Okta を接続する
会社が Okta（または別の SAML ID プロバイダー）で動いているなら、FortressFlag はサインインを完全にそちらに委ね、誰がアカウントを持ちどのロールを持つかをディレクトリに決めさせることができます。このガイドは、あなたがずっとサインインしたままでいられる順序で 3 つの層を接続します。まず SSO、次にプロビジョニング、次にグループからロールへのマッピング、そしてすべてが動くことを確認してから、ポリシーの切り替えです。
FortressFlag 側では Owner、Okta 側では Okta 管理者である必要があります。FortressFlag はサインインに SAML を、プロビジョニングに SCIM 2.0 を話します。（OIDC はサポートされていません。）
1. SSO を接続する
Section titled “1. SSO を接続する”管理 → 認証で SSO 接続を設定します。ID プロバイダーのメタデータを貼り付けると、FortressFlag は Okta の SAML アプリ設定が求める 2 つの値を返します。サービスプロバイダーのエンティティ ID（そのメタデータ URL）と ACS URL です。
その値で Okta に SAML アプリを作成し、自分をそれに割り当て、サインインをテストします。組織のログイン画面に、パスワードフォームと並んでシングルサインオンの経路が現れます。この時点で SSO は動きますが必須ではありません。パスワードサインインはまだ機能しており、テスト中はまさにそこにとどまるべきです。
2. プロビジョニング（SCIM）をオンにする
Section titled “2. プロビジョニング（SCIM）をオンにする”同じく管理 → 認証で、SCIM トークンを発行します。SDK キーと同じく、表示されるのは 1 回だけです。Okta のプロビジョニング設定にベアラートークンとしてそのままコピーし、Okta をあなたの FortressFlag SCIM エンドポイント（FortressFlag アドレスの /scim/v2 パス）に向けます。
プロビジョニングがオンになると、人がディレクトリに加わったり離れたりするのに合わせて、Okta が FortressFlag のアカウントを作成、削除します。
- プロビジョニングされた人は、プロジェクトアクセスのない Viewer として始まります。デフォルトで安全です。そこから付与します（あるいは次のセクションのグループマッピングに任せます）。
- デプロビジョニングはアクセスを取り除き、サインアウトさせます。ディレクトリでのオフボーディングはここでのオフボーディングであり、セッションも含みます。
- プロビジョニングによる変更は監査ログに、プロビジョニングトークンに帰属して表示されます。ディレクトリの行動が、そのとおりに記録されます。
- ガードレールが 1 つ。プロビジョニングが組織の最後の Owner を削除することは決してありません。
法務チームが尋ねるであろう注記を 1 つ。プロビジョニングで作成された人はサインアップフォームを一度も見ていないので、管理者がその人に代わってサービス規約に同意します。ダッシュボードがこれを促し、同意はほかと同じように記録されます。
3. グループをロールにマッピングする
Section titled “3. グループをロールにマッピングする”Okta のグループを SCIM でプッシュすると、管理 → 認証のグループマッピングパネルでこのグループ ⇒ このロールと指定できます。eng-leads ⇒ Admin、engineering ⇒ Developer のように。それ以降、ディレクトリのメンバーシップが FortressFlag のロールを決めます。
- 複数のマッピング済みグループに属する人は、もっとも上位のマッピング済みロールを得ます。
- マッピングされたメンバーのロールは、ダッシュボードで ID プロバイダーが管理と表示されます。そこでのロール操作は無効化されています。ディレクトリがすぐに上書きしてしまうからです。
- マッピングされていないグループは何もせず、マッピングが Viewer より下に降格することはありません。
4. SSO を必須にする。すべてが動いたあとで
Section titled “4. SSO を必須にする。すべてが動いたあとで”管理 → 認証に戻り、組織のポリシーを SSO に切り替えます。ここから先、パスワードサインインは全員に対してオフになります。ID プロバイダーが唯一の入口です。
このスイッチは最後に切り替え、その前にこれを読んでください。SSO が必須になると、それを元に戻すにも動作する SSO サインインが必要です。SSO が必須の間に ID プロバイダーが壊れると（期限切れの証明書、削除されたアプリ）、あなたを含めて誰もサインインできなくなり、復旧は設定ページではなくサポートとの会話になります。だから、SSO サインインが動くことを確認し、もう 1 人が入れることを確認し、それから必須にしてください。（ダッシュボードも、接続が存在する前に SSO を必須にすることや、SSO が必須の間に接続を削除することを許しません。ガードレールは同じ方向を向いています。）
- 二要素認証を必須にする：SSO が必要以上なら、より軽量なポリシー
- ロールと安全性：マッピングされたロールが何を許すか
- チームを招待する：ディレクトリ外の協力者のための、いまも残る手動の経路