概要
サービスアカウントは、人間ではなく プログラムやシステムが CRISIS を利用するため のアカウントです。社内システムとの連携、SCIM プロビジョニング、外部ツールからのデータ登録などに使用します。
ユーザーアカウントとの違い
| 項目 | ユーザーアカウント | サービスアカウント |
|---|---|---|
| 利用主体 | 人間 | プログラム・システム |
| ログイン方法 | パスワード、パスキー、SSO など | アクセストークン、フェデレーション資格情報 |
| メールアドレス | 必要 | 不要 |
| 権限管理 | ロールの割り当て | ロールの割り当て（同じ仕組み） |
権限管理はユーザーと同じ IAM ポリシーの仕組みで行うため、サービスアカウントにもロールの割り当てが必要です。
認証方法は2種類
サービスアカウントが CRISIS API に接続する方法は2つあります。
- アクセストークン: トークンを発行し、接続元システムに設定します。シンプルですが、長期間有効な「秘密情報」を管理する必要があります。詳細はアクセストークンを発行・管理するを参照してください。
- フェデレーション資格情報（Workload Identity Federation）: GitHub Actions やクラウド環境などの外部ワークロードを、秘密情報の保管なしで信頼する方式です。詳細はWorkload Identity Federation とはを参照してください。
どちらを選ぶべきか
接続元が OIDC トークンを発行できる環境（GitHub Actions、Google Cloud、AWS など）であれば、漏えいリスクの少ないフェデレーション資格情報を推奨します。オンプレミスのシステムなど OIDC を利用できない環境ではアクセストークンを使用してください。
運用上の注意
用途ごとに分離する
1つのサービスアカウントを複数のシステムで使い回すと、権限が過大になりがちで、監査ログ上もどのシステムの操作か区別できなくなります。「Entra ID SCIM」「基幹システム連携」のように、用途ごとにサービスアカウントを分けてください。
API の詳細
サービスアカウントを使った API の呼び出し方、エンドポイント仕様、コード例は Developer Portal を参照してください。本サポートサイトでは管理画面での発行・管理手順を扱います。