> ## Documentation Index
> Fetch the complete documentation index at: https://docs.windsurf.com/llms.txt
> Use this file to discover all available pages before exploring further.

# FedRAMP セキュリティ管理者ガイド

> Windsurf FedRAMP セキュリティ管理者ガイド。トップレベルの管理者アカウントを安全にセットアップ、構成、運用、廃止するための手順を説明します。ロール定義、アカウントライフサイクル手順、管理者が制御するすべてのセキュリティ設定の参照表を含みます。

<div id="fedramp-security-admin-guide">
  # FedRAMP セキュリティ管理者ガイド
</div>

このガイドでは、Windsurf におけるトップレベル管理者アカウントを安全にセットアップ、構成、運用、廃止する方法を説明します。管理者ロールの定義、アカウントライフサイクル手順、管理者が制御するすべてのセキュリティ設定と、それぞれの機能、セキュリティへの影響、および推奨値について解説します。

<Note>このガイドは、AWS GovCloud 上で稼働する Windsurf FedRAMP デプロイメント向けに作成されています。FedRAMP デプロイメントでは、専用のエンタープライズポータルと SSO（Single Sign-On）ベースの認証（OIDC または SAML 2.0）を使用します。SaaS 版 Windsurf の他のドキュメントで説明されている一部の機能は、FedRAMP 環境では利用できません。</Note>

***

<div id="administrative-role-definitions">
  ## 管理ロールの定義
</div>

Windsurf では、管理権限を制御するためにロールベースのアクセス制御（RBAC）システムを採用しています。ロールは、Admin Portal の設定セクション内にある「Role Management」から管理でき、個々のユーザーに割り当てることができます。

<div id="built-in-roles">
  ### 組み込みロール
</div>

Windsurf には、削除できない 2 つの組み込みロールが用意されています。

| Role      | Description                                                                                     | Default permissions |
| --------- | ----------------------------------------------------------------------------------------------- | ------------------- |
| **Admin** | 組織設定、ユーザー管理、Analytics 機能、およびセキュリティコントロールへの完全な管理アクセス権を持ちます。これは、チーム内でユーザーに付与される権限として最上位レベルにあたります。 | すべての権限が有効           |
| **User**  | 管理権限を持たない標準的なエンドユーザー権限です。ユーザーは Windsurf のコーディング機能にはアクセスできますが、組織設定を閲覧または変更することはできません。            | 管理権限なし              |

<div id="custom-roles">
  ### カスタムロール
</div>

管理者は、最小権限の原則を実現するためにカスタムロールを作成できます。カスタムロールは、以下のカテゴリから選択されたきめ細かな権限で構成されます。カスタムロールを作成するには、Admin Portal にアクセスし、「Settings」の「Role Management」セクションを開きます。

<div id="permission-reference">
  ### 権限リファレンス
</div>

以下の表は、FedRAMP デプロイメントでロールに割り当て可能なすべての権限を一覧にしています。各権限は、特定の管理機能へのアクセスを制御します。

| Category            | Permission               | Description                              |
| ------------------- | ------------------------ | ---------------------------------------- |
| **Teams**           | Teams Read-Only          | Teams 管理ページへの読み取り専用アクセス                  |
| **Teams**           | Teams Update             | Teams ページ上でユーザーのロールを更新する権限               |
| **Teams**           | Teams Delete             | Teams ページからユーザーを削除する権限                   |
| **Analytics**       | Analytics Read           | Analytics ページおよびダッシュボードへの読み取りアクセス        |
| **Attribution**     | Attribution Read         | Attribution ページへの読み取りアクセス                |
| **License**         | License Read             | License ページへの読み取りアクセス                    |
| **SSO**             | SSO Read                 | SSO（Single Sign-On）構成ページへの読み取りアクセス       |
| **SSO**             | SSO Write                | SSO プロバイダー設定を構成および変更する権限                 |
| **Service Key**     | Service Key Read         | サービス キー ページへの読み取りアクセス                    |
| **Service Key**     | Service Key Create       | API アクセス用の新しいサービス キーを作成する権限              |
| **Service Key**     | Service Key Update       | 既存のサービス キーを変更する権限                        |
| **Service Key**     | Service Key Delete       | サービス キーを失効および削除する権限                      |
| **Role Management** | Role Read                | 設定画面内の Roles タブへの読み取りアクセス                |
| **Role Management** | Role Create              | 新しいロールを作成する権限                            |
| **Role Management** | Role Update              | 既存のロール定義を変更する権限                          |
| **Role Management** | Role Delete              | ロールを削除する権限                               |
| **External Chat**   | External Chat Management | 外部 Chat 向け AI モデル設定を変更する権限               |
| **Indexing**        | Indexing Read            | Indexing 構成ページへの読み取りアクセス                 |
| **Indexing**        | Indexing Create          | 新しいインデックスを作成する権限                         |
| **Indexing**        | Indexing Update          | 既存のインデックス済みリポジトリを更新する権限                  |
| **Indexing**        | Indexing Delete          | インデックスを削除する権限                            |
| **Indexing**        | Indexing Management      | インデックス データベースの管理および不要データの削除（プルーニング）を行う権限 |
| **Fine-Tuning**     | Fine-Tuning Read         | ファインチューニング ページへの読み取りアクセス                 |
| **Fine-Tuning**     | Fine-Tuning Create       | ファインチューニングジョブを作成する権限                     |
| **Fine-Tuning**     | Fine-Tuning Update       | ファインチューニングジョブを更新する権限                     |
| **Fine-Tuning**     | Fine-Tuning Delete       | ファインチューニングジョブを削除する権限                     |

