SSO (OIDC)
Wave Web Console 向け OIDC ベースの single sign-on。Okta / Microsoft Entra ID (Azure AD) / Google Workspace / Keycloak などの標準 OIDC プロバイダーと動作します。ローカル admin は break-glass として残ります。
要点
- • すべての OIDC IdP と連合 — Okta、Microsoft Entra ID、Google Workspace、Keycloak。
- • Stateless: 単一の暗号化クッキーが OIDC state を運ぶ; Redis なし、DB なし。
- • 事前プロビジョニング (管理者が auth_source=sso で行を作成); ロールは Viewer / Operator / Manager / Admin を再利用。
- • ローカル admin は break-glass として残る — IdP 障害がクラスタアクセスを遮断しません。
Kubernetes デフォルトより優れている理由
Kubernetes はダッシュボード認証を解決しません。コンソール系ツールは認証なしで配布するか、kubectl proxy + kubeconfig に依存するか、単一の共有 admin アカウントを使用するか — どれもチーム単位のコンプライアンスレビューを通りません。Wave SSO は組織がすでに使用中の IdP に連合するので、全エンジニアが自分自身としてログインし、監査証跡が本物として残ります。
設定は Helm values と 1 つの Kubernetes Secret だけ — 外部セッションストアなし、追加サービスなし。ローカル admin アカウントは break-glass パスとして残るので、IdP 障害がクラスタアクセスを遮断することはありません。
提供する機能
標準 OIDC IdP に対応
Authorization Code with PKCE、暗号化された state cookie、設定可能な email claim、オプションの verified-email 強制。ベンダーロックインなし。
事前プロビジョニング
管理者が auth_source = sso でユーザー行を事前に作成し、既存の Viewer / Operator / Manager / Admin ロールをそのまま使用します。最初の IdP ログイン時に email 一致で行にバインドされます。
Break-glass ローカル admin
SSO が有効でも、ログイン画面のトグルで既存のローカル admin フォームを展開できます。IdP 障害時でも運用者の復旧経路は遮断されません。
対応 IdP
Wave SSO は OpenID Connect Core 1.0 仕様に従うため、Authorization Code flow + PKCE を実装する全ての IdP が動作します。検証済み IdP:
- • Okta
- • Microsoft Entra ID (Azure AD)
- • Google Workspace
- • Keycloak
その他の標準 OIDC プロバイダー (Auth0, Ping, OneLogin など) も動作が見込まれます — 互換性問題があればお知らせください。
約10分でSSO設定が完了
設定 runbook では cookie key 生成、IdP アプリ登録、WA_SSO_* 環境変数、ユーザー事前プロビジョニング、運用で遭遇した IdP 別の落とし穴までカバーします。
SSO 設定ガイドを読む