Chorus のほとんどはワークスペース単位ですが、ワークスペースの上に立つ役割が一つあります。**スーパー管理者**です。ワークスペースの作成や、チーム向けのシングルサインオン（SSO）の有効化はこの役割で行います。このガイドは Chorus のデプロイを運用する人向けです。サインインしたいだけのエンドユーザーは[アカウントとワークスペース](/ja/guides/account-and-workspace/)をお読みください。

## スーパー管理者を有効にする

スーパー管理者は、どのワークスペースからも独立した、プラットフォームレベルのアカウントです。サーバー上で二つの環境変数（管理者のメールアドレスと、管理者パスワードの bcrypt ハッシュ）を設定して有効にします。

```sh
SUPER_ADMIN_EMAIL="admin@example.com"
SUPER_ADMIN_PASSWORD_HASH="$2b$10$..."   # パスワードの bcrypt ハッシュ
```

ハッシュは、次のような一度きりのコマンドで生成します。

```sh
node -e "console.log(require('bcryptjs').hashSync('your-password', 10))"
```

bcrypt ハッシュをデプロイのシークレットストアに保管してください。管理者セッションには安全な `NEXTAUTH_SECRET` も必要です。単一インスタンスなら、npm の `chorus` ランチャーや Docker エントリーポイントが自動で生成・保存します。複数のレプリカを動かす場合は、すべてに同じ値を明示的に設定してください。[Docker のセッション秘密鍵](/ja/guides/deploy-docker/#セッションの秘密鍵nextauth_secret)を参照してください。

## スーパー管理者としてサインインする

アプリ内に管理パネルへのリンクはありません。通常のサインイン画面から到達します。スーパー管理者のメールアドレスを入力すると、Chorus はそれを認識し、専用のステップで管理者パスワードを求め、その後**スーパー管理者**パネルを開きます。管理者セッションはどのワークスペースからも独立しており、通常のセッションより有効期間が短いため、定期的にサインインし直す必要があります。

:::caution[スーパー管理者にはワークスペースの境界がありません]
ワークスペースの管理エージェントとは違い、スーパー管理者は一つのワークスペースに限定されず、デプロイ全体を管理します。その認証情報は相応に厳重に扱ってください。ワークスペースの**管理エージェント**（[エージェントと API キーを管理する](/ja/guides/manage-agents/)を参照）が管理するのは*一つのワークスペースの内部*の仕事です。スーパー管理者が管理するのは*ワークスペースそのもの*です。
:::

![ダッシュボードと企業のナビゲーション、およびワークスペース・ユーザー・エージェントの件数を表示するスーパー管理者パネルのダッシュボード](/images/workspace/super-admin.webp)

## ワークスペースを作成する

スーパー管理者パネルの**企業**には、すべてのワークスペースが、メールドメイン、OIDC の状態、ユーザー数、エージェント数とともに一覧表示されます。ここからワークスペースを作成・編集・削除します。

作成時には、**名前**、一つ以上の**メールドメイン**、そしてその SSO 設定（下記）を指定します。サインイン時は、このメールドメインをもとにユーザーのメールアドレスからこのワークスペースが特定されます。

:::caution[ワークスペースの削除は取り消せません]
ワークスペースを削除すると、ワークスペース自体と、そのすべてのデータ（プロジェクト・着想・提案・課題・文書・エージェント・ユーザー）が削除されます。取り消しはできません。
:::

## SSO（OIDC）を設定する

Chorus は、PKCE 付きの OpenID Connect を使ってあなたの ID プロバイダー経由でユーザーをサインインさせます。管理すべき**クライアントシークレットはありません**。設定はワークスペースごとに、スーパー管理者パネルにあるそのワークスペースの設定の**OIDC 設定**で行います。必須の値は二つです。

- **OIDC 発行者 URL** — あなたのプロバイダーの OpenID Connect ディスカバリー URL。
- **クライアント ID** — プロバイダーに登録したアプリケーションのクライアント ID。

両方を設定すると SSO は自動的に有効になり、どちらかを消すと無効になります。Chorus は標準の `openid profile email` スコープを要求します。

![スーパー管理者パネルのワークスペース編集ページ。発行者 URL とクライアント ID のフィールドを持つ OIDC 設定カードを表示している](/images/workspace/super-admin-oidc.webp)

あなたの ID プロバイダー側で、Chorus をアプリケーションとして登録し、その**リダイレクト（コールバック）URL** を許可リストに追加します。この URL は、Chorus サイトのアドレスの後に `/login/callback` を付けたものです。**企業**の一覧に、コピーすべき正確な URL が表示されます。この値は Chorus を開いたときのアドレスから組み立てられるため、本番の URL から**企業**ページを開き、そこに表示された値をコピーしてください。

### これがユーザーにどう届くか

あるワークスペースに SSO が設定されると、そのドメインのメールでサインインする人は、あなたの ID プロバイダーへ送られてから戻ってきます。これは[アカウントとワークスペース](/ja/guides/account-and-workspace/)で説明する流れです。メールが複数の SSO ワークスペースに一致する人は、一つを選ぶよう求められます。すでにワークスペースに追加されている人は、メールドメインが異なっていてもそのワークスペースにサインインします。

## 次へ

ワークスペースと SSO が整ったら、日々のセットアップは各ワークスペースの運用担当者に引き継ぎます。[エージェントのアクセスを準備する](/ja/guides/administrator-setup/)ではエージェント認証情報の作成を扱い、[アカウントとワークスペース](/ja/guides/account-and-workspace/)ではユーザーがサインイン時に目にするものを扱います。