<Note>これらのパーミッションの一部（Attribution、License、SSO、Indexing、Fine-Tuning など）は RBAC システム内には存在しますが、それに対応するポータルページは FedRAMP マルチテナント デプロイメントでは利用できません。これらのパーミッションは網羅性を保つためにロール管理 UI に含まれていますが、この環境において有効な機能へのアクセス権を与えるものではありません。</Note>

***

<div id="admin-account-lifecycle-procedures">
  ## 管理者アカウントのライフサイクル手順
</div>

このセクションでは、最上位の管理者アカウントについて、初期作成から廃止に至るまでの一連のライフサイクルを説明します。

<div id="account-setup">
  ### アカウントセットアップ
</div>

FedRAMP デプロイメントにおける主なプロビジョニング方法は、**SSO（Single Sign-On）ベースのオンボーディング**です。プラットフォームは Single Sign-On 連携のために、OIDC と SAML 2.0 の両方をサポートします。ユーザーは設定済みのアイデンティティプロバイダーを通じて認証を行い、ユーザーの初回ログインによってアカウントが作成された後、管理者が Admin Portal から適切なロールを割り当てます。なお、FedRAMP 環境での SSO 連携には Windsurf FedRAMP チームとの調整が必要であり、セルフサービスで構成することはできません。

新しい管理者アカウントはすべて、最小権限の原則に従って構成する必要があります。ユーザーにシステム全体への完全なアクセスが必要な場合を除き、完全な Admin ロールを付与するのではなく、管理者の責務に必要な権限のみを持つカスタムロールを優先して割り当ててください。

<div id="authentication-and-mfa-requirements">
  ### 認証および MFA 要件
</div>

FedRAMP デプロイメントでは、シングルサインオン (SSO) のみを使用し、OIDC と SAML 2.0 の両プロトコルをサポートします。メールアドレスとパスワードによる認証は利用できません。すべてのユーザーは、設定されたアイデンティティプロバイダーを通じて認証を行う必要があります。

Multi-Factor Authentication (MFA) は、組織のアイデンティティプロバイダーを通じて強制されます。Windsurf は接続された IdP に設定されている MFA ポリシーを継承するため、第二要素の必須化、フィッシング耐性のある認証器、条件付きアクセスポリシーなど、すべての認証強度要件は IdP レベルで管理されます。組織は、特に管理者ロールを保持するアカウントについて、Windsurf アプリケーションにアクセスするすべてのユーザーに対して MFA を必須とするよう IdP を設定する必要があります。

<Warning>Windsurf は、すべての管理者アカウントに対して MFA を必須とすることを強く推奨します。Windsurf アプリケーションへのアクセス条件として MFA を強制するよう、アイデンティティプロバイダーを設定してください。</Warning>

<div id="account-configuration">
  ### アカウント設定
</div>

管理者アカウントが作成されたら、次の設定手順を完了する必要があります。

**ロール割り当て** によって、そのアカウントの管理アクセスの範囲が決まります。Admin Portal の Manage Team タブに移動し、対象ユーザーを見つけて Edit をクリックし、ドロップダウンから適切なロールを選択してロールを割り当てます。変更は即時に反映されます。

**サービス キーの管理** は、管理者が自動化や Analytics 用に API アクセスを必要とする場合に必要です。サービス キーは Settings から作成し、そのキーの利用目的に合ったスコープされた権限を設定します。各サービス キーには（例：「Analytics Dashboard」）のように用途が分かる名前を付け、必要最小限の権限のみを持つロールを割り当ててください。

<div id="account-operation">
  ### アカウント運用
</div>

管理者アカウントの継続的な運用における実務として、次の内容が含まれます。

**定期的なアクセスレビュー** を実施し、管理者アカウントが現在のアクセスレベルを引き続き必要としているかを確認します。Manage Team タブから Admin ロールを持つユーザーの一覧を定期的に確認し、担当業務の変更に合わせてロールを調整します。

