Menu
idp-serverのエンタープライズ機能の全体像を把握する際に使用。組織ガバナンス、法規制、監査、スケールの4観点で提供・未提供機能を整理し、今後の拡張方針の判断に役立つ。
Installer avec Codex ou Claude Copiez ce prompt, collez-le dans Codex, Claude ou un autre assistant, puis laissez-le vérifier la page du skill et l'installer pour vous.
Basé sur la classification professionnelle SOC
UserInfoエンドポイント（UserInfo Endpoint）機能の開発・修正を行う際に使用。UserInfo claims、scopeフィルタリング、verified_claims実装時に役立つ。
外部API認証ユースケースの設定ガイド。外部API連携（認証委譲、リスク判定、OTP等）の interaction 設計、identity_match_field、MFA 2段階目、previous_interaction のヒアリングと設定JSONを提供。
ユースケース別セットアップのエントリポイント。ユーザーにユースケースを選択してもらい、対応するスキル（use-case-login, use-case-mfa等）にルーティングする。共通ワークフロー、前提条件、組み合わせパターンの概要を提供。
認証機能（Authentication Policy, MFA）の開発・修正を行う際に使用。認証ポリシー、パスワード、OTP、FIDO2、条件付き認証実装時に役立つ。
セキュリティ・脆弱性対策の開発・テストを行う際に使用。OAuth/OIDC攻撃対策、認証識別子切り替え攻撃、Session Fixation、マルチテナント分離、セキュリティテスト実装時に役立つ。
外部サービス連携（External Service Integration）機能の開発・修正を行う際に使用。HTTP Request Executor, MappingRule, OAuth/HMAC認証実装時に役立つ。
| name | spec-enterprise |
| description | idp-serverのエンタープライズ機能の全体像を把握する際に使用。組織ガバナンス、法規制、監査、スケールの4観点で提供・未提供機能を整理し、今後の拡張方針の判断に役立つ。 |
「技術的に動く」ではなく**「組織・法規制・監査・スケールに耐える」**。
| 観点 | 「技術的に動く」 | 「エンタープライズ」 |
|---|---|---|
| 組織 | 1人の管理者が全部見る | 部門別の委任管理、承認フロー、職掌分離 |
| 法規制 | 機能がある | 証跡が残る、説明できる、監査に耐える |
| 監査 | ログが出る | いつ誰が何をなぜ変えたか追跡可能 |
| スケール | 動く | 数千テナント、数百万ユーザーで安定運用 |
idp-serverは Organization → Tenant → User/Role/Permission の階層で、マルチテナント環境の組織管理を提供する。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| マルチテナント分離 | テナント間のデータ・設定の完全分離。PostgreSQL RLSによるDB層強制 | ops-tenant-config |
| 組織階層管理 | Organization → Tenant → User/Role の階層構造 | dev-control-plane |
| RBAC | ロール・パーミッションによるアクセス制御 | spec-rbac, dev-control-plane |
| 委任管理 | 組織管理者への管理権限委譲（Organization-level API） | spec-rbac, dev-control-plane |
| 委任管理の粒度制御 | Resource×Action単位の細粒度権限（73種類）+ ワイルドカード委譲 | spec-rbac |
idp:resource:action 形式で73種類の権限を定義（ワイルドカード含む）。AWS IAMスタイルのワイルドカードマッチング（idp:*, idp:user:*）により段階的な権限委譲が可能。OrganizationAccessVerifier による4段階の組織スコープ検証で、マルチテナント環境での安全な委任管理を実現。
詳細は spec-rbac スキルを参照。
| 機能 | 説明 |
|---|---|
| リソースID単位の制限 | 「特定クライアントのみ編集可」等の個別リソースへのアクセス制限 |
| MemberRoleの活用 | OWNER/EDITOR/VIEWER等の組織内ロールと権限体系の紐付け |
| 設定変更の承認フロー | 4-eyes principle、maker-checker（変更申請→承認→適用） |
| 職掌分離の強制 | 設定者と承認者の分離を技術的に強制 |
| 設定変更のロールバック | 任意の時点への設定巻き戻し |
| 設定のバージョン管理 | 変更履歴の世代管理 |
| 環境間プロモーション | dev → staging → prod の設定昇格フロー |
idp-serverは金融規制（FAPI）と身元確認（OIDC4IDA）に特化した規制対応機能を提供する。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| eKYC/身元確認 | OIDC4IDA準拠の外部eKYCサービス連携 | spec-identity-verification, use-case-ekyc |
