use-case-setup

name	use-case-setup
description	ユースケース別セットアップのエントリポイント。ユーザーにユースケースを選択してもらい、対応するスキル（use-case-login, use-case-mfa等）にルーティングする。共通ワークフロー、前提条件、組み合わせパターンの概要を提供。

ユースケース別 設定ワークフロー

ワークフロー概要

このスキルは以下のサイクルで、テンプレートベースのセットアップを実行する。

1. ユースケース選択（AskUserQuestion）
2. 対応するスキルをロード（下記ルーティング表を参照）
3. 決定事項のヒアリング（AskUserQuestion）
4. ヒアリング結果を環境変数にマッピング
5. テンプレートの setup.sh を実行
6. 次のユースケースへ（または完了）

ユースケース → スキル ルーティング

#	ユースケース	スキル名	テンプレート	Example
1	ログイン（パスワードのみ）	use-case-login	config/templates/use-cases/login-password-only/	config/examples/login-password-only/
2	ログイン（ソーシャル連携）	use-case-login	config/templates/use-cases/login-social/	config/examples/login-social/
3	MFA（多要素認証）	use-case-mfa	config/templates/use-cases/mfa-email/	config/examples/mfa-email/
4	パスワードレス認証	use-case-passwordless	config/templates/use-cases/passwordless-fido2/	config/examples/passwordless-fido2/
5	身元確認/eKYC	use-case-ekyc	config/templates/use-cases/ekyc/	config/examples/ekyc/
6	サードパーティ連携	use-case-third-party	config/templates/use-cases/third-party/	config/examples/third-party/
7	CIBA（モバイル承認）	use-case-ciba	config/templates/use-cases/ciba/	-
8	金融グレード（FAPI+CIBA）	use-case-financial-grade	config/templates/use-cases/financial-grade/	config/examples/financial-grade/
9	外部パスワード認証委譲	use-case-external-password-auth	config/templates/use-cases/external-password-auth/	-
10	エンタープライズ（セキュリティイベントフック）	use-case-enterprise	config/templates/use-cases/enterprise/	-
11	MFA FIDO-UAF（パスワード + デバイス生体認証）	use-case-mfa-fido-uaf	config/templates/use-cases/mfa-fido-uaf/	-
12	外部API認証	use-case-external-api-auth	-	-

重要: ユースケース選択後、対応するスキルをロードしてから作業を進めること。

共通前提条件

• idp-serverが起動済み
• システム管理者テナントが存在（初期セットアップ済み）
• .env にシステム管理者の認証情報が設定済み:
  • AUTHORIZATION_SERVER_URL, ADMIN_TENANT_ID, ADMIN_USER_EMAIL, ADMIN_USER_PASSWORD, ADMIN_CLIENT_ID, ADMIN_CLIENT_SECRET

認可サーバー共通設定（全ユースケース必須）

claims_supported（重要）

全テナントの authorization_server に claims_supported を必ず設定すること。 この設定が無いと、UserInfo / ID Token が sub のみしか返さない。

リファレンス: config/templates/tenant-template.json の claims_supported フィールド

"claims_supported": [
  "sub", "iss", "auth_time", "acr",
  "name", "given_name", "family_name", "nickname", "preferred_username", "middle_name",
  "profile", "picture", "website",
  "email", "email_verified",
  "gender", "birthdate", "zoneinfo", "locale", "updated_at",
  "address", "phone_number", "phone_number_verified"
]

Organizerテナント（管理テナント）の共通設定

全ユースケースの onboarding-template.json には、管理ダッシュボード（UI）経由での操作に必要な以下の設定が含まれている。

設定	目的
tenant.ui_config	管理UIのURL・サインインページ設定
tenant.cors_config（allow_headers, allow_methods, allow_credentials 含む）	UI→APIのCORS許可
tenant.security_event_log_config.statistics_enabled: true	テナント統計の有効化
authorization_server.claims_supported	UserInfo/IDトークンのクレーム返却（未設定だと sub のみ）
authorization_server.scopes_supported に claims:roles/permissions/assigned_tenants	ロール・権限・担当テナント情報の取得
authorization_server.extension.custom_claims_scope_mapping: true	claims:* スコープの有効化
client.scope にカスタムクレームスコープ含む	クライアントがカスタムクレームを要求可能にする
introspection_endpoint / revocation_endpoint	正しいキー名（旧: token_introspection_endpoint / token_revocation_endpoint）

