と明記されています。Microsoft 365 Business Premiumにも含まれているため、そのライセンス契約があれば追加費用は不要です。
Entra ID P1の単体価格は2026年7月時点で年間コミットメントにより$7.00/ユーザー/月です。詳細はMicrosoft公式料金ページで確認してください。
作業前に確認する3つの前提条件
設定作業を始める前に、次の3点を確認してください。後半のプロビジョニング設定で詰まる原因の多くがここに起因します。
-
カスタムドメインがEntra IDで検証済みであること: UPN（ユーザープリンシパルネーム）が
@contoso.onmicrosoft.com形式のままでは、後述のプロビジョニングが動作しません。@contoso.com形式のカスタムドメインがEntraで検証済みである必要があります（Microsoft Learnプロビジョニングチュートリアルに明記）。 -
Entra IDのCloud Application Administrator以上の権限があること: エンタープライズアプリの追加とSAML設定の変更に必要です。
-
Google Workspaceのスーパー管理者権限があること: Admin Console側のSSO設定全般に必要です。スーパー管理者アカウントが1つしかない場合は、後述の仕様上の制約も確認してください。
Entra側のSAML設定手順（ステップ1〜4）
Microsoftの公式チュートリアルに基づく手順です。
ステップ1 アプリギャラリーから「Google Cloud / G Suite Connector by Microsoft」を追加する
操作パス: Microsoft Entra管理センター → エンタープライズアプリケーション → 新しいアプリケーション → ギャラリーを参照 → 「Google Cloud / G Suite Connector by Microsoft」を検索 → 追加
ギャラリーには「Google」「Google Cloud」など類似名称のアプリが複数存在します。「Google Cloud / G Suite Connector by Microsoft」が正しいものです。追加後、アプリの概要ページに移動します。
ステップ2 Basic SAML Configurationの入力（Identifier・Reply URL・Sign on URL）
操作パス: 追加したアプリ → シングルサインオン → SAML → Basic SAML Configurationの編集
この時点では暫定的な値を入力します。Google側でSAMLプロファイルを作成すると正式なEntity IDとACS URLが発行されるため、ステップ6で書き直しが必要です。
暫定値の入力例:
- Identifier (Entity ID):
google.com - Reply URL (ACS URL):
https://www.google.com/ - Sign on URL:
https://www.google.com/a/[ドメイン名]/ServiceLogin?continue=https://mail.google.com/mail/
GmailをM365に移行して無効にしている環境では、Sign on URLのリダイレクト先をGoogle Driveなど実際に使用するサービスのURLに変更してください（後述の「設計上の注意点」も参照）。
ステップ3 属性マッピングの変更（必須操作）
操作パス: SAMLページ → 属性とクレーム → 編集 → 「一意のユーザー識別子（名前ID）」を選択 → ソース属性を変更
ここはデフォルト設定のまま進めると、SSOが動作しません。Microsoft Learnの公式チュートリアルでは次のように明記されています。
The default value of Unique User Identifier is
user.userprincipalnamebut Google Cloud / G Suite Connector by Microsoft expects this to be mapped with the user’s email address. For that you can useuser.mailattribute from the list.
