Super Admin と SSO のセットアップ
Chorus のほとんどはワークスペース単位ですが、ワークスペースの上に立つ役割が一つあります。Super Admin です。これはワークスペースを作成し、チームのためにシングルサインオン（SSO）を有効にするための入り口です。このガイドは Chorus のデプロイを運用する人向けです。サインインしたいだけのエンドユーザーはアカウントとワークスペースをお読みください。
Super Admin を有効にする
Section titled “Super Admin を有効にする”Super Admin は、どのワークスペースからも独立した、プラットフォームレベルのログインです。サーバー上で二つの環境変数、つまり管理者のメールアドレスと、管理者パスワードの bcrypt ハッシュで有効にします。
SUPER_ADMIN_EMAIL="admin@example.com"SUPER_ADMIN_PASSWORD_HASH="$2b$10$..." # パスワードの bcrypt ハッシュハッシュは、次のような一度きりのコマンドで生成します。
node -e "console.log(require('bcryptjs').hashSync('your-password', 10))"ハッシュはデプロイのシークレットストアに保管し、平文のパスワードは決して保管しないでください。管理者セッションの署名には NEXTAUTH_SECRET の設定も必要です（これはアプリ全体で必須です）。
Super Admin としてサインインする
Section titled “Super Admin としてサインインする”アプリ内に管理パネルへのリンクはありません。通常のサインイン画面から到達します。Super Admin のメールアドレスを入力すると、Chorus はそれを認識し、専用のステップで管理者パスワードを求め、その後 Super Admin パネルを開きます。管理者セッションはどのワークスペースからも独立しており、通常のセッションより短命なので、定期的にサインインし直します。
ワークスペースを作成する
Section titled “ワークスペースを作成する”Super Admin パネルの Companies は、すべてのワークスペースを、そのメールドメイン、OIDC の状態、ユーザー数とエージェント数とともに一覧します。ここからワークスペースを作成・編集・削除します。
作成時には、名前、一つ以上のメールドメイン、そしてその SSO 設定（下記）を与えます。メールドメインは、サインイン時に人のメールアドレスからこのワークスペースを見つけ出す手がかりになります。
SSO（OIDC）を設定する
Section titled “SSO（OIDC）を設定する”Chorus は、PKCE 付きの OpenID Connect を使ってあなたの ID プロバイダー経由でユーザーをサインインさせます。管理すべき client secret はありません。設定はワークスペースごとに、Super Admin パネル内のそのワークスペースの設定で、OIDC Configuration の下で行います。必須の値は二つです。
- OIDC Issuer URL — あなたのプロバイダーの OpenID Connect ディスカバリー URL。
- Client ID — プロバイダー側のアプリケーションの client ID。
両方を設定すると SSO は自動的に有効になり、どちらかを消すと無効になります。Chorus は標準の openid profile email スコープを要求します。
あなたの ID プロバイダー側で、Chorus をアプリケーションとして登録し、そのリダイレクト（コールバック）URL をホワイトリストに追加します。これは、あなたの Chorus サイトのアドレスの後に /login/callback を付けたものです。Companies の一覧に、そのままコピーできる正確な URL が表示されます。これはあなたが実際に Chorus にアクセスするアドレスから組み立てられるので、本番の URL から Companies ページを開き、そこに表示された値をコピーしてください。
これがユーザーにどう届くか
Section titled “これがユーザーにどう届くか”あるワークスペースに SSO が設定されると、そのドメインのメールでサインインする人は、あなたの ID プロバイダーへ送られてから戻ってきます。これはアカウントとワークスペースで説明する流れです。メールが複数の SSO ワークスペースに一致する人は、一つを選ぶよう求められます。すでにあるワークスペースに追加された人は、メールドメインが違ってもそのワークスペースに解決されます。
ワークスペースと SSO が整ったら、日々のセットアップは各ワークスペースの運用担当者に引き継ぎます。エージェントのアクセスを準備するではエージェント認証情報の作成を扱い、アカウントとワークスペースではユーザーがサインイン時に目にするものを扱います。