コンシューマーモード向けに Foundry を設定する

コンシューマー向けアプリケーションを構築する前に、まず コンシューマーモードをサポートするように Foundry を設定する必要があります。このページでは、Foundry でコンシューマーモードを適切に設定するための要件を説明します。

このセットアップは、Foundry のユーザー権限と認証を使用する場合にのみ必要です。コンシューマーアプリケーションでクライアント資格情報フローを使用している場合は、このセクションをスキップできます。

前提条件

Foundry を設定する前に、以下を確認してください。

• 組織の作成、認証プロバイダーの更新、権限設定の管理を行うためのエンロールメント管理者権限。
• プラットフォーム設定のための Control Panel へのアクセス。
• コンシューマーの認証要件の理解。

ステップ1：コンシューマー組織を作成する

まず、内部のプラットフォームユーザーから分離された、コンシューマーユーザー専用の組織を作成します。

1. Control Panel > 組織の管理 に移動します。
2. 組織の作成を選択します。
3. 以下の組織設定を行います。
   • 名前： コンシューマー組織をわかりやすく表す名前を入力します（例：「顧客ポータルユーザー」）。
   • 組織管理者： 適切な管理者ユーザーまたはグループを割り当てます。
   • 共同作業： 組織のロールを発見可能にするため、内部組織を追加します。組織間でユーザーやグループが発見されないよう、すべてのチェックボックスがオフになっていることを確認してください。
   • プライベートスペース： コンシューマー組織では いいえを選択します。

エンロールメントの組織数は、デフォルトで5個に制限されています。

ステップ2：メンバーの発見を無効にする

次に、ユーザーが組織内のほかのユーザーやグループを発見できないようにコンシューマー組織を設定し、プライバシーとセキュリティの分離をさらに強化します。

1. Control Panel > 組織の管理に移動します。
2. コンシューマー組織を見つけ、アクション > メンバーの検出を管理するを選択します。
3. 以下のメンバーの発見に関する設定を行います。
   • ユーザーを発見： この組織のユーザーが同じ組織内のほかのユーザーを発見できないよう、この設定を無効にします。
   • グループを発見する： この組織のユーザーが組織内のグループを発見できないよう、この設定を無効にします。

組織間のコラボレーションとメンバーの発見について、詳しくはこちら。

一部の B2B ケースでは、Workshop のコメントウィジェットなど、共同作業向けの Foundry 機能のために、コンシューマー組織内でユーザーやグループを発見できることが期待されます。その場合は、このステップを無視し、ユーザーやグループの発見を有効のままにすることもできます。

ステップ3：認証プロバイダーと振り分けルールを設定する

コンシューマーモード設定の次のステップは、コンシューマーユーザーをコンシューマー組織に自動的に割り当てる認証プロバイダーを設定することです。

認証プロバイダーを作成または更新する

1. Control Panel > 認証 に移動し、プロバイダタブを選択します。
2. 新しい認証プロバイダーを設定するにはプロバイダを追加を選択し、編集するには既存のプロバイダーを選択します。
3. 以下のプロバイダー設定を行います。
   • プロバイダーのタイプ： 要件に基づいて SAML または OIDC を選択します。
   • プロバイダー設定： IDプロバイダーに応じて、認証プロバイダーの詳細を設定します。
   • エグレスポリシー： 認証に必要なエグレスポリシーを追加します。
   • 多要素認証： セキュリティポリシーで必要な場合は有効にします。

組織の振り分けルールを設定する

1. 認証プロバイダーの設定で、組織の割り当て を設定します。
2. ユーザーをコンシューマー組織に振り分ける自動割り当てルールを選択します。
   • デフォルト組織： すべてのユーザーにデフォルト組織が割り当てられます。
   • 詳細ルール作成： メールドメイン、グループメンバーシップ、その他の属性に基づいてルールを設定します。いずれの条件にも一致しない場合は、デフォルト組織がフォールバックとして使用されます。

ステップ4：ルールベースのコンシューマーグループを作成する

一貫した権限管理のために、コンシューマー組織に対応するグループを作成します。このステップを終えると、すべてのコンシューマーユーザーに権限を付与するための、自動更新されるグループが1個以上作成されているはずです。すべてのユーザーが単一の組織に属する場合は、その組織に対して単一のルールベースグループを作成する必要があります。ユーザーが複数の組織に属する場合は、組織ごとにルールベースグループを作成します。

