アイデンティティ・プレーン — アクセス権を持つ対象¶

目的¶

アイデンティティプレーンは3つの問いに答える：あなたは誰か（認証）、何ができるか（認可）、どこに属するか（テナンシー）。AWS IAM および Organizations——アカウント、ポリシー、クロスアカウントアクセス——をモデルに、ロボティクス APaaS コンテキスト向けに適応されている。

サービス¶

サービス	担当領域	詳細
DotID	アイデンティティとアクセス管理の包括的な傘	Keycloak を基盤とした単一の OIDC 発行者
Org Service	アカウント階層と組織構造	マルチテナント関係、三層モデル
IAM Identity Center	クロスアカウントアクセスと SSO	組織境界を越えた可視性と権限の共有
StarGate	内部管理Webアプリケーション	アイデンティティプレーンを管理する

サブシステムの関係¶

DotID (umbrella)
├── Keycloak (OIDC provider, user federation, SSO)
├── Authorization Service (fine-grained ABAC/RBAC evaluation)
├── Org Service (who belongs where)
├── IAM Identity Center (who can access what, across accounts)
└── StarGate (admin UI for managing it all)

DotID は単一のサービスではなく、アイデンティティプレーン全体を包括する名称である。Keycloak が認証を担い、認可サービスがきめ細かいポリシーを評価する。Org Service がテナント階層を管理し、IAM Identity Center がクロステナントアクセスを実現する。StarGate は管理UIである。

インタラクションモデル¶

他のすべてのプレーン は認証と認可においてアイデンティティプレーンに依存する。すべての API 呼び出しは DotID/Keycloak が発行した JWT トークンを携帯する。
ガバナンスプレーン は密接に連携する——ポリシーサービスは「このアクターは誰か」および「このアカウントにはどのポリシーが適用されるか」を解決するためにアイデンティティプレーンに問い合わせることがある。
アプリケーション は標準的な OIDC フロー（SPA には PKCE、マシン間通信にはクライアントクレデンシャル）を介して DotID とやり取りする。

エンドポイント¶

サブドメイン	サービス	目的
`auth.flexgalaxy.com`	DotID / Keycloak	OAuth2 / OIDC 発行者
`api.flexgalaxy.com/iam/v1/...`	認可、Org、Identity Center	ゲートウェイ経由の Identity API

データ所有権¶

データ	所有者	利用者
ユーザー、クレデンシャル、セッション	DotID (Keycloak)	全プレーン
組織、アカウント、OU	Org Service	全プレーン（テナンシー）
クロスアカウント権限、SSO	IAM Identity Center	アプリケーション
認可ポリシー（ABAC/RBAC）	認可サービス	全プレーン