アクセス制御

誰がサインインでき、何ができるかに関する設定は、すべて IAM & Security にあります。接続されたすべてのクラウドに同じモデルが適用されるため、ひとつのユーザー、プロジェクト、ロールのセットですべてを統制できます。背景となる概念は基本概念を参照してください。

一般的な設定の流れ

ドメインを決める。 ひとつの組織で使う場合は Default ドメインのままで構いません。テナント（子会社や顧客）ごとにユーザーとプロジェクトを独立して管理する必要がある場合は、テナントごとにドメインを作成します。
プロジェクトを作成する。 チーム、アプリケーション、環境ごとなど、リソースの管理単位に合わせて作成します。
ユーザーを追加する。 または、既存のアカウントでサインインできるようにディレクトリを接続します（下記参照）。
ユーザーまたはグループを、ロール付きでプロジェクトに追加する。 プロジェクトに属さないユーザーはサインインできても何も表示されません。
クォータを設定する。 各プロジェクトが作成できる量を制限したい場合に設定します。

メニュー	できること
Domain	テナントを作成します。各ドメインは独自のユーザー、グループ、プロジェクト、ロールを持ち、専用の管理者を置けます。
Project	プロジェクトの作成、ロール付きのユーザーやグループの追加、クォータの設定、プロジェクトが所有するリソースの確認を行います。
Group	ユーザーをまとめ、プロジェクトに一括で追加できるようにします。
User	ユーザーの作成、パスワードのリセット、サインインの有効化／無効化、所属プロジェクトの確認を行います。

ロール は、プロジェクト内でのユーザーの役割です。組み込みロールで一般的なケースをカバーでき、独自のロールも追加できます。

組み込みロール	用途
`project_viewer`、`project_editor`、`project_owner`	ひとつのプロジェクトに対する読み取り専用、日常運用、完全な管理
`domain_viewer`、`domain_editor`、`domainadmin`	ドメイン全体に対する同じレベル
`admin`	プラットフォーム全体の完全な管理
`sys_secadmin`、`sys_opsadmin`、`sys_adtadmin`（および `domain_…` の対応ロール）	セキュリティ、運用、監査の管理者を分離する必要がある組織向け

権限（ポリシー）は、ロールに許可される操作の一覧です。適用範囲はシステム全体、ひとつのドメイン、ひとつのプロジェクトのいずれかです。複数のロールを持つ場合は、最も広い権限が適用されます。

組み込みポリシーは変更せず、より狭い権限が必要な場合は新しいポリシーを作成してください。カスタムポリシーに誤りがあった場合でも、組み込みポリシーに戻せます。

Cloud Shell は、システムの sysadmin ポリシー（system プロジェクトの admin ロールで付与）を持つセッションに限られます。ターミナル内のコマンドがプラットフォームの全権限で実行されるためです。Cloud Shell を参照してください。

Authentication Domain では、Constella を外部の ID システムに接続します。

ソース	用途
LDAP / Microsoft Active Directory	ユーザーがディレクトリのアカウントでサインインします。ユーザーとグループは Constella のドメインに同期されます。
SAML 2.0	ADFS、Azure AD (Entra ID)、Okta などの ID プロバイダーによるシングルサインオン
OpenID Connect、OAuth2	OIDC または OAuth2 に対応したプロバイダーによるシングルサインオン
CAS	CAS サーバーによるシングルサインオン

ソースを設定すると、サインイン画面のユーザー名とパスワードのフォームの横にそのソースが表示されます。

Security Alerts には、プラットフォームが検出したセキュリティ関連のイベントが、発生日時と内容とともに表示されます。定期的に確認するか、通知トピックを使って担当者に通知してください。