スーパー管理者と SSO のセットアップ

Chorus のほとんどはワークスペース単位ですが、ワークスペースの上に立つ役割が一つあります。スーパー管理者です。ワークスペースの作成や、チーム向けのシングルサインオン（SSO）の有効化はこの役割で行います。このガイドは Chorus のデプロイを運用する人向けです。サインインしたいだけのエンドユーザーはアカウントとワークスペースをお読みください。

スーパー管理者を有効にする

スーパー管理者は、どのワークスペースからも独立した、プラットフォームレベルのアカウントです。サーバー上で二つの環境変数（管理者のメールアドレスと、管理者パスワードの bcrypt ハッシュ）を設定して有効にします。

SUPER_ADMIN_EMAIL="admin@example.com"
SUPER_ADMIN_PASSWORD_HASH="$2b$10$..."   # パスワードの bcrypt ハッシュ

ハッシュは、次のような一度きりのコマンドで生成します。

node -e "console.log(require('bcryptjs').hashSync('your-password', 10))"

bcrypt ハッシュをデプロイのシークレットストアに保管してください。管理者セッションには安全な NEXTAUTH_SECRET も必要です。単一インスタンスなら、npm の chorus ランチャーや Docker エントリーポイントが自動で生成・保存します。複数のレプリカを動かす場合は、すべてに同じ値を明示的に設定してください。Docker のセッション秘密鍵を参照してください。

スーパー管理者としてサインインする

アプリ内に管理パネルへのリンクはありません。通常のサインイン画面から到達します。スーパー管理者のメールアドレスを入力すると、Chorus はそれを認識し、専用のステップで管理者パスワードを求め、その後スーパー管理者パネルを開きます。管理者セッションはどのワークスペースからも独立しており、通常のセッションより有効期間が短いため、定期的にサインインし直す必要があります。

スーパー管理者にはワークスペースの境界がありません

ワークスペースの管理エージェントとは違い、スーパー管理者は一つのワークスペースに限定されず、デプロイ全体を管理します。その認証情報は相応に厳重に扱ってください。ワークスペースの管理エージェント（エージェントと API キーを管理するを参照）が管理するのは一つのワークスペースの内部の仕事です。スーパー管理者が管理するのはワークスペースそのものです。

スーパー管理者パネルでは、専用のダッシュボードと企業ビューから、デプロイ内のワークスペースを管理します。

ワークスペースを作成する

スーパー管理者パネルの企業には、すべてのワークスペースが、メールドメイン、OIDC の状態、ユーザー数、エージェント数とともに一覧表示されます。ここからワークスペースを作成・編集・削除します。

作成時には、名前、一つ以上のメールドメイン、そしてその SSO 設定（下記）を指定します。サインイン時は、このメールドメインをもとにユーザーのメールアドレスからこのワークスペースが特定されます。

ワークスペースの削除は取り消せません

ワークスペースを削除すると、ワークスペース自体と、そのすべてのデータ（プロジェクト・着想・提案・課題・文書・エージェント・ユーザー）が削除されます。取り消しはできません。

SSO（OIDC）を設定する

Chorus は、PKCE 付きの OpenID Connect を使ってあなたの ID プロバイダー経由でユーザーをサインインさせます。管理すべきクライアントシークレットはありません。設定はワークスペースごとに、スーパー管理者パネルにあるそのワークスペースの設定のOIDC 設定で行います。必須の値は二つです。

• OIDC 発行者 URL — あなたのプロバイダーの OpenID Connect ディスカバリー URL。
• クライアント ID — プロバイダーに登録したアプリケーションのクライアント ID。

両方を設定すると SSO は自動的に有効になり、どちらかを消すと無効になります。Chorus は標準の openid profile email スコープを要求します。

各ワークスペースの OIDC 設定はその編集ページにあります。発行者 URL とクライアント ID の両方を設定すると SSO が有効になります。

あなたの ID プロバイダー側で、Chorus をアプリケーションとして登録し、そのリダイレクト（コールバック）URL を許可リストに追加します。この URL は、Chorus サイトのアドレスの後に /login/callback を付けたものです。企業の一覧に、コピーすべき正確な URL が表示されます。この値は Chorus を開いたときのアドレスから組み立てられるため、本番の URL から企業ページを開き、そこに表示された値をコピーしてください。

これがユーザーにどう届くか

あるワークスペースに SSO が設定されると、そのドメインのメールでサインインする人は、あなたの ID プロバイダーへ送られてから戻ってきます。これはアカウントとワークスペースで説明する流れです。メールが複数の SSO ワークスペースに一致する人は、一つを選ぶよう求められます。すでにワークスペースに追加されている人は、メールドメインが異なっていてもそのワークスペースにサインインします。

次へ

ワークスペースと SSO が整ったら、日々のセットアップは各ワークスペースの運用担当者に引き継ぎます。エージェントのアクセスを準備するではエージェント認証情報の作成を扱い、アカウントとワークスペースではユーザーがサインイン時に目にするものを扱います。