最初からのエンタープライズ ID: 認証には SAML/SSO と OIDC、自動ユーザープロビジョニングには SCIM、テナントごと・環境ごとにスコープされたロールベースアクセス制御。単純なグローバル管理者/メンバーの区分ではありません。
- SAML/SSOおよびOIDCフェデレーテッドログイン
- SCIMプロビジョニングによりアクセスをIDプロバイダーと同期
- テナントごと・環境ごとにスコープされたロール
仕組み
ID プロバイダーが SAML または OIDC で認証し、SCIM がユーザーとグループの所属を自動同期します。すべてのリクエストはロール/権限マトリクスで認可され、時間制限付きジャストインタイム付与が文書化された緊急アクセス経路です。拒否はすべて監査ログに書かれます。記録なしに捨てることはありません。
ロール/権限マトリクスがリクエストを拒否した場合、ジャストインタイム付与が一時アクセスを得る文書化された経路です。サポートチケットではありません。付与も拒否も監査ログに書かれるため、緊急アクセスが不可視になることはありません。
実際の権限拒否監査エントリ
{
"action": "environments:apply",
"decision": "denied",
"code": "role_permission_denied",
"userId": "usr_4a1c",
"hashPrev": "9f2a1c...e04b"
}