Menu
idp-serverのエンタープライズ機能の全体像を把握する際に使用。組織ガバナンス、法規制、監査、スケールの4観点で提供・未提供機能を整理し、今後の拡張方針の判断に役立つ。
Install with Codex or Claude Copy this prompt, paste it into Codex, Claude, or another assistant, and let it review the skill page and install it for you.
Based on SOC occupation classification
UserInfoエンドポイント（UserInfo Endpoint）機能の開発・修正を行う際に使用。UserInfo claims、scopeフィルタリング、verified_claims実装時に役立つ。
外部API認証ユースケースの設定ガイド。外部API連携（認証委譲、リスク判定、OTP等）の interaction 設計、identity_match_field、MFA 2段階目、previous_interaction のヒアリングと設定JSONを提供。
ユースケース別セットアップのエントリポイント。ユーザーにユースケースを選択してもらい、対応するスキル（use-case-login, use-case-mfa等）にルーティングする。共通ワークフロー、前提条件、組み合わせパターンの概要を提供。
認証機能（Authentication Policy, MFA）の開発・修正を行う際に使用。認証ポリシー、パスワード、OTP、FIDO2、条件付き認証実装時に役立つ。
セキュリティ・脆弱性対策の開発・テストを行う際に使用。OAuth/OIDC攻撃対策、認証識別子切り替え攻撃、Session Fixation、マルチテナント分離、セキュリティテスト実装時に役立つ。
外部サービス連携（External Service Integration）機能の開発・修正を行う際に使用。HTTP Request Executor, MappingRule, OAuth/HMAC認証実装時に役立つ。
| name | spec-enterprise |
| description | idp-serverのエンタープライズ機能の全体像を把握する際に使用。組織ガバナンス、法規制、監査、スケールの4観点で提供・未提供機能を整理し、今後の拡張方針の判断に役立つ。 |
「技術的に動く」ではなく**「組織・法規制・監査・スケールに耐える」**。
| 観点 | 「技術的に動く」 | 「エンタープライズ」 |
|---|---|---|
| 組織 | 1人の管理者が全部見る | 部門別の委任管理、承認フロー、職掌分離 |
| 法規制 | 機能がある | 証跡が残る、説明できる、監査に耐える |
| 監査 | ログが出る | いつ誰が何をなぜ変えたか追跡可能 |
| スケール | 動く | 数千テナント、数百万ユーザーで安定運用 |
idp-serverは Organization → Tenant → User/Role/Permission の階層で、マルチテナント環境の組織管理を提供する。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| マルチテナント分離 | テナント間のデータ・設定の完全分離。PostgreSQL RLSによるDB層強制 | ops-tenant-config |
| 組織階層管理 | Organization → Tenant → User/Role の階層構造 | dev-control-plane |
| RBAC | ロール・パーミッションによるアクセス制御 | spec-rbac, dev-control-plane |
| 委任管理 | 組織管理者への管理権限委譲（Organization-level API） | spec-rbac, dev-control-plane |
| 委任管理の粒度制御 | Resource×Action単位の細粒度権限（73種類）+ ワイルドカード委譲 | spec-rbac |
idp:resource:action 形式で73種類の権限を定義（ワイルドカード含む）。AWS IAMスタイルのワイルドカードマッチング（idp:*, idp:user:*）により段階的な権限委譲が可能。OrganizationAccessVerifier による4段階の組織スコープ検証で、マルチテナント環境での安全な委任管理を実現。
詳細は spec-rbac スキルを参照。
| 機能 | 説明 |
|---|---|
| リソースID単位の制限 | 「特定クライアントのみ編集可」等の個別リソースへのアクセス制限 |
| MemberRoleの活用 | OWNER/EDITOR/VIEWER等の組織内ロールと権限体系の紐付け |
| 設定変更の承認フロー | 4-eyes principle、maker-checker（変更申請→承認→適用） |
| 職掌分離の強制 | 設定者と承認者の分離を技術的に強制 |
| 設定変更のロールバック | 任意の時点への設定巻き戻し |
| 設定のバージョン管理 | 変更履歴の世代管理 |
| 環境間プロモーション | dev → staging → prod の設定昇格フロー |
idp-serverは金融規制（FAPI）と身元確認（OIDC4IDA）に特化した規制対応機能を提供する。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| eKYC/身元確認 | OIDC4IDA準拠の外部eKYCサービス連携 | spec-identity-verification, use-case-ekyc |
