memoQ TMSにOIDCベースのシングルサインオンをIISで設定する - パート1 - 会社のシステム管理者向け

memoQ TMSをIDPサービスのクライアントとして登録する場合は、コールバックURLを設定する必要があります。これは、IDPがAuthentication Managerにアクセスできる場所です。コールバックURLは次のようになります：

Authentication ManagerはIDPと通信するIIS下のウェブアプリです。専用ポートは必要ありません。

コールバックURLの最後の部分 (4) は必要に応じて選択できます、しかし：

• 「login」、「logout」、または「auth」であってはなりません。
• 複数のIDPに登録する場合、この部分は各IDPで一意である必要があります。

memoQ TMSをIDPのクライアントとして登録すると、memoQ TMSはClientIDとClientSecretを受信します。これらは、Authentication Managerを設定する際に必要となります。

memoQ TMSをAzure ADに登録するための注意事項：

• Implicit Grantオプション (アクセストークンまたはIDトークン) は必要ありません。
• User.Readタイプの委譲された権限が必要です。
• デフォルトのログアウトURLとして/logoutを設定する必要があります。

ファイアウォールが正しく設定されていることを確認します：IDPによっては、会社のファイアウォールでいくつかのポートを開く必要があります。詳細については、IDPのドキュメンテーションを検索してください。

1. C:\inetpub\wwwroot\の下に、ウェブアプリ用のフォルダを作成してください。この記事では、このフォルダを{oidcbackend}とします。

2. %PROGRAMFILES%\Kilgray\MemoQ Server\Oidc から C:\inetpub\wwwroot\{oidcbackend} へすべてのフォルダとファイルをコピーします。

3. Windowsのスタートメニューから、IIS マネージャーを起動します。

4. IIS マネージャーで、memoQ TMSのサーバー名をダブルクリックします。

5. ツリーで、アプリケーションプールを右クリックし、アプリケーションプールの追加を選択します。

6. アプリケーションプールの追加ウィンドウで：

   • アプリプールの名前を入力します。

   • .NET CLR バージョンドロップダウンから、管理対象コードなしを選択します。

   • 統合パイプラインモードドロップダウンから、統合を選択します。

7. アプリケーションプールで、サイトをダブルクリックします。

8. デフォルトの Web サイトを右クリックし、アプリケーションの追加を選択します。

9. アプリケーションの追加ウィンドウで：

   • アプリの名前を入力します。

   • 選択をクリックし、作成したアプリプールを選択します。

   • 物理パスの隣にある3点リーダーのボタンをクリックし、C:\inetpub\wwwroot\{oidcbackend}のフォルダを参照します。

サイトフォルダ (%PROGRAMDATA%\MemoQ Server\Oidc Backend) およびログフォルダ (%PROGRAMDATA%\MemoQ Server\Oidc Backend\LogFiles) にアクセス権を付与するには、次のPowershellコマンドを実行してください：

$path = "C:\inetpub\wwwroot\oidcbackend"
$poolName = "oidcpool"
$account = "IIS APPPOOL\$poolName"
icacls $path /grant "${account}:(OI)(CI)(RX,M)"

memoQ TMSデータベースへの権限を付与するには、SQL Server Management Studio（または他のSQLインターフェイス）で次のSQLスクリプトを実行してください：

CREATE LOGIN [IIS APPPOOL\oidcpool] FROM WINDOWS;
USE [MemoQServer];
CREATE USER [IIS APPPOOL\oidcpool] FOR LOGIN [IIS APPPOOL\oidcpool];
ALTER ROLE db_owner ADD MEMBER [IIS APPPOOL\oidcpool];

より権限の低い役割を付与することが可能か検討してください。

データベース接続が機能しているか確認するには、次のSQLスクリプトを実行してください：

EXECUTE AS USER = 'IIS APPPOOL\oidcpool';
SELECT * FROM [dbo].[User];
REVERT;

ユーザーのリストが表示されます。

%PROGRAMDATA%\MemoQ Server\Oidc Backend\appsettings.User.jsonファイルで基本設定を行います。

ログの詳細は別のファイル、C:\inetpub\wwwroot\{oidcbackend}\appsettings.jsonにあります。通常、変更する必要はありません。

データベースとの通信

Authentication ManagerはmemoQ TMSデータベースと通信します。memoQ TMSデータベースの接続文字列をConnectionStrings.OidcLoginDataキーの値として入力します：

単純にコピー&ペーストしないでください：JSONファイルでは、バックスラッシュ文字をエスケープする必要があります。つまり、「\」を「\\」に変更します。

ロギング

C:\inetpub\wwwroot\{oidcbackend}\appsettings.jsonファイルでは、ロギングの詳細を定義しています。

Serilog.WriteToで"Name": "File"キーを見つけます。Argsでのキーは、重要なパラメータを定義しています。

path：デフォルトでは、ログは%PROGRAMDATA%\MemoQ Server\Oidc Backend\LogFiles\log-.txtファイルに保存されます。

rollingInterval、rollOnFileSizeLimit、fileSizeLimitBytes：ログは毎日のファイルに書き込まれますが (これは変更しないでください)、ファイルサイズが制限 (デフォルトでは100 MB) に達すると、その日の2番目のファイルが作成されます。

retainedFileCountLimit：デフォルトでは、最後の31個のログファイルがサーバーに保存されます。

デフォルトでは、ログレベルはInformationです。詳細情報が必要な場合は、Serilog.MinimumLevel.Defaultキーの値をDebugまたはVerboseに変更します。