詳細: documentation/docs/content_05_how-to/phase-1-foundation/02a-organizer-management-ui.md

setup.sh 共通ステップ

各ユースケースの setup.sh は以下の共通フローで実行される。

Step 1: アクセストークン取得（password grant）
Step 2: オンボーディング（POST /v1/management/onboarding）
  → Organization + Organizer Tenant + Admin User + Client
Step 3: ORGANIZERテナントの管理者トークン取得
Step 4+: ユースケース固有のリソース作成（組織レベルAPI）

全ユースケース共通 設定確認チェックリスト

setup.sh 実行後、ブラウザで動作確認する前に以下を確認する。

#	確認観点	設定箇所	よくあるミス
1	claims_supported が設定済み	認可サーバー	未設定で UserInfo/ID Token が sub のみ返却
2	custom_claims_scope_mapping: true が設定済み（claims:* スコープ使用時）	認可サーバー extension	未設定だと claims:* スコープが機能せず UserInfo/ID Token にカスタムクレームが含まれない
3	ui_config.base_url が認証UIのオリジン	テナント ui_config	APIサーバーURL を設定してしまう
4	cors_config に allow_headers, allow_methods, allow_credentials	テナント cors_config	allow_origins だけ設定
5	signin_page が正しいパス（/signin/）	テナント ui_config	パスの末尾スラッシュ忘れ
6	failure_conditions / lock_conditions が設定済み	認証ポリシー	未設定だと認証失敗時にアカウントロックされない
7	setup.sh の変数定義順序	setup.sh	参照される変数が先に定義されていること

動作確認時のprompt値

テスト	prompt値	目的
ユーザー登録	prompt=create	Sign Up画面を直接表示
再認証	prompt=login	既存セッションを無視して再認証を強制

共通環境変数

ヒアリング項目	環境変数	デフォルト値
組織名	ORGANIZATION_NAME	my-organization
管理者メール	NEW_ADMIN_EMAIL	[e-mail]
管理者パスワード	NEW_ADMIN_PASSWORD	ChangeMe123
Cookie名	COOKIE_NAME	SESSION
UI URL	UI_BASE_URL	${AUTHORIZATION_SERVER_URL}
クライアント名	CLIENT_NAME	Web Application
リダイレクトURI	REDIRECT_URI	http://localhost:3000/callback/
クライアントエイリアス	CLIENT_ALIAS	web-app

Management API

テンプレートのsetup.shは以下の流れでAPIを使用する。

# Step 1-2: システム管理者トークンでオンボーディング（システムレベル）
POST /v1/management/onboarding

# Step 3: ORGANIZER テナントの管理者トークンを取得
POST /{organizer-tenant-id}/v1/tokens

# Step 4+: 組織レベルAPIでリソース作成
POST /v1/management/organizations/{org-id}/tenants                                          # テナント作成
POST /v1/management/organizations/{org-id}/tenants/{tenant-id}/authentication-configurations # 認証メソッド設定
POST /v1/management/organizations/{org-id}/tenants/{tenant-id}/authentication-policies       # 認証ポリシー
POST /v1/management/organizations/{org-id}/tenants/{tenant-id}/clients                       # クライアント作成
POST /v1/management/organizations/{org-id}/tenants/{tenant-id}/federation-configurations     # フェデレーション設定
POST /v1/management/organizations/{org-id}/tenants/{tenant-id}/identity-verification-configurations # 身元確認設定
PUT  /v1/management/organizations/{org-id}/tenants/{tenant-id}/authorization-server          # 認可サーバー更新

• オンボーディングのみシステム管理者トークンを使用
• それ以降はORGANIZERテナントの管理者トークンで組織レベルAPIを使用

---

組み合わせ設定パターン

ECサイト

設定	内容
認証方式	パスワード + Socialログイン（Google）
パスワードポリシー	min_length: 8, require_number: true
セッション	timeout_seconds: 3600
Passkey	推奨（authenticator_attachment: platform, resident_key: required）
トークン	AT: 30分, RT: ローテーション+固定, 7日

金融サービス

設定	内容
認証方式	パスワード + MFA（SMS必須）
パスワードポリシー	min_length: 12, require_uppercase: true, require_special_char: true, max_history: 5
セッション	timeout_seconds: 1800, switch_policy: STRICT
eKYC	必須、required_identity_verification_scopes: ["transfers", "account"]
FIDO UAF + CIBA	高額送金時、level_of_authentication_scopes: { "transfers": ["fido-uaf"] }
トークン	AT: 15分, RT: ローテーション+固定, 1時間