変更内容: ソース属性を user.userprincipalname から user.mail に変更する。
UPNとメールアドレスが一致している環境では影響が出ないケースもありますが、分離している環境では必ずこの変更が必要です。最初から変更しておくのが安全です。
ステップ4 証明書のダウンロードとURL類のコピー
操作パス: SAMLページ → SAML署名証明書 → フェデレーションメタデータXMLをダウンロード
あわせて、SAMLページ下部の「Google Cloud / G Suite Connector by Microsoftのセットアップ」セクションから次のURLをコピーしておきます。
- ログインURL（Microsoft Entra Login URL）
- Microsoft Entra 識別子
- ログアウトURL
ログアウトURLについて: Microsoft Learnの公式チュートリアルには次の注記があります。
Note: The default logout URL listed in the app is incorrect. The correct URL is:
https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0
アプリ画面に表示されているデフォルト値ではなく、この正しいURLを使用してください。
Google Workspace側のSSO設定手順（ステップ5〜7）
ステップ5 Admin ConsoleでSAMLプロファイルを作成する
操作パス: admin.google.com → セキュリティ → 認証 → サードパーティのIdPでのSSO → SAMLプロファイルを追加
ここではGoogle Workspace管理者ヘルプが案内している新形式のSSOプロファイルを使用します。旧来の「Legacy SSO profile」とは別のセクションにあります（この違いは後述の「スーパー管理者」の仕様に関係します）。
プロファイル作成画面で、ステップ4でコピーしたEntra側の情報を入力します。
- ログインページのURL: EntraのログインURL
- ログアウトページのURL:
https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0 - パスワード変更URL: M365のセルフサービスパスワードリセットURLを設定するケースが多い（任意）
- 検証証明書: ステップ4でダウンロードしたフェデレーションメタデータXML内の証明書をアップロード
入力後、SAMLプロファイルを保存します。
ステップ6 SP DetailsをEntra側に反映する（公式ドキュメントに記載がない手順）
Google側でSAMLプロファイルを保存すると、プロファイルの詳細画面にEntity IDとACS URLが表示されます。この2つの値を、Entra側のBasic SAML Configurationに書き戻す操作が必要です。
SMBtotheCloudは、この点について次のように明記しています。
We must also add the Entity ID and ACS URL from the Google SAML SSO profile to the SAML configuration in Entra. This part is not in the MS documentation.
操作パス（Entra側）: 追加したアプリ → シングルサインオン → SAML → Basic SAML Configurationの編集 → Identifier・Reply URLをGoogle側の値で上書き
- Identifier (Entity ID): Googleのプロファイル詳細に表示されたEntity ID
- Reply URL (ACS URL): Googleのプロファイル詳細に表示されたACS URL
この書き戻しを行わないと、SAMLのエンティティとACSが不一致のままとなり、SSOが機能しません。
ステップ7 SSOプロファイルをOUまたはグループに割り当てる
操作パス: admin.google.com → セキュリティ → 認証 → サードパーティのIdPでのSSO → 作成したプロファイルを選択 → 組織部門とグループへの割り当てを設定
まずパイロット対象（テスト用ユーザーやOU）に限定して割り当て、正常動作を確認してから全体に適用するのが安全です。割り当て設定を行わないとSSOが適用されません。
ユーザープロビジョニングの選択
SSOの設定が完了した時点では、Entra IDで作成されたユーザーがGoogle Workspaceに自動的に反映されるわけではありません。SSOとプロビジョニングは独立した設定です。
退職者のGoogleアカウントを自動無効化したい場合、プロビジョニング方式の選択が決定的な意味を持ちます。
方式A：EntraアプリのAutomatic Provisioning（非推奨）
EntraのアプリページからAutomatic Provisioningを有効にする方式です。設定画面が統合されているため構成は容易に見えますが、重大な制約があります。
SMBtotheCloudは次のように明記しています。
If you use automatic User Provisioning from the Entra App, users won’t be disabled/deleted in Google Workspace if they’re removed from Entra.
Entraでユーザーを削除・無効化しても、Google Workspace側のアカウントは無効化されません。退職者のGoogleアクセスを自動で遮断する目的には使えません。
また、Microsoft Learnのプロビジョニングチュートリアルでは、マッチング属性として primaryEmail のみがサポートされていると記載されています。
方式B：Google Directory Sync（推奨）
Google側が提供するDirectory Syncツールを使い、EntraのディレクトリをGoogle Workspaceに同期する方式です。Google Cloudの公式アーキテクチャガイドでも、このアーキテクチャを前提とした構成が示されています。
SMBtotheCloudでは次のように結論付けています。
use Directory Sync unless you do NOT want users automatically disabled in Google Workspace after they’re disabled or deleted from Entra.
退職者のGoogleアカウントを自動的に無効化したい場合は、方式Bを選択してください。Directory Syncの同期間隔や最大ユーザー数などの詳細な仕様はGoogle Cloudの公式アーキテクチャガイドを参照してください。
プロビジョニング前に確認するUPN要件
いずれの方式でも、Entra IDのユーザーUPNがカスタムドメイン形式である必要があります。
Microsoft Learnのプロビジョニングチュートリアルには次の記載があります。
For every user that you intend to provision to G Suite, their user name in Microsoft Entra ID must be tied to a custom domain. For example, user names that look like
[email protected]aren’t accepted by G Suite. On the other hand,[email protected]is accepted.
