セキュリティ
Security タブでは、認可された role が Enterprise SSO と IP Access を設定します。どちらも plan/role gate の対象です。
IP Access#
信頼する IPv4 CIDR を追加して organization IP policy を有効にします。有効な rule の外からの request は ORG_IP_DENIED で拒否され、workspace shell に access-denied notice が表示されます。許可された network へ移動するか、admin に rule 修正を依頼してください。
SSO の設定と強制には Enterprise Cloud サブスクリプションが必要です。既存プロバイダーの削除と強制の解除は、どのプランでも実行できます。
SSO プロトコル#
2 つのプロトコルから選択します。
| プロトコル | 入力する情報 |
|---|---|
| OIDC | Issuer URL、Client ID、Client Secret。任意でカスタム Discovery Endpoint（既定は
issuer/.well-known/openid-configuration）。フォームに表示される Callback URL を IdP 側の許可リダイレクト
URI に登録してください。 |
| SAML | IdP Entry Point URL、IdP Issuer、IdP 証明書（PEM）。任意で IdP メタデータ XML の貼り付けも可能です。フォームに表示される ACS URL・SP Entity ID・SP Metadata URL を IdP に登録してください。 |
Client Secret（OIDC）と証明書（SAML）は保存後に再表示されません。フォームには設定済みかどうかだけが表示されます。差し替える場合は値を再入力してください。
メールドメイン#
組織で使用するメールドメイン（例：company.com）を追加します。SSO の強制を有効にするには、事前にドメインの検証が必要です。
検証方法
| 方法 | 仕組み |
|---|---|
| DNS TXT | ドメイン追加時にチャレンジトークンが生成されます。_sotaagents-sso-verify.<domain> にトークンを含む DNS TXT
レコードを作成し、「Verify DNS」をクリックします。 |
| Manual | SotaAgents 運営チームがドメイン申請を確認し、承認または却下します。 |
SSO のテスト#
Test SSO をクリックすると、設定した IdP との実際のラウンドトリップが開始されます。結果はインラインで表示されます。強制を有効にするには、この接続テストに合格している必要があります。
SSO の強制#
Enforce SSO トグルを有効にすると、メンバーは設定済みの IdP を通じた認証が必須になります。有効化には次の条件をすべて満たす必要があります。
- プロバイダーが保存済みであること。
- 1 つ以上のドメインが検証済みであること。
- 現在の設定で SSO 接続テストに合格していること。
強制が有効な状態で IdP の設定が不正になった場合は、サポートにご連絡ください。SotaAgents 運営チームがリカバリー用エンドポイント経由で強制を解除し、アクセスを復旧できます。