スーパー管理者と認証のセットアップ

Chorus のほとんどはワークスペース単位ですが、ワークスペースの上に立つ役割が一つあります。スーパー管理者です。ワークスペースの作成や、チーム向けのシングルサインオン（SSO）の有効化はこの役割で行います。このガイドは Chorus のデプロイを運用する人向けです。サインインしたいだけのエンドユーザーはアカウントとワークスペースをお読みください。

スーパー管理者を有効にする

スーパー管理者は、どのワークスペースからも独立した、プラットフォームレベルのアカウントです。サーバー上で二つの環境変数（管理者のメールアドレスと、管理者パスワードの bcrypt ハッシュ）を設定して有効にします。

SUPER_ADMIN_EMAIL="admin@example.com"
SUPER_ADMIN_PASSWORD_HASH="$2b$10$..."   # パスワードの bcrypt ハッシュ

ハッシュは、次のような一度きりのコマンドで生成します。

node -e "console.log(require('bcryptjs').hashSync('your-password', 10))"

bcrypt ハッシュをデプロイのシークレットストアに保管してください。管理者セッションには安全な NEXTAUTH_SECRET も必要です。単一インスタンスなら、npm の chorus ランチャーや Docker エントリーポイントが自動で生成・保存します。複数のレプリカを動かす場合は、すべてに同じ値を明示的に設定してください。Docker のセッション秘密鍵を参照してください。

スーパー管理者としてサインインする

アプリ内に管理パネルへのリンクはありません。通常のサインイン画面から到達します。スーパー管理者のメールアドレスを入力すると、Chorus はそれを認識し、専用のステップで管理者パスワードを求め、その後スーパー管理者パネルを開きます。管理者セッションはどのワークスペースからも独立しており、通常のセッションより有効期間が短いため、定期的にサインインし直す必要があります。

スーパー管理者にはワークスペースの境界がありません

ワークスペースの管理エージェントとは違い、スーパー管理者は一つのワークスペースに限定されず、デプロイ全体を管理します。その認証情報は相応に厳重に扱ってください。ワークスペースの管理エージェント（エージェントと API キーを管理するを参照）が管理するのは一つのワークスペースの内部の仕事です。スーパー管理者が管理するのはワークスペースそのものです。

スーパー管理者パネルでは、専用のダッシュボードと企業ビューから、デプロイ内のワークスペースを管理します。

ワークスペースを作成する

スーパー管理者パネルの企業一覧からワークスペースを作成・編集・削除できます。企業を作成フォームで認証方式を選びます。

• OIDC：名前、メールドメイン、下記の SSO 設定を入力します。ドメインはメールからワークスペースを特定するために使います。
• ローカルアカウント：名前と、初期ワークスペース管理者のユーザー名・メールを入力します。表示名は任意です。メールドメインや OIDC プロバイダーは不要です。作成後に一回限りの招待をコピーして安全に共有し、管理者自身がパスワードを設定して別途ログインします。

一つのワークスペースでローカルアカウントと OIDC は併用できません。編集による認証方式の変更もできません。ローカルワークスペースの名前は変更できますが、OIDC やドメインの項目は編集できません。環境変数で定義する Default Auth アカウントは別のログイン方式であり、初期ローカル管理者ではありません。

初期招待を復旧する

初期管理者が招待を承認する前なら、企業からローカルワークスペースを開き、招待を再発行・取り消し・置換できます。再発行は古いリンクを無効にします。置換では同じユーザー名やメールでも新しい ID が作られます。取り消し後は同じパネルから代わりの管理者を招待できます。いずれかの初期管理者の招待が承認された後は、この初期設定の復旧は終了します。以後の管理はスーパー管理者ではなく、ローカルのワークスペース管理者が サイドバーの設定の下にあるワークスペースのユーザーで行います。ローカルユーザー管理をご覧ください。

ローカルアカウントを選ぶと、OIDC プロバイダーなしでワークスペースを作成し、最初の管理者を招待できます。

ワークスペースの削除は取り消せません

ワークスペースを削除すると、ワークスペース自体と、そのすべてのデータ（プロジェクト・着想・提案・課題・文書・エージェント・ユーザー）が削除されます。取り消しはできません。

SSO（OIDC）を設定する

以下は OIDC 方式のワークスペース専用の設定です。ローカルワークスペースには OIDC 設定カードは表示されません。

Chorus は、PKCE 付きの OpenID Connect を使ってあなたの ID プロバイダー経由でユーザーをサインインさせます。管理すべきクライアントシークレットはありません。設定はワークスペースごとに、スーパー管理者パネルにあるそのワークスペースの設定のOIDC 設定で行います。必須の値は二つです。

• OIDC 発行者 URL — あなたのプロバイダーの OpenID Connect ディスカバリー URL。
• クライアント ID — プロバイダーに登録したアプリケーションのクライアント ID。

両方を設定すると SSO は自動的に有効になり、どちらかを消すと無効になります。Chorus は標準の openid profile email スコープを要求します。

作成時に OIDC を選び、プロバイダーを設定します。既存の OIDC ワークスペースでも後から編集できます。

あなたの ID プロバイダー側で、Chorus をアプリケーションとして登録し、そのリダイレクト（コールバック）URL を許可リストに追加します。この URL は、Chorus サイトのアドレスの後に /login/callback を付けたものです。企業の一覧に、コピーすべき正確な URL が表示されます。この値は Chorus を開いたときのアドレスから組み立てられるため、本番の URL から企業ページを開き、そこに表示された値をコピーしてください。

これがユーザーにどう届くか

あるワークスペースに SSO が設定されると、そのドメインのメールでサインインする人は、あなたの ID プロバイダーへ送られてから戻ってきます。これはアカウントとワークスペースで説明する流れです。メールが複数の SSO ワークスペースに一致する人は、一つを選ぶよう求められます。すでにワークスペースに追加されている人は、メールドメインが異なっていてもそのワークスペースにサインインします。

次へ

ワークスペースと SSO が整ったら、日々のセットアップは各ワークスペースの運用担当者に引き継ぎます。エージェントのアクセスを準備するではエージェント認証情報の作成を扱い、アカウントとワークスペースではユーザーがサインイン時に目にするものを扱います。