@contoso.onmicrosoft.com 形式のUPNを持つユーザーはプロビジョニングされません。対象ユーザーのUPNをカスタムドメイン形式に変更してから進めてください。あわせて、Entraのユーザープロフィールにfirst name・last nameが未設定の場合もプロビジョニングが失敗するケースがあります。
方式A・方式Bのどちらが自社環境に適切かは、既存のEntra設定・退職者フローの現状・UPN体系によって変わります。自社環境に合わせた構成設計が必要な場合は、情シス支援の相談窓口からお問い合わせください。
設計上の注意点——本番移行前に確認する
スーパー管理者はSSOの対象外になる
Google Workspace Admin Consoleの新形式SSOプロファイルには、スーパー管理者アカウントにSSOを適用できないという仕様があります。
Google Workspace管理者ヘルプでは次のように明記されています。
Single sign-on for super administrators is only supported if you use the legacy SSO profile, and only in some cases. It’s not supported by the newer SSO profiles.
これはバグではなく、Googleが意図した設計です。スーパー管理者がSSOの設定ミスや障害でロックアウトされることを防ぐための仕様です。
実務上の対処として、スーパー管理者アカウントを複数用意し、Google Workspaceのパスワードをパスワードマネージャーで安全に保管しておくことを推奨します。スーパー管理者はSSOなしでAdmin Consoleにログインできる状態を維持してください。
ドメイン検証はEntraとGoogle Workspaceの両側で独立して必要
カスタムドメインをEntra IDで検証済みであっても、Google Workspaceでの検証は別途必要です。一方の検証結果がもう一方に反映されることはありません。
両側での検証が完了していないと、UPN体系が一致していてもプロビジョニングやSSO時にエラーが発生することがあります。Google Workspace管理コンソールのドメイン設定でTXTレコードまたはCNAMEレコードによる追加検証が完了しているかを確認してください。
GmailをM365に移行済みの環境でのSign on URL
GmailをExchange Onlineに移行してGmailを無効にしている環境では、ステップ2で設定したSign on URLの確認が必要です。
Gmail無効環境でGmailのURLをSign on URLとして設定したままSSOを経由すると、認証後のリダイレクト先でエラーが発生します。この場合、Sign on URLをGoogle Driveなど実際に使用するサービスのURLに変更してください。
EntraベースのSSOが退職者管理に与える効果
この設定が完了した環境では、Entra IDでユーザーの「サインインのブロック」を実行した時点で、Google Workspaceへのアクセスも失効します。退職日当日にEntraをブロックすれば、SSOを経由したGoogle Workspaceへのログインはその場で遮断されます。
方式B（Google Directory Sync）を組み合わせると、同期のタイミングでGoogleアカウント自体も無効化されます。EntraとGoogleの両方を手動で操作する必要がなくなり、対応漏れのリスクを下げられます。
退職者対応の全体フロー（M365・GitHub・VPNを含む当日30分チェックリスト）については、「社員が退職したとき30分以内に完了すべきアクセス権剥奪チェックリスト」も参照してください。
まとめ
- SAMLフェデレーション自体はEntra ID Freeで動作する。Conditional Accessが必要な場合のみP1ライセンスが必要（2026年7月時点で$7.00/ユーザー/月）
- 属性マッピングは
user.userprincipalname→user.mailへの変更が必須。デフォルトのまま進めるとSSOが動かない - Google側のSAMLプロファイルを保存後、表示されるEntity IDとACS URLをEntra側に書き戻す手順が必要。Microsoft公式ドキュメントには記載がない
- ユーザーの自動無効化が必要な場合はEntraアプリのAutomatic ProvisioningではなくGoogle Directory Syncを選択する
- スーパー管理者は新形式SSOプロファイルの対象外となる仕様。ロックアウト防止のためGoogleパスワードを別途保管しておく
- ドメイン検証はEntraとGoogle Workspaceで独立して必要。一方の検証がもう一方に反映されない
Entra IDを軸にしたIAM設計・Google Workspace統合・情シス体制の整備について、構成設計から実装支援まで対応しています。まずは相談から。