エンタープライズ シングル サインオン (SSO)

FlytBase はエンタープライズ シングル サインオン (SSO) をサポートしており、組織が既存の ID プロバイダー (IdP) (Azure Active Directory、Okta、Ping Identity など) を統合してユーザーを認証できるようにします。

この機能は、セキュリティとコンプライアンスが重要なドローン・イン・ア・ボックス・システムを大規模に運用する企業向けに設計されています。 IdP に接続すると、個別の FlytBase 資格情報を作成することなく、認証を一元化し、既存の企業セキュリティ ポリシーを適用し、ユーザーのオンボーディングを簡素化できます。

仕組み

FlytBase は、認証標準として OpenID Connect (OIDC) を使用して OAuth 2.0 を実装します。 ユーザーがログインしようとすると:

1. FlytBase はログイン要求を IdP にリダイレクトします。
2. IdP はユーザーの ID (MFA、パスワード ポリシー、または条件付きアクセス ルールを含む) を検証します。
3. 認証が成功すると、IdP は FlytBase にトークンを発行します。
4. FlytBase は、IdP の JWKS (JSON Web Key Set) を使用してこれらのトークンを検証し、アクセスを許可します。

このフローにより、FlytBase がユーザーのパスワードを直接処理することがなくなります。

サポートされている規格

• プロトコル: OAuth 2.0 + OIDC
• Flows: 認証コード フロー (PKCE サポートあり)
• スコープ: openid、プロファイル、電子メール
• 暗号化: すべての接続に TLS 1.2+ を適用

構成手順

ステップ1-IdPにFlytBaseを登録する

• IdP コンソール (Azure AD、Okta など) で、新しいアプリケーション/クライアントを作成します。
• 認証プロトコルとして OIDC / OAuth 2.0 を選択します。
• FlytBase によって提供されるリダイレクト URI を追加します (例: https://<org>.flytbase.com/auth/callback)。
• openid、profile、email のスコープを付与します。

ステップ 2 — IdP の詳細を FlytBase と共有する

IT チームは、FlytBase のテクニカル リードに次の情報を提供する必要があります。

• 認可エンドポイント URL
• トークンエンドポイントURL
• JWKS エンドポイント URL
• クライアントIDとクライアントシークレット

ステップ 3 — FlytBase の構成

FlytBase チームは、提供された IdP メタデータを使用して組織を構成します。

ステップ 4 — 統合の検証

• ステージングでログイン フローをテストします。
• トークン交換とユーザー ID マッピングを確認します。
• 成功したら、本番環境にデプロイします。

ユーザーのマッピングと役割

• 既存の FlytBase アカウントの電子メールが IdP の電子メールと一致する場合、ユーザーは自動的にリンクされ、データは失われません。
• 新しいユーザーは最初のログイン時に作成されます (ジャストインタイム プロビジョニング)。
• ロール (管理者、オペレーター、ビューアー) は、ロールベースのアクセス制御 (RBAC) を使用して FlytBase で引き続き管理されます。

導入に関する考慮事項

• クラウド: すぐに使用できます。
• オンプレミス: FlytBase サーバーと IdP エンドポイント間の接続が必要です。
• エアギャップ: 事前共有 IdP メタデータとオフライン検証でサポートされます。 FlytBase サポートにお問い合わせください。

トラブルシューティング

• リダイレクト URI の不一致 → URI が IdP と FlytBase で正確に一致することを確認します。
• 無効なスコープエラー → openid、プロフィール、電子メールが許可されていることを確認してください。
• トークン検証の失敗 → JWKS エンドポイントが到達可能であることを確認してください。
• ユーザーが見つからない → IdP のユーザーの電子メールが FlytBase プロファイルと一致するかどうかを確認します。

認証試行のシステム ログは、[管理コンソール] → [システム ログ] → [認証イベント] で確認できます。