シングルサインオンとID管理

サインインURLとアカウント復旧

通常のサイトアカウントでサインインする場合は /login、SSO対応のサインインには /sso/login を使います。登録、アカウント復旧、パスワードレス認証の各フローは /sso 配下にあります。旧OAuth認可ページに進行中のユーザーは、現行のSSO相当ページへリダイレクトされます。URLが存在しても、プロバイダーが有効とは限りません。テナントとアプリケーションの状態を確認してください。

1. 目的のサインイン方法に対応するURLを開きます。
2. プロバイダーが表示されない場合は、テナント管理者に設定の確認を依頼します。
3. 認証要素を紛失した場合やパスワードの有効期限が切れた場合は、SSOの復旧手順を使います。

テナント、ドメイン、ID

テナントは、アプリケーション、ドメイン、メンバー、ポリシー、委任設定を管理します。検証済みドメインによる検出はユーザーの振り分けに使われますが、認証やメンバーシップの付与は行いません。顧客組織の管理者がSAMLまたはOIDCを設定します。IDはテナント、issuer、不変のsubjectを基準に照合してください。メールアドレスだけでアカウントを紐付けてはいけません。

1. メンバー、プロバイダー、ドメインを変更する前にテナントを選びます。
2. 画面に表示されるドメイン所有権の確認を完了し、検証済みの状態を確認します。
3. IDの重複は、権限のあるテナント手順で解決します。

アプリケーションとソーシャルプロバイダー

アプリケーションごとに、プロトコル登録、ポリシー、ライフサイクルが管理されます。プラットフォームのソーシャルプロバイダー設定と、ユーザーが連携したIDは別のものです。コールバック後にプロフィールの入力が必要な場合があります。また、コールバックが正常に動作してもアプリケーションへのアクセスが許可されたとは限りません。メンバーシップ、割り当て、ポリシーも適用されます。

1. テナント、所有者、プロトコル、登録済みリダイレクト先またはメタデータを記録します。
2. 管理画面でプロバイダーを設定し、認証情報を保護します。
3. サインインをテストし、テナントとアプリケーションのアクセス判定を確認します。

ロールと権限の委任

サイトのロールとテナントの権限は別々に管理されます。ガバナンス設定では、親組織、制限、有効期限付きの管理者委任を定められます。委任先には単一テナント内の選択した権限だけが付与され、上位、同階層、無関係な範囲へのアクセスは拒否されます。有効なメンバーシップ、ロール階層、アプリケーションポリシーのすべてが判定に関わります。

1. 対象テナントで管理者のメンバーシップが有効であることを確認します。
2. 必要な権限だけを付与し、有効期限を設定します。
3. 作業完了後に委任を取り消し、監査記録を確認します。

MFA、パスキー、アカウント復旧

サインイン時には、MFA、パスキー、その他のパスワードレス認証、または追加のステップアップ認証が求められる場合があります。初期登録、チャレンジ、設定、復旧はそれぞれ別の段階です。ある段階を完了しても、後続の保護対象操作に必要な認証を満たしたことにはなりません。テナントの認証要素や登録キャンペーンを管理するには、認証管理権限が必要です。

1. パスキーでサインインするか、登録時に新しい認証器の検証を完了します。
2. 利用可能な方法で復旧し、侵害された認証要素は交換します。
3. アクセスが拒否された場合は理由を確認し、権限のある管理者にポリシーの調査を依頼します。

管理とライフサイクル

生成された管理APIの仕様は /api/auth/management/openapi.json にあります。操作のスキーマとセキュリティ要件が記載されています。人による管理作業には保護されたワークスペースを使ってください。テナントやアプリケーションの有効化、一時停止、廃止、ロールバックは、バージョンと監査履歴が記録されるライフサイクル変更です。

1. OpenAPIドキュメントを開き、必要な管理操作を確認します。
2. その操作に必要な権限、テナントの範囲、入力項目を確認します。
3. ライフサイクルを変更した後、状態と監査履歴を確認します。

よくある質問

関連ページ

• フェデレーションプロトコルとプロビジョニング
• SSO管理
• IDガバナンスと特権アクセス
• プライベートアプリケーションアクセス