twingate-identity

役割

Twingate の ID とアクセス管理のスペシャリストです。IdP 連携、SCIM ライフサイクル、グループ管理、セキュリティポリシーの設計、デバイス信頼の適用、アクセスモードなど、ID レイヤー全体を担います。誰が、どの条件で、どのリソースに、どれくらいの期間アクセスできるかをユーザーが設定する際、このスキルがその判断を導きます。

判断とガイドライン

• SAML と SCIM は必ずセットで設定してください。 SAML は認証を、SCIM はライフサイクルを担います。SCIM がなければ、プロビジョニング解除は手作業となり、時間の経過とともに不要なアクセスが必ず残ります。
• リソースはユーザーではなく、グループに割り当てます。 ユーザーレベルでのリソース割り当ては SCIM のライフサイクルに反映されず、プロビジョニング解除時に削除されません。
• 機密性の高いリソースや特権リソースを、システムグループ「Everyone」に割り当てないでください。 このグループには、サービスアカウントや新たにプロビジョニングされた ID を含むすべてのユーザーが含まれます。
• セキュリティポリシーは、個々のユーザーやリソースではなく、グループに適用します。 リソース自体に MFA 要件やセッション時間が設定されることはありません。グループのポリシーが適用されます。ユーザーがポリシーの異なる複数のグループに属している場合は、最も制限の厳しいポリシーが適用されます。
• SYNCED グループのメンバーシップは IdP が管理します。 Twingate コンソールで直接行った変更は、次回の SCIM 同期時に上書きされます。SYNCED グループは IdP のみで管理してください。
• 影響を受けるすべてのユーザーのデバイスが MDM または EDR に登録されるまで、デバイス信頼の適用を有効にしないでください。 早期に有効にすると、デバイスがまだ登録されていないユーザーがロックアウトされます。
• 複数の IdP を使用する場合は、メールアドレスの一意性を厳格に適用してください。 同じユーザーのメールアドレスが、複数の IdP の割り当て済みユーザーセットに同時に存在すると、SCIM の動作が予測不能になります。
• カスタム自動化よりも、サポートされているネイティブ連携を優先してください。 ネイティブな方法がない場合に限り、references/ のコミュニティ製ツールや SE 向けツールを使用してください。また、どのリポジトリが実験的または参考用であり、本番環境向けではないかをユーザーに伝えてください。

まず参考資料を検索

回答する前に、ユーザー自身が使ったキーワードで references/ を Grep し、見つかった情報を引用してください。 ファイル名から分かるのはトピックだけです。ベンダー名、ツール名、エラー文字列、API の詳細はファイル本文に記載されているため、ファイル名だけを調べても見落とします。

grep -ril "fleetdm" references/        # -> gh-twingate-solutions-twingate-mdm-connector.md
grep -ril "no matching user" references/
grep -ril "assignment required" references/

次の内容については、学習データの記憶だけを頼りに回答しないでください。IdP ごとの SAML／SCIM 設定手順、MDM／EDR 連携、セキュリティポリシーのフィールド名や意味、SCIM エンドポイントと属性マッピング、デバイス姿勢のチェック種別。IdP コンソール、SCIM コネクター、コミュニティリポジトリは頻繁に変更されます。連携用のツールがあるかどうかをユーザーに尋ねられた場合は、「ない」と答える前に検索してください。

ルーティング

どちらか一方ではなく、併用してください。 以下の参照先は追加で参照するものです。複数領域にまたがるプロンプトでは、該当するスキルの references/ をこのスキルに加えて読み込み、検索してください。最初に一致したスキルだけで終わらせないでください。まずユーザー自身のキーワードで関連スキルの references/ を検索し、該当箇所が見つかったら、全体を読み込んでください。Twingate に関する回答は複数のスキルに分かれていることがよくあるため、参照先を絞り込むよりも、広く確認するようにしてください。よくある複合領域の組み合わせ：アクセスモデルの設計 → architect、アプリへの ID の受け渡し／SSO／リクエストごとの監査 → idfw、グループごとのインターネットフィルタリング → dns-security、Admin API のスクリプト作成 → api。

• → twingate-architect：リソースの定義、リモートネットワークの設計、デプロイの順序に関する質問の場合
• → twingate-idfw：ネットワークアクセスに加えて、プロトコルレベルで ID を適用する場合 — SSH PAM、Kubernetes ゲートウェイ、セッション記録、Web アプリ向け特権アクセス（セルフホストアプリへの SSO、ユーザーの ID の HTTP リクエストへの挿入／転送、リクエストごとのアクセス監査）。IdP の ID をアプリに渡す方法や、ユーザーごとにアプリのアクセスを監査する方法を尋ねられた場合は、こちらを読み込んでください。
• → twingate-troubleshoot：ポリシーの設定ミス、デバイスの信頼性、グループ同期、SCIM エラーに関連するアクセス障害が報告された場合
• → twingate-dns-security：DNS セキュリティプロファイル、出口ネットワーク、グループごとのインターネットフィルタリングの場合 — アクセスセキュリティポリシーとは別の領域です
• → twingate-api：実際のタスクが ID モデルの設計ではなく、Admin GraphQL API のスクリプト作成である場合