| verified_claims | 身元確認済み属性の発行・管理 | spec-identity-verification |
| FAPI準拠 | FAPI 1.0 Baseline/Advanced、mTLS、PAR、JARM | spec-fapi, use-case-financial-grade |
| FAPI CIBA | 金融グレードのデバイス分離認証 | spec-ciba, use-case-ciba |
| 同意管理 | OAuth同意の取得・記録 | spec-grant |
| Verifiable Credentials | OID4VCI準拠のCredential発行 | spec-verifiable-credentials |
| PII制御 | セキュリティイベントログのPII出力制御（include_user_pii等） | spec-security-event |
| 機能 | 説明 |
|---|---|
| GDPR削除要求 | Right to be forgotten対応（ユーザーデータの完全削除） |
| データ保持ポリシー | 期間指定の自動削除・アーカイブ |
| データ所在地制御 | リージョン制約（データレジデンシー） |
| 規制準拠レポート | 定期レポート自動生成 |
| 同意の取消・履歴 | 同意変更の追跡可能性 |
idp-serverは2つの独立した記録体系を持つ。監査ログ（管理操作の追跡）とセキュリティイベント（認証・認可フローの記録）は別のテーブル・別の仕組みで動作する。
管理API操作の「誰が何をいつどう変えたか」を記録する。audit_log テーブルに保存。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| 設定変更の差分記録 | 変更前/変更後の両方を保存するdiff記録（before/after ペイロード） | dev-control-plane |
| 監査ログ取得API | Management APIからの監査ログ取得・検索 | dev-control-plane |
| テナント統計 | テナント単位のメトリクス収集 | ops-deployment |
OAuth/OIDCフローの「認証・認可で何が起きたか」を記録する。security_event テーブルに保存。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| セキュリティイベント記録 | 認可フロー、トークン発行、ログアウト、CIBA等のイベント記録 | spec-security-event |
| セキュリティイベントフック | イベント駆動のフック連携（Slack/Email/Webhook/Datadog/SSF） | spec-security-event |
| Shared Signals Framework | リアルタイムセキュリティイベントストリーミング | spec-security-event |
| パーティショニング | 日単位RANGE、90日保持。pg_partman / MySQL Event Schedulerで自動管理 | spec-security-event |
| アーカイブ | 90日超過データをarchiveスキーマにDETACH → 外部エクスポート（stub実装） | spec-security-event |
| security_event | audit_log | |
|---|---|---|
| パーティショニング | 日単位（90日保持） | なし |
| アーカイブ | 自動（pg_partman / Event Scheduler） | なし |
| 保持方針 | 90日後に削除 | 永続保存（コンプライアンス要件） |
| 機能 | 対象 | 説明 |
|---|---|---|
| 変更理由の記録 | 監査ログ | なぜ変更したか（チケット番号・変更理由の記録） |
| 改ざん不能ログ | 両方 | append-only、署名付きログ |
| 監査ログの長期保存戦略 | 監査ログ | 永続保存テーブルの肥大化対策（外部アーカイブ等） |
| 定期監査レポート | 両方 | 監査人向けレポート自動生成 |
idp-serverはPostgreSQL RLSによるDB層のテナント分離と、両DB対応による柔軟なデプロイを提供する。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| PostgreSQL RLS | DB層でのテナント分離強制（FORCE ROW LEVEL SECURITY） | dev-database |
| 両DB対応 | PostgreSQL / MySQL | dev-database |
| ヘルスチェック | サービス死活監視エンドポイント | ops-deployment |
| テナント統計 | メトリクス収集 | ops-deployment |
| 期限切れデータ削除 | 不要データの自動クリーンアップ | ops-deployment |
| 機能 | 説明 |
|---|---|
| 障害の影響局所化 | blast radius制御（障害時の影響範囲の限定） |
| バックアップ/リストア | 設定・データの世代管理 |
| キャパシティプランニング | 使用量予測・アラート |
| 優先度 | 機能 | 理由 |
|---|---|---|
| 1 | 変更理由の記録 | 監査ログに reason フィールド追加。低コスト高効果 |
| 2 | 委任管理の粒度制御 | MemberRoleと権限体系の紐付け等 |
| 3 | GDPR削除要求 | eKYC/verified_claimsとセットで規制対応の訴求力大 |
$ARGUMENTS