本文へスキップ
Kurahi

Kurahi 2.5.0

English: Kurahi 2.5.0

Kurahi 2.5.0 は Super SSO を搭載しました。すべての画面とツールでひとつの社内サインイン、標準搭載の パスキー、そして重要な判断のたびに新しい認証を求め、それを署名付きの証跡に記録します。Kurahi は KODA SōKEN チームが開発しています。変更の一覧は 変更履歴をご覧ください。

2.5.0 でできること：

  • ID プロバイダーの有無にかかわらず、パスキーでサインイン。 Face ID、Touch ID、Windows Hello、 セキュリティキー。認証アプリ（ワンタイムコード）も使えます。すべてのプランで無料です。
  • 重要な判断には、その場で本人確認。 承認、オートパイロットのレベル引き上げ、緊急停止の解除、 ID 管理、データガバナンスの操作では本人確認を求め、いつ・どの方法で認証したかを証跡に残します。
  • コマンドラインと Kurahi Desktop でも同じ社内サインイン。 kurahi login が表示するコードを ブラウザで確認します。Desktop はシステムのブラウザでサインインします。端末ごとにセッションが分かれ、 個別に失効できます。

設定と詳細は エンタープライズ ID をご覧ください。

新機能

「新機能」の見出し
  • パスキーとワンタイムコード（gateway.identity.passkeys）：WebAuthn（ES256、RS256、EdDSA。 既定でユーザー検証が必須）と TOTP（保存時に暗号化）。最初の認証手段は ID 管理者のワンタイムリンクで 登録し、2 台目以降は本人がステップアップのうえで追加します。
  • 判断のステップアップ認証（gateway.identity.stepUp）：ID 設定がある場合は既定で有効、 maxAgeSeconds は 300 秒。ID プロバイダーでの再認証（OIDC は max_age=0 と prompt=login、 SAML は ForceAuthn）またはパスキー・ワンタイムコードで行い、別の人に切り替わることはありません。 停止、レベルの引き下げ、取り消し、差戻し、取消は従来どおりすぐに実行できます。
  • 証跡への認証情報の記録：セッションは OIDC の auth_time・amr・acr、SAML の AuthnInstant・AuthnContextClassRef を記録し、対象の判断ごとに authn として残します。
  • コマンドラインとデスクトップのサインイン：kurahi login・logout・whoami（デバイス認可 グラント、RFC 8628）と、ループバックリダイレクトと PKCE によるネイティブアプリ（RFC 8252）。

2.4.0 からのアップグレード

「2.4.0 からのアップグレード」の見出し

kurahi update（または --version 2.5.0 を付けた install.sh / install.ps1）で通常どおり インストールできます。アップデートをご覧ください。

SSO をお使いの場合、アップグレード後はステップアップ認証が有効になります。 承認、オートパイロットの レベル引き上げ、緊急停止の解除、ID 管理を行う方は、最後の認証から 5 分を超えていると再認証を 求められます。2.4.0 のセッションには認証の記録がないため、最初の対象操作で確認を求めます。調整するには：

  • gateway.identity.stepUp.maxAgeSeconds を延ばす（最大 3600）
  • actions.approvals: { amountAtLeast: … } で一定金額以上の承認に限定する
  • または gateway.identity.stepUp.enabled: false に設定する

OIDC のステップアップには、Kurahi が max_age を送ったときに ID プロバイダーが auth_time を返す 必要があります（Microsoft Entra ID、Okta、Google、Keycloak は対応しています）。

パスキーには https のオリジン（gateway.identity.publicUrl または passkeys.allowedOrigins。http は localhost のみ）と、IP アドレスではないドメイン名が必要です。それ以外は設定するまで無効です。

ロールバック

「ロールバック」の見出し

install.sh --version 2.4.0（Windows：install.ps1 -Version 2.4.0）で 2.4.0 に戻せます。 アップデートをご覧ください。2.4.0 を起動する前に：

  • 設定から gateway.identity.passkeys、stepUp、nativeClients、deviceSignIn を削除 して ください。2.4.0 は知らない項目を受け付けません。
  • パスキーやワンタイムコードだけでサインインしていた方は、2.4.0 ではサインインできません。再度 アップグレードするまで、ID プロバイダーまたはブレイクグラスをお使いください。登録済みの認証手段は ディスクに残り、アップグレード後に再び使えます。
  • 再度アップグレードしたら kurahi login でサインインし直してください。2.4.0 にはコマンドラインの サインインはありません。

注意事項

「注意事項」の見出し
  • Kurahi Desktop 0.5.0 は変更なしで 2.5.0 に対応します。Desktop のネイティブサインインは、Desktop の アップデートで提供します。
  • Kurahi はセルフホスト型です。お客様のサーバーと、お客様が選ぶ ID プロバイダーやモデル提供者は Kurahi とは別です。
  • すべての配布物のチェックサムは SHA256SUMS.txt と SHA256SUMS-desktop.txt にあります。