1. Control Panel で認証プロバイダーのページを開き、グループの割り当て を選択します。
2. + ルールを追加を選択します。
3. グループを選択… ドロップダウンメニューから、+ 新規ルールベースグループを作成を選択し、以下を設定します。
   • 名前： コンシューマー組織に合わせた名前にします（例：「コンシューマーポータルユーザー」）。
   • 説明： 「{コンシューマー組織}のすべてのメンバーを含む」などの説明を入力します。
   • 組織： 関連するコンシューマー組織を選択します。
4. 組織の割り当てルールに合わせてルールのパラメーターを設定します。
5. コンシューマー組織ごとにステップ2から4を繰り返します。

コンシューマーのビルダーグループと管理者グループ

コンシューマーアプリケーションの構築と管理における権限管理を容易にするため、「ビルダー」グループと「管理者」グループの両方を指定することを推奨します。Foundry の外部でグループを管理している場合は IDプロバイダーでこれらのグループを作成します。Foundry 内でグループを作成する場合は、グループ管理のドキュメントを参照してください。

ステップ5：コンシューマーロールセットを設定する

コンシューマーユーザーに適切な権限を付与するロールセットを設定します。

1. 画面左下のユーザー画像を選択し、設定 > ロール を選択します。
2. ロールセットを作成を選択します。
   • 名前： コンシューマーロールセットにわかりやすい名前を入力します（例：コンシューマーロール）。
   • 説明：「コンシューマーアプリケーション向けに操作権限を減らしたロール」。
   • **次からロールをコピーする: ** プロジェクトのデフォルト
   • 組織： 内部組織
3. 新しいロールセットで新規のロールを選択し、次の詳細を追加してコンシューマーロールを作成します。

• 名前：「コンシューマー」
• 説明：「コンシューマーアプリケーションユーザー向けの基本的な権限。」
• **次を含む: ** この任意のセクションは空のままにします。

新しいコンシューマーロールを作成したら、次の操作権限をロールに追加します。

• carbon:view-workspace
• eddie:view-aip-logic
• foundry:read-data
• function-executor:execute-function
• function-registry:read-contract
• function-registry:read-function
• hubble:object-view:view
• lime:search
• object-set-service:read-versioned-object-set
• objects:read-data
• ontology:view-action-type
• ontology:view-datasource
• ontology:view-object-type
• ontology:view-relation
• salt:blobster:read
• slate:run-query-v2
• slate:view-document
• slate:view-stylesheet
• third-party-application:view-application-website
• workshop-server:view-module

具体的なワークフローによっては、追加の操作権限が必要になる場合があります。詳細については、ロールと操作権限の理解に関するドキュメントを参照してください。

ステップ6：コンシューマースペースを作成する

コンシューマースペースは、分離とアクセス制御を提供します。このステップを完了すると、コンシューマーユーザーがプロジェクトにアクセスできる専用スペースが用意されます。

1. Control Panel → スペース に移動します。
2. スペースを作成を選択します。
3. 次のスペース設定を行います。

• 名前： コンシューマースペースにわかりやすい名前を入力します。
• アクセス要件：
  • 内部組織をアクセス要件として設定します。
  • コンシューマー組織をアクセス要件として設定します。
• デフォルトの権限： コンシューマーユーザーに適切なデフォルトの権限を設定します。

ステップ7：コンシューマープロジェクトテンプレートを作成する

コンシューマープロジェクトに適切なロールを自動設定するプロジェクトテンプレートを作成し、一貫したプロジェクト作成を実現します。

1. Control Panel > プロジェクトテンプレート に移動します。
2. Template を作成を選択します。
3. 次のテンプレート設定を行います。

• Template 名：「コンシューマーアプリケーションテンプレート」
• Template の説明：「コンシューマー向けアプリケーション用のプロジェクトテンプレート」
• Template 変数： デフォルトの Name 変数を保持します。
• プロジェクト情報：
  • 組織： プロジェクト作成時に選択を選択します。
  • プロジェクトロール：
    • デフォルトロール： コンシューマーロールを選択します。
    • 既存のユーザーとグループ： ビルダーグループと管理者グループを追加し、該当するグループに次のロールを付与します。
      • 「ビルダー」グループには編集者ロールを付与します。
      • 「管理者」グループには所有者ロールを付与します。

ステップ8：（任意）コンシューマードメインを設定する

コンシューマーアクセス用に設定したカスタムドメインをセットアップし、自動認証リダイレクトを有効にします。

カスタムドメインを作成する

Control Panel > ドメインと証明書に移動し、ドキュメントのガイダンスに沿って、コンシューマー用のカスタムドメインを作成します。

デフォルトの認証プロバイダーを設定する

1. Control Panel > 認証 > ホスト に移動します。
2. カスタムドメインを探し、アクション > 管理を選択します。
3. ログインページから即座にリダイレクトされるように、ホストのデフォルトプロバイダの設定を設定します。

