mcpField
I
infisical-sso

infisical-sso

github.com/infisicalセキュリティ36150 回インストール1 週間前に更新
リポジトリ

infisical-sso について

infisical-ssoは、Infisicalをアイデンティティプロバイダーに接続し、ユーザーのSSOログインとユーザー・グループの自動プロビジョニングを設定するスキルです。プロトコル選択と設定に加え、SSO強制前の前提条件や復旧手段も案内します。

主な機能

  1. 01SAML、OIDC、LDAP、Google、GitHubログインの設定案内
  2. 02メールドメイン確認の前提条件
  3. 03SCIMによるプロビジョニングと削除
  4. 04グループとロールのマッピング案内
  5. 05緊急用管理者と復旧手段の準備

活用シーン

  1. 01アイデンティティプロバイダーによるユーザーSSOの設定
  2. 02SCIMを有効化できない原因の調査
  3. 03グループ単位のロール割り当てと退職者対応の計画
  4. 04SSO強制前の復旧アクセス準備

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/infisical/ai-skills --skill infisical-sso

インストール後、Claude Code で/infisical-ssoを入力して読み込まれたか確認します。

同梱ファイルreferences/scim-and-groups.mdreferences/sso-setup.md

詳細

Infisical SSO およびユーザープロビジョニングガイド

あなたはセットアップアシスタントとして、ユーザーが Infisical を ID プロバイダーに接続し、人間がそれを介してログインできるようにし、アカウントとグループが自動的にプロビジョニングされるように支援します。

このスキルではないもの

ここでは方向性と対象の両方が重要です：

ユーザーが望むこと...使用するもの
人間が IdP を介してログインすることこのスキル
ワークロードが Infisical に対して認証することinfisical-setup — マシンアイデンティティ
Infisical が第三者に対して外向きに認証することinfisical-app-connections
ログインしたユーザーが何をできるかを決めることinfisical-access-control
マシンアイデンティティの認証方法としての LDAPinfisical-setup
ローテーション用の LDAP App Connectioninfisical-app-connections
動的な LDAP 認証情報infisical-dynamic-secrets

LDAP は Infisical の 4 つの異なる場所に登場し、それらは無関係です。ここではLDAP 認証情報でログインするユーザーを意味します。ユーザーがワークロードやローテーションについて話している場合は、別の場所にルーティングしてください。

同様に、ここでの OIDC は人間のログインを意味します。マシンアイデンティティの認証方法としての OIDC（GitHub Actions、GitLab CI 向け）は infisical-setup です。

前提条件のチェーン

この順序を正しく守らないと、セットアップは途中で失敗します：

1. Email Domain Verification        <- REQUIRED for both SSO and SCIM
        |
        v
2. SAML or OIDC configured          <- REQUIRED before SCIM can be enabled
        |
        v
3. SCIM provisioning
        |
        v
4. Group mappings -> roles
  • ユーザーが SSO を介してログインする前、および SCIM プロビジョニングの前に、メールドメインの検証が必須です。
  • SCIM は、組織に対して SAML または OIDC が設定されて初めて有効化できます。

ユーザーが SCIM を有効化できないと報告した場合は、まずこの 2 つを確認してください — プロバイダーの設定ミスではなく、ほとんどの場合このいずれかです。

何に何が必要か

機能利用可否
Google SSO無料、クラウドおよびセルフホスト
GitHub SSO無料、クラウドおよびセルフホスト
SAML 2.0有料 — クラウドの Pro ティア、またはセルフホストのエンタープライズライセンス
OIDC有料 — クラウドの Pro ティア、またはセルフホストのエンタープライズライセンス
SCIM プロビジョニング有料 — クラウドの Enterprise ティア、またはセルフホストのエンタープライズライセンス

Google と GitHub の SSO が無料であることは言及する価値があります。パスワード管理をやめたいだけの小規模チームには、有料ティアは必要ありません。

SSO を強制する前に：これを読んでください

SSO を強制すると、検証済みドメインに対するメール／パスワードのサインアップがブロックされます。これは意図的なものです — 競合するパスワードアカウントはアカウント乗っ取りの経路を再び開くことになるからです — ただし、それは次を意味します：

強制を有効化する前に、パスワードと SSO バイパスアクセスを持つ緊急用の組織管理者を設定してください。 強制後は、復旧のために検証済みドメインで新しいパスワードアカウントを作成することはできません。

もしそうなった場合の復旧経路：/login/admin の管理ログインポータル（例：https://app.infisical.com/login/admin）。これを使用できるのは、その特定の組織の組織管理者のみです。サーバー管理者のステータスだけでは、これは付与されません。

ユーザーが SSO の強制について言及したときはいつでも、これを積極的に提起してください。自分のシークレットマネージャーから締め出されることは、セキュリティ改善の最悪の結果です。

このスキルの使い方

  1. メールドメインを検証する — これなしでは何も機能しません
  2. プロトコルを選択する — SAML、OIDC、LDAP、または無料の Google／GitHub
  3. 両側を設定する、Infisical と IdP
  4. 強制する前にログインをテストする
  5. パスワードを持つ緊急用管理者を作成する
  6. その後で強制する
  7. 自動プロビジョニングとデプロビジョニングのために SCIM を追加する
  8. グループをロールにマッピングすることで、アクセスがグループメンバーシップに従うようにする

参照ファイル

ファイル読むタイミング
references/sso-setup.mdプロトコルの選択、サポートされるプロバイダー、強制、緊急用アクセス、PKCE、LDAP ログイン
references/scim-and-groups.mdSCIM プロビジョニング、SAML および OIDC のグループメンバーシップマッピング、SCIM グループからロールへのマッピング

基本原則

  • まずメールドメインを検証します。 これが他のすべての前提条件となります。
  • テスト済みのブレイクグラス経路なしに SSO を強制しないでください。 パスワードを保持する組織管理者と、/login/admin の知識が必要です。
  • グループをプロビジョニングし、その後グループにロールを割り当てます。 これにより、入社者と退職者の処理が自動化されます。infisical-access-control を参照してください。
  • グループメンバーシップはログイン時にのみ同期されます。 IdP でグループからユーザーを削除しても、次回の SSO ログインまで Infisical には反映されません。これはグループマッピングの最も重大な制限です — 明示的に記載してください。
  • グループマッピングを有効にすると、手動のグループ管理が無効になります。 手動で管理されたグループに依存しているユーザーがいる間は有効にしないでください。
  • SCIM によるプロビジョニング解除が要点です。 SSO だけではログインを防ぐだけですが、SCIM はアカウントを削除します。オフボーディングには両方が必要です。
  • ユーザーの IdP 認証情報を要求したり扱ったりしないでください。 設定にはメタデータ、証明書、クライアント認証情報を使用します。

コメント

Markdown 対応