**アクティビティ監視** は、組み込みのアナリティクス ダッシュボードを通じて利用できます。Analytics Read 権限を持つ管理者は、ユーザーのアクティビティ、エンゲージメント指標、機能の利用状況を追跡できます。Analytics API（アナリティクス API）は、このデータへのプログラムによるアクセス手段を提供し、外部の監視システムとの連携に利用できます。

**サービスキーのローテーション** は、定期的かつ計画的に実施する必要があります。キーをローテーションするには、同じ権限を持つ新しいサービスキーを作成し、利用側システムを新しいキーを使用するよう更新してから、古いキーを削除します。

<div id="account-decommissioning">
  ### アカウントの廃止
</div>

管理者がアクセスを必要としなくなった場合は、次の手順に従って速やかにアカウントを廃止する必要があります。

<Steps>
  <Step title="管理者ロールの取り消し">
    Admin Portal に移動し、Manage Team タブを開き、ユーザーを見つけて Edit をクリックし、ロールを Admin から User（または管理権限を持たないカスタムロール）に変更します。
  </Step>

  <Step title="サービスキーの取り消し">
    退職する管理者が作成した、またはその管理者のみが使用していたサービスキーをすべて削除します。Settings に移動し、次に Service Key を開き、該当するキーを削除します。
  </Step>

  <Step title="アカウントの削除または無効化">
    Manage Team タブからユーザーの名前の横にある Delete をクリックして、そのユーザーを削除します。これにより、そのユーザーの Windsurf アカウントが無効化され、ライセンスシートが解放されます。
  </Step>

  <Step title="残存アクセス権の確認">
    Manage Team のユーザー一覧を Admin ロールでフィルタリングして確認し、廃止したアカウントがいかなる管理者ロールにも表示されないことを検証します。また、そのアカウントに関連付けられたすべてのサービスキーが削除されていることを確認します。
  </Step>
</Steps>

<Warning>管理者がロールを変更した場合や組織を離れる場合は、管理者アカウントを直ちに廃止してください。廃止が遅れると、セキュリティリスクが不必要に高まります。</Warning>

***

<div id="security-settings-reference">
  ## セキュリティ設定リファレンス
</div>

以下の表は、FedRAMP デプロイメント向け Admin Portal で、管理者が制御できるすべてのセキュリティ設定をまとめたものです。各項目について、その機能、セキュリティへの影響、およびセキュリティを重視したデプロイメントにおける推奨設定を説明します。

| Setting                              | Function                                                                                                                                                                      | Security impact                                                                                    | Recommended value                                                                                      |
| ------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------ |
| **Role-Based Access Control (RBAC)** | 各ユーザーに割り当てられたロールと権限に基づいて、そのユーザーが実行できる管理アクションを制御します。Settings 内の Role Management セクションで管理します。                                                                                   | 各ユーザーに必要な権限のみに制限することで、アカウント侵害時の被害範囲を抑制します。過度に広いロール割り当ては、単一アカウントの侵害による影響範囲を拡大させます。                  | **最小権限の原則に従って構成してください。** 各管理者に本当に必要な権限だけを持つカスタムロールを作成します。組み込みの Admin ロールは、少数の管理者にのみ付与してください。           |
| **Service key permissions**          | API アクセストークンに特定の権限セットのスコープを設定し、自動化システムが実行できる操作を制御します。Settings 内の Service Key セクションで管理します。                                                                                     | 過剰な権限を持つサービスキーが漏えいすると、不正にユーザー管理、Analytics などの機能へアクセスされるおそれがあります。                                   | **必要最小限の権限にスコープしてください。** 各連携ごとに、その連携に必要な権限だけを付与した専用のサービスキーを作成します。キーは定期的にローテーションしてください。                 |
| **SSO provider configuration**       | すべてのユーザー認証に使用するアイデンティティプロバイダーを構成し、OIDC と SAML 2.0 の両プロトコルをサポートします。メール/パスワード認証は利用できません。SSO（Single Sign-On）のセットアップには Windsurf FedRAMP チームとの調整が必要です。Settings 内の SSO セクションで管理します。 | 組織の IdP を通じて認証を一元化し、MFA、条件付きアクセス、セッションポリシーの適用を可能にします。誤った構成は、全ユーザーをロックアウトしたり、不正アクセスを許してしまう可能性があります。 | **組織で承認されたアイデンティティプロバイダー（OIDC または SAML 2.0）で構成してください。** 広く展開する前に、管理者以外のアカウントでログインテストを行い、設定内容を検証してください。 |

*Last updated: 2026年1月28日*