Verboseには、名前やシークレットも含めてすべての情報が一覧表示されます。実際に必要な場合にのみ使用し、組織のデータ保護ポリシーに準拠している場合にのみ使用してください。

これらの設定は永続的なものではありません：memoQ TMSをアップデートすると、%PROGRAMFILES%の下のフォルダ全体が上書きされます。これは、appsettings.jsonのすべての設定がデフォルト値に戻ることを意味します。本当に必要な場合を除き、変更しないことをお勧めします。

IDPのパラメータを設定する

2026年3月現在、memoQ TMSはAzure AD (Microsoft Entra)、Azure B2C、Google、Microsoft、Okta（標準およびカスタムの両方）、およびOneLoginインスタンスをサポートしています。お客様の会社が別のOIDCベースのIDプロバイダサービスを使用している場合は、memoQビジネスサービスに連絡すると、必要なリソースを提供できます。

会社のIDPの種類に応じた設定ファイル (AzureAD.settings.json、Google.settings.json、Microsoft.settings.json、OktaCustom.settings.json、OktaOrg.settings.json、またはOneLogin.settings.json) を選択し、そのファイルをC:\inetpub\wwwroot\{oidcbackend}フォルダに入れます。テキストエディタでファイルを開き、値を追加します：

OIDC構成ツールは、次の目的で設計されたコマンドラインアプリケーションです：

• IDP接続を登録する
• 接続の詳細を構成する

%PROGRAMFILES%\Kilgray\MemoQ Server\Oidcフォルダ内にあります。このフォルダで管理者権限を持つコマンドプロンプトまたはPowerShellウィンドウを開きます。

構成ツールのAddIdProviderコマンドを使用して、IDP構成を追加します。

MemoQ.Security.Oidc.Backend.ConfigTool.exe AddIdProvider -f [<absolute_or_relative_path>\]<your_settings_file>.json

IDPの新しいアイコンを設定する場合は、-iパラメーターを使用して (コンピュータ上で) そのパスを追加します。

MemoQ.Security.Oidc.Backend.ConfigTool.exe AddIdProvider -f AzureAD.settings.json
MemoQ.Security.Oidc.Backend.ConfigTool.exe AddIdProvider -f C:\SSO-Ingredients\OktaOrg.settings.json -i C:\SSO-Ingredients\OktaIcon.png

IDPから受け取ったクライアントシークレットを設定する

クライアントシークレットはパスワードなので、設定ファイルに保存することは安全ではありません。構成ツールを使用して手動で設定します。

MemoQ.Security.Oidc.Backend.ConfigTool.exe SetClientSecret -s <client_secret> -n Okta

クライアントシークレットは、ハッシュ形式でデータベースに格納されます。

Authentication ManagerのベースURLの設定

これは、構成ツールのSetBackendBaseUrlコマンドを使用して行います。必須オプション：URL用として-u。

MemoQ.Security.Oidc.Backend.ConfigTool.exe SetBackendBaseUrl -u https://localhost/oidcbackend

ベースURLは次のように構成されます：

MemoQ.Security.Oidc.Backend.ConfigTool.exe SetBackendBaseUrl -u https://memoqserver.mycompany.com/oidcbackend

memoQwebのベースURLの設定

この情報は、memoQwebからのコールを受け入れるURLからAuthentication Managerに通知するため、重要です。このURLからのログイン試行は、memoQwebログインとして処理されます。

memoQwebへのログインに使用するものと同じURLを設定します。サーバーマネージャ > 構成とログ > Web アドレスタブにあります。

構成ツールのSetMemoQWebBaseUrlsコマンドを使用します。必須オプション：URL用として-u。

MemoQ.Security.Oidc.Backend.ConfigTool.exe SetMemoQWebBaseUrls -u <memoqweb_base_url>

MemoQ.Security.Oidc.Backend.ConfigTool.exe SetMemoQWebBaseUrls -u https://memoqserver.mycompany.com/memoqweb

ソフトウェアコンポーネントの再起動

この時点で、次を再起動する必要があります：

• memoQ TMSサービス
• oidcbackend IIS アプリプール

これでOIDCは、memoQ TMS上のIISで実行されています。サーバーは以下を受け入れます：

• SSOログイン:ユーザーはIDPサービスを選択し、そのIDPにあるユーザー名とパスワードを使用してサインインします。
• 従来のSSOログイン：ユーザーは、会社のWindows Active Directoryにあるユーザー名とパスワードを使ってサインインします。OIDCの観点からすると、これらのユーザーはローカルログインと同様に動作し、OIDCベースのSSOに変更することができます。
• ローカルログイン：IDPクレデンシャルもWindows ADアカウントも持っていないユーザーは、memoQのユーザー名とパスワードを引き続き使用できます。

memoQ管理ユーザーに対して、memoQ TMS上でユーザーの作成または更新を開始するよう指示できるようになりました (この文書のパート2を参照)。