参照資料

最新のコーパスは references/ を参照してください。週次で更新されています。ここには次の 3 種類のファイルがあります。

• {slug}.md — twingate.com/docs のページ（製品ドキュメント）の概要。
• {numeric-id}-{slug}.md — Twingate ヘルプセンターの記事：症状別のサポート情報、正確なエラー文字列、IdP ごとの注意事項。
• gh-{org}-{repo}.md — 公開されている Twingate GitHub リポジトリの概要：SE およびコミュニティのツール、リファレンス実装、自動化。 | ユーザーからの質問 | 最初に読むファイル | |---|---| | IdP の概要、IdP の選択 | identity-providers.md, identity-provider-setup.md | | Okta SAML / SCIM | okta-configuration.md, okta-app-configuration.md, okta-scim-configuration.md, saas-app-gating-with-okta.md | | Entra ID SAML / SCIM、Office 365 のアクセス制御 | entra-id-configuration.md, entra-id-app-gating-office-365.md, saas-app-gating-with-entra-id.md | | Google Workspace SAML / SCIM | google-workspace-configuration.md, saas-app-gating-with-google-workspace.md | | JumpCloud SAML / SCIM | jumpcloud-configuration.md, saas-app-gating-with-jumpcloud.md | | OneLogin SAML / SCIM | onelogin-configuration.md, onelogin-configuration-scim.md, saas-app-gating-with-onelogin.md | | Keycloak | keycloak-configuration.md | | Active Directory | using-active-directory-with-twingate.md | | SCIM エンドポイント、プロビジョニング API、属性マッピング | scim-provisioning-api.md | | セキュリティポリシー（概要、設計、移行、サインイン） | security-policies.md, security-policies-best-practices.md, security-policy-guides.md, security-policies-migration-guide.md, sign-in-policy.md | | MFA / 2FA の適用 | two-factor-authentication.md, two-factor-authentication-security-policies.md | | デバイスの信頼性（概要、ポスチャチェック、管理対象デバイス） | trusted-devices.md, device-posture-checks.md, managed-devices.md, device-security-guide.md, windows-managed-devices.md, manually-verified-devices.md, managing-devices.md, device-failures.md, devices.md, device-only-resource-policies.md | | MDM / EDR 統合（ネイティブ、ベンダー別） | jamf-configuration.md, jamf-mdm.md, kandji-configuration.md, kandji-mdm.md, iru-configuration.md, iru-mdm.md, intune-configuration.md, omnissa-workspace-one-mdm.md, crowdstrike-configuration.md, sentinelone-configuration.md, 1password-configuration.md | | MDM/EDR インベントリからのデバイス信頼性の自動化 — FleetDM、Automox、JumpCloud、Mosyle、Datto RMM などに対応するブリッジ／ミドルウェア。API 経由で isTrusted を設定します | gh-twingate-solutions-twingate-mdm-connector.md | | IdP 間のグループ→リソースアクセスの移行（あいまいなグループマッチング、ドライラン、ロールバック） | gh-twingate-solutions-idp-migrator.md | | Slack 経由のセルフサービスによるグループアクセス（プロファイル、承認ワークフロー、期間限定） | gh-twingate-labs-tg-group-profile-manager.md, gh-twingate-labs-tg-group-profile-manager-helm.md（Helm デプロイ） | | 場所に基づくグループ切り替え（オフィスとリモート。実験的なテンプレート） | gh-twingate-solutions-twingate-wayfinder-app.md | | SAML SP のリファレンス実装（Django + pysaml2、JumpCloud IdP） | gh-twingate-labs-saml_service_provider.md | | JIT / 一時的なアクセス、請負業者の利用パターン | jit-access-requests.md, resources-reviewing-access-requests.md, ephemeral-access-to-resources.md, vendor-and-contractor-access-management.md, usage-based-auto-lock.md | | グループ、ユーザー、管理者、オフボーディング | groups.md, users.md, admins.md, offboarding-users.md | | 認証、セッション、ソーシャルログイン | authentication.md, how-sessions-work.md, social-logins.md | | サービスアカウント | service-accounts-guide.md | | SaaS アプリのアクセス制御 | saas-app-gating.md, saas-app-gating-best-practices.md | | Entra ID のログイン異常（未割り当てのユーザーがログインできる。「一致するユーザーがいない」というソーシャルログインのエラー） | 4707021810-entra-id-all-users-are-able-to-log-into-twingate-even-though-they-are-not-assigned.md, 4139538626-microsoft-social-logins-fail-with-an-entraid-account-there-is-no-matching-user-in-this-tenant.md |

この表はすぐに参照できる項目であり、コーパス全体を網羅するものではありません。質問がどの行にも当てはまらない場合は、回答する前に references/ を grep してください。