このガイドでは、Windsurf におけるトップレベル管理者アカウントを安全にセットアップ、構成、運用、廃止する方法を説明します。管理者ロールの定義、アカウントライフサイクル手順、管理者が制御するすべてのセキュリティ設定と、それぞれの機能、セキュリティへの影響、および推奨値について解説します。
このガイドは、AWS GovCloud 上で稼働する Windsurf FedRAMP デプロイメント向けに作成されています。FedRAMP デプロイメントでは、専用のエンタープライズポータルと SSO（Single Sign-On）ベースの認証（OIDC または SAML 2.0）を使用します。SaaS 版 Windsurf の他のドキュメントで説明されている一部の機能は、FedRAMP 環境では利用できません。
Windsurf では、管理権限を制御するためにロールベースのアクセス制御（RBAC）システムを採用しています。ロールは、Admin Portal の設定セクション内にある「Role Management」から管理でき、個々のユーザーに割り当てることができます。
Windsurf には、削除できない 2 つの組み込みロールが用意されています。
管理者は、最小権限の原則を実現するためにカスタムロールを作成できます。カスタムロールは、以下のカテゴリから選択されたきめ細かな権限で構成されます。カスタムロールを作成するには、Admin Portal にアクセスし、「Settings」の「Role Management」セクションを開きます。
以下の表は、FedRAMP デプロイメントでロールに割り当て可能なすべての権限を一覧にしています。各権限は、特定の管理機能へのアクセスを制御します。
これらのパーミッションの一部（Attribution、License、SSO、Indexing、Fine-Tuning など）は RBAC システム内には存在しますが、それに対応するポータルページは FedRAMP マルチテナント デプロイメントでは利用できません。これらのパーミッションは網羅性を保つためにロール管理 UI に含まれていますが、この環境において有効な機能へのアクセス権を与えるものではありません。
このセクションでは、最上位の管理者アカウントについて、初期作成から廃止に至るまでの一連のライフサイクルを説明します。
FedRAMP デプロイメントにおける主なプロビジョニング方法は、SSO（Single Sign-On）ベースのオンボーディングです。プラットフォームは Single Sign-On 連携のために、OIDC と SAML 2.0 の両方をサポートします。ユーザーは設定済みのアイデンティティプロバイダーを通じて認証を行い、ユーザーの初回ログインによってアカウントが作成された後、管理者が Admin Portal から適切なロールを割り当てます。なお、FedRAMP 環境での SSO 連携には Windsurf FedRAMP チームとの調整が必要であり、セルフサービスで構成することはできません。
新しい管理者アカウントはすべて、最小権限の原則に従って構成する必要があります。ユーザーにシステム全体への完全なアクセスが必要な場合を除き、完全な Admin ロールを付与するのではなく、管理者の責務に必要な権限のみを持つカスタムロールを優先して割り当ててください。
FedRAMP デプロイメントでは、シングルサインオン (SSO) のみを使用し、OIDC と SAML 2.0 の両プロトコルをサポートします。メールアドレスとパスワードによる認証は利用できません。すべてのユーザーは、設定されたアイデンティティプロバイダーを通じて認証を行う必要があります。
Multi-Factor Authentication (MFA) は、組織のアイデンティティプロバイダーを通じて強制されます。Windsurf は接続された IdP に設定されている MFA ポリシーを継承するため、第二要素の必須化、フィッシング耐性のある認証器、条件付きアクセスポリシーなど、すべての認証強度要件は IdP レベルで管理されます。組織は、特に管理者ロールを保持するアカウントについて、Windsurf アプリケーションにアクセスするすべてのユーザーに対して MFA を必須とするよう IdP を設定する必要があります。
Windsurf は、すべての管理者アカウントに対して MFA を必須とすることを強く推奨します。Windsurf アプリケーションへのアクセス条件として MFA を強制するよう、アイデンティティプロバイダーを設定してください。
管理者ロールの取り消し
Admin Portal に移動し、Manage Team タブを開き、ユーザーを見つけて Edit をクリックし、ロールを Admin から User（または管理権限を持たないカスタムロール）に変更します。
サービスキーの取り消し
退職する管理者が作成した、またはその管理者のみが使用していたサービスキーをすべて削除します。Settings に移動し、次に Service Key を開き、該当するキーを削除します。
アカウントの削除または無効化
Manage Team タブからユーザーの名前の横にある Delete をクリックして、そのユーザーを削除します。これにより、そのユーザーの Windsurf アカウントが無効化され、ライセンスシートが解放されます。
残存アクセス権の確認
Manage Team のユーザー一覧を Admin ロールでフィルタリングして確認し、廃止したアカウントがいかなる管理者ロールにも表示されないことを検証します。また、そのアカウントに関連付けられたすべてのサービスキーが削除されていることを確認します。
管理者がロールを変更した場合や組織を離れる場合は、管理者アカウントを直ちに廃止してください。廃止が遅れると、セキュリティリスクが不必要に高まります。
以下の表は、FedRAMP デプロイメント向け Admin Portal で、管理者が制御できるすべてのセキュリティ設定をまとめたものです。各項目について、その機能、セキュリティへの影響、およびセキュリティを重視したデプロイメントにおける推奨設定を説明します。
Last updated: 2026年1月28日 