社内業務システム

設定	内容
認証方式	Azure AD連携（エンタープライズSSO）
MFA	管理者のみ必須（conditions: { "scopes": ["admin"] }）
セッション	timeout_seconds: 28800（8時間）, switch_policy: SWITCH_ALLOWED
トークン	AT: 1時間, RT: ローテーション+延長, 30日

決済サービス

設定	内容
認証方式	パスワードレス（Passkey）推奨 + パスワードフォールバック
eKYC	高額決済時必須
CIBA	モバイル承認（高額決済時）
デバイスルール	max_devices: 3, required_identity_verification: true
トークン	AT: 15分, RT: ローテーション+固定, 1日

---

逆引き表

やりたいこと	推奨ユースケース
とにかくログインだけ実装したい	ログイン（パスワードのみ）
Google/GitHubでログインさせたい	ログイン（ソーシャル連携）
SMS/メールで二段階認証を追加したい	MFA（多要素認証）
パスワードなしでPasskeyログインしたい	パスワードレス認証
本人確認（eKYC）を組み込みたい	身元確認/eKYC
外部アプリにAPI提供したい	サードパーティ連携
モバイルアプリで承認させたい	CIBA（モバイル承認）
モバイルデバイスで生体認証（FIDO-UAF）したい	MFA FIDO-UAF（パスワード + デバイス生体認証）
金融API（FAPI準拠）を作りたい	金融グレード（FAPI+CIBA）
既存の認証基盤にOIDCを被せたい	外部パスワード認証委譲
認証フローに外部APIを組み込みたい（リスク判定、OTP等）	外部API認証
セキュリティイベントを外部連携したい	エンタープライズ（セキュリティイベントフック）

---

Management API一覧

システムレベルAPI

設定種類	APIパス	メソッド
オンボーディング	/v1/management/onboarding	POST
テナント作成	/v1/management/tenants	POST
テナント更新	/v1/management/tenants/{tenant-id}	PUT
認可サーバー更新	/v1/management/tenants/{tenant-id}/authorization-server	PUT
クライアント作成	/v1/management/tenants/{tenant-id}/clients	POST
クライアント更新	/v1/management/tenants/{tenant-id}/clients/{client-id}	PUT
認証メソッド設定作成	/v1/management/tenants/{tenant-id}/authentication-configurations	POST
認証ポリシー作成	/v1/management/tenants/{tenant-id}/authentication-policies	POST
フェデレーション設定作成	/v1/management/tenants/{tenant-id}/federation-configurations	POST
身元確認テンプレート作成	/v1/management/tenants/{tenant-id}/identity-verification-configurations	POST

組織レベルAPI（ORGANIZER テナント経由で使用する場合）

設定種類	APIパス	メソッド
テナント更新	/v1/management/organizations/{org-id}/tenants/{tenant-id}	PUT
認可サーバー更新	/v1/management/organizations/{org-id}/tenants/{tenant-id}/authorization-server	PUT
クライアント作成	/v1/management/organizations/{org-id}/tenants/{tenant-id}/clients	POST
クライアント更新	/v1/management/organizations/{org-id}/tenants/{tenant-id}/clients/{client-id}	PUT
認証メソッド設定作成	/v1/management/organizations/{org-id}/tenants/{tenant-id}/authentication-configurations	POST
認証メソッド設定更新	/v1/management/organizations/{org-id}/tenants/{tenant-id}/authentication-configurations/{config-id}	PUT
認証ポリシー作成	/v1/management/organizations/{org-id}/tenants/{tenant-id}/authentication-policies	POST
認証ポリシー更新	/v1/management/organizations/{org-id}/tenants/{tenant-id}/authentication-policies/{policy-id}	PUT
フェデレーション設定作成	/v1/management/organizations/{org-id}/tenants/{tenant-id}/federation-configurations	POST
身元確認テンプレート作成	/v1/management/organizations/{org-id}/tenants/{tenant-id}/identity-verification-configurations	POST
身元確認テンプレート更新	/v1/management/organizations/{org-id}/tenants/{tenant-id}/identity-verification-configurations/{config-id}	PUT

注意: 組織レベルAPIを使うには、オンボーディングで作成された ORGANIZER テナントが必要。

$ARGUMENTS