ステップ9：プラットフォームへのアクセス制限を設定する

コンシューマーユーザーが Foundry プラットフォーム全体にアクセスできないようにし、コンシューマー体験に必要なアプリケーションのみにアクセスできるようにします。

1. Control Panel > アプリケーションへのアクセス に移動します。
2. Foundry プラットフォームを選択し、次に管理を選択します。
3. コンシューマー組織に対して次の制限を設定します。
   • ルールベースのグループを使用して、コンシューマー組織のメンバーのプラットフォームへのアクセスを無効化します。
   • コンシューマーの利用に不要な場合は、次のアプリケーションを無効化します。
     • Workshop
     • Slate
     • AIP Threads
     • Carbon

ステップ10：デフォルトのコンシューマーアプリケーションを設定する

コンシューマーアプリケーションを作成し、ログイン時にそのアプリケーションへ自動的にリダイレクトされるように設定します。

1. Control Panel > プラットフォーム体験 に移動します。
2. コンシューマー組織を選択します。
3. 次のデフォルトアプリケーション設定を行います。
   • ホームページのURL： ログイン後にユーザーがリダイレクトされるコンシューマーアプリケーションの URL を指定します。例：
     • Workshop モジュールの場合：/module/view/latest/{module-rid}
     • Slate ダッシュボードの場合：/slate/app/{dashboard-rid-or-permalink}
     • Carbon ワークスペースの場合：/carbon/{workspace-rid}
   • 言語： ブラウザーの言語設定に対応するように、コンシューマーユーザーが利用可能な言語を設定します。
   • プラットフォームのタイトル： デフォルトの「Palantir」ブランド名を組織名に置き換えます。
   • プラットフォームバージョン： デフォルトのプラットフォームバージョン（stable、beta、または prior）を設定し、バージョン切り替え機能へのアクセスを設定します。
   • 固定のバナー： 組織固有のメッセージやお知らせを追加します。

これで、Foundry プラットフォームがコンシューマーモード用に設定されました。

コンシューマーモードの設定を確認する

Foundry のコンシューマーモードを設定した後、次の検証手順で設定を確認します。

1. コンシューマープロジェクトのテンプレートを使用して、コンシューマースペースにプロジェクトを作成します。

   • コンシューマースペースに移動します。
   • 「Consumer Template」を使用して新しいプロジェクトを作成します。
   • ロールの割り当てが自動的に適用されることを確認します。

2. 権限を検証するために、Workshop アプリケーションなどの一時的なリソースを作成します。

   • コンシューマープロジェクトにシンプルな Workshop アプリケーションを作成します。
   • アクセス権限をテストするための基本的な機能を設定します。
   • テスト用にアプリケーションの URL を控えます。

3. コンシューマーユーザーを作成し、コンシューマー IDプロバイダーから Foundry にログインします。

   • コンシューマー IDプロバイダーでテスト用のユーザーアカウントを作成します。
   • ユーザーがコンシューマー組織に自動的に割り当てられることを確認します。
   • ログインフローをテストし、コンシューマーアプリケーションに自動的にリダイレクトされることを確認します。

4. 元のユーザーに戻り、アクセスを確認パネルを使用します。

   • コンシューマープロジェクトのファイル表示に移動します。
   • プロジェクトのアクセス設定にあるアクセスを確認タブを使用して、権限を検証します。
     • コンシューマーユーザーがコンシューマープロジェクトにアクセスできることを確認します。
     • コンシューマーユーザーが内部プロジェクトにアクセスできないことを確認します。
     • ロールの割り当てが正しく機能していることを確認します。

トラブルシューティング

組織への割り当てが機能しない

• 認証プロバイダーの設定でトリアージルールを確認します。
• グループメンバーシップの条件が正しく設定されていることを確認します。
• IDプロバイダーから渡されるユーザー属性を確認します。

認証リダイレクトが機能しない

• ドメイン設定と DNS 設定を確認します。
• ドメインのデフォルトプロバイダー設定を確認します。
• カスタムドメインを使用している場合は、CORS と CSP の設定を確認します。

ロールの権限が厳しすぎる、または緩すぎる

• ロール定義を確認し、必要に応じて権限を調整します。
• コンシューマーユーザーでテストし、アプリケーションが正しく機能することを確認します。

次のステップ

Foundry のコンシューマーモードのセットアップが完了したら、使用するコンシューマーアプリケーションの種類に応じたセットアップに進みます。

1. プラットフォーム内アプリケーション： ローコードの Workshop、Slate、Carbon アプリケーションをすばやく構築します。
2. OAuth アプリケーション： Foundry でホストされるオントロジー SDK アプリケーションを構築します。
3. クライアント資格情報アプリケーション サービス間認証を使用する、外部でホストされるアプリケーションを作成します。