| verified_claims | 身元確認済み属性の発行・管理 | spec-identity-verification |
| FAPI準拠 | FAPI 1.0 Baseline/Advanced、mTLS、PAR、JARM | spec-fapi, use-case-financial-grade |
| FAPI CIBA | 金融グレードのデバイス分離認証 | spec-ciba, use-case-ciba |
| 同意管理 | OAuth同意の取得・記録 | spec-grant |
| Verifiable Credentials | OID4VCI準拠のCredential発行 | spec-verifiable-credentials |
| PII制御 | セキュリティイベントログのPII出力制御（include_user_pii等） | spec-security-event |
| 機能 | 説明 |
|---|---|
| GDPR削除要求 | Right to be forgotten対応（ユーザーデータの完全削除） |
| データ保持ポリシー | 期間指定の自動削除・アーカイブ |
| データ所在地制御 | リージョン制約（データレジデンシー） |
| 規制準拠レポート | 定期レポート自動生成 |
| 同意の取消・履歴 | 同意変更の追跡可能性 |
idp-serverは2つの独立した記録体系を持つ。監査ログ（管理操作の追跡）とセキュリティイベント（認証・認可フローの記録）は別のテーブル・別の仕組みで動作する。
管理API操作の「誰が何をいつどう変えたか」を記録する。audit_log テーブルに保存。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| 設定変更の差分記録 | 変更前/変更後の両方を保存するdiff記録（before/after ペイロード） | dev-control-plane |
| 監査ログ取得API | Management APIからの監査ログ取得・検索 | dev-control-plane |
| テナント統計 | テナント単位のメトリクス収集 | ops-deployment |
OAuth/OIDCフローの「認証・認可で何が起きたか」を記録する。security_event テーブルに保存。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| セキュリティイベント記録 | 認可フロー、トークン発行、ログアウト、CIBA等のイベント記録 | spec-security-event |
| セキュリティイベントフック | イベント駆動のフック連携（Slack/Email/Webhook/Datadog/SSF） | spec-security-event |
| Shared Signals Framework | リアルタイムセキュリティイベントストリーミング | spec-security-event |
| パーティショニング | 日単位RANGE、90日保持。pg_partman / MySQL Event Schedulerで自動管理 | spec-security-event |
| アーカイブ | 90日超過データをarchiveスキーマにDETACH → 外部エクスポート（stub実装） | spec-security-event |
| security_event | audit_log | |
|---|---|---|
| パーティショニング | 日単位（90日保持） | なし |
| アーカイブ | 自動（pg_partman / Event Scheduler） | なし |
| 保持方針 | 90日後に削除 | 永続保存（コンプライアンス要件） |
| 機能 | 対象 | 説明 |
|---|---|---|
| 変更理由の記録 | 監査ログ | なぜ変更したか（チケット番号・変更理由の記録） |
| 改ざん不能ログ | 両方 | append-only、署名付きログ |
| 監査ログの長期保存戦略 | 監査ログ | 永続保存テーブルの肥大化対策（外部アーカイブ等） |
| 定期監査レポート | 両方 | 監査人向けレポート自動生成 |
idp-serverはPostgreSQL RLSによるDB層のテナント分離と、両DB対応による柔軟なデプロイを提供する。
| 機能 | 説明 | 関連スキル |
|---|---|---|
| PostgreSQL RLS | DB層でのテナント分離強制（FORCE ROW LEVEL SECURITY） | dev-database |
| 両DB対応 | PostgreSQL / MySQL | dev-database |
| ヘルスチェック | サービス死活監視エンドポイント | ops-deployment |
| テナント統計 | メトリクス収集 | ops-deployment |
| 期限切れデータ削除 | 不要データの自動クリーンアップ | ops-deployment |
| 機能 | 説明 |
|---|---|
| 障害の影響局所化 | blast radius制御（障害時の影響範囲の限定） |
| バックアップ/リストア | 設定・データの世代管理 |
| キャパシティプランニング | 使用量予測・アラート |
| 優先度 | 機能 | 理由 |
|---|---|---|
| 1 | 変更理由の記録 | 監査ログに reason フィールド追加。低コスト高効果 |
| 2 | 委任管理の粒度制御 | MemberRoleと権限体系の紐付け等 |
| 3 | GDPR削除要求 | eKYC/verified_claimsとセットで規制対応の訴求力大 |
$